Le 16 octobre 2026, la requête « fraude bancaire » s’est hissée parmi les recherches en plus forte progression sur Google France, avec un volume supérieur à 5 000 recherches et une croissance de 1 000 %, selon Google Trends. Le motif de cet emballement est connu : la Cour de justice de l’Union européenne a jugé le 15 octobre 2026, dans l’affaire C-70/25, qu’une banque ne peut pas refuser de rembourser immédiatement une opération non autorisée au motif que le client aurait commis une négligence grave. Cet arrêt, rendu à propos d’une cliente d’une banque polonaise victime d’hameçonnage pour 700 euros, a été largement relayé par la presse nationale le jour même. Sur les sites du cabinet, deux articles publiés le même jour tirent déjà les conséquences de cette décision, l’un sur le remboursement immédiat et les recours à Paris, l’autre sur le cas particulier du compte professionnel vidé par une arnaque et l’ordre des décisions face aux fournisseurs.
Le présent article traite un angle différent, celui que les internautes saisissent massivement dans la foulée : « fraude bancaire par téléphone remboursement ». Le scénario du faux conseiller bancaire qui appelle sa victime, affiche le numéro de la banque sur l’écran et lui dicte les opérations à valider soulève une question redoutable : lorsque la victime a elle-même communiqué ses codes ou validé l’opération, l’opération est-elle encore « non autorisée » ? La banque peut-elle refuser tout remboursement en invoquant une négligence grave évidente ? Et comment le client peut-il encore contester ? Les développements qui suivent répondent à partir des textes en vigueur et des décisions rendues, en distinguant le remboursement immédiat, la charge de la preuve et les réflexes pratiques des premières heures.
I. Fraude bancaire par téléphone : quand les codes communiqués font basculer le dossier vers l’opération autorisée
A. Faux conseiller bancaire : le scénario du vishing et la question du consentement
L’arnaque au faux conseiller bancaire suit presque toujours le même scénario, décrit de manière concordante par les juridictions. Un premier message, SMS ou courriel imitant la banque, alerte le client d’une prétendue opération suspecte. Puis un faux conseiller appelle depuis un numéro qui ressemble à celui de la banque, connaît le nom, parfois les premiers chiffres du compte, met la pression en évoquant une fraude en cours et demande au client de « sécuriser » ses fonds : communiquer le code reçu par SMS, valider une notification, ajouter un nouveau bénéficiaire, voire effectuer lui-même un virement vers un prétendu compte de cantonnement. Chaque geste demandé sert en réalité à authentifier l’opération frauduleuse avec les propres données de sécurité du client. La presse du 16 octobre 2026 rappelle qu’une gérante de société piégée de cette manière s’était vu reprocher une négligence grave avant d’obtenir gain de cause en appel, ce qui montre à quel point ce scénario concentre tout le contentieux.
Le droit applicable part d’une distinction simple dans son principe et délicate dans sa mise en œuvre. L’article L. 133-19 du code monétaire et financier prévoit que « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. » (article L. 133-19 du code monétaire et financier). Et l’article L. 133-16 dispose que « Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. » (article L. 133-16 du code monétaire et financier). Communiquer son mot de passe, son code SMS ou valider l’enrôlement d’un nouvel appareil à la demande d’un interlocuteur téléphonique constitue, dans la plupart des décisions, un manquement à cette obligation de préservation, et les banques l’invoquent systématiquement pour qualifier la négligence de grave et refuser le remboursement.
La cour d’appel de Paris en a donné une illustration nette le 22 octobre 2025 (pôle 5, chambre 6, RG 24/08224, Cour de cassation, jurisprudence judiciaire). Une cliente avait contesté deux virements de 6 000 et 4 000 euros émis depuis son espace personnel. Elle reconnaissait avoir reçu un courriel imitant sa banque près de deux mois plus tôt, tout en contestant l’avoir ouvert et suivi. La cour relève les anomalies du message : expéditeur affiché trompeur, envoi en pleine nuit, fautes d’orthographe, adresse de siège erronée, pièce jointe à l’intitulé incompréhensible, objet énigmatique. Elle en déduit : « Il peut se déduire de la chronologie des faits et des circonstances de l’espèce que Mme [I] a cliqué sur ce lien et que cette négligence grave a permis à l’auteur de l’escroquerie d’avoir accès aux données de sécurité personnalisées de Mme [I] sans lesquelles aucune fraude n’aurait été possible, étant également relevé que Mme [I] n’a pas utilisé le service de paiement mis à sa disposition conformément aux conditions régissant sa délivrance et son utilisation. » La cour ajoute : « Mme [I] doit en conséquence supporter toutes les pertes occasionnées par les opérations de paiement non autorisées. » Le jugement de débouté est confirmé. Cet arrêt montre la méthode des juges du fond : ils examinent le caractère décelable du piège, la chronologie et le comportement du client, et font peser sur lui toutes les pertes lorsque la négligence grave est établie par des éléments concrets, et non par la seule survenance de la fraude.
La Cour de cassation encadre toutefois strictement cette démonstration. Le 20 novembre 2024 (chambre commerciale, pourvoi n° 23-15.099, Cour de cassation, jurisprudence judiciaire), elle juge : « s’il entend faire supporter à l’utilisateur d’un instrument de paiement doté d’un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L. 133-16 et L. 133-17 de ce code, le prestataire de services de paiement doit au préalable prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. » Autrement dit, même face à un client qui a remis ses codes à un inconnu rencontré sur un réseau social, la banque ne peut pas se contenter d’affirmer la négligence : elle doit d’abord établir la régularité technique de l’opération. La cour d’appel qui avait condamné le client sans cette recherche préalable a vu son arrêt cassé. Pour la victime d’un faux conseiller, ce point est capital : la négligence ne se présume pas, elle se prouve, et la preuve technique incombe d’abord à la banque.
B. Fraude bancaire remboursement : même soupçonné de négligence, le client doit être remboursé d’abord
C’est ici que l’arrêt de la Cour de justice du 15 octobre 2026 change concrètement la vie des victimes. Jusqu’alors, beaucoup de banques opposaient d’emblée la négligence grave pour refuser tout remboursement, laissant le client sans ressources pendant des mois d’enquête et de procédure. Selon les comptes rendus concordants publiés le 16 octobre 2026 par la presse nationale, la Cour juge désormais que qu’un prestataire ne peut pas refuser le remboursement immédiat d’une opération non autorisée en invoquant la négligence grave du payeur, quand bien même celui-ci aurait rendu l’opération possible en manquant à ses obligations de sécurité (arrêt du 15 octobre 2026, affaire C-70/25, relayé le 16 octobre 2026 par Capital, Le Figaro et Le Monde). La banque doit donc recréditer le compte dans un premier temps, puis, si elle estime que le client a été gravement négligent, lui réclamer ensuite les pertes correspondantes en apportant la preuve de cette négligence. L’ordre des opérations est inversé : le remboursement d’abord, le débat sur la faute ensuite.
Cette solution s’articule sans contradiction avec le droit français, car elle ne fait que tirer les conséquences de l’article L. 133-18 du code monétaire et financier, qui dispose : « En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 , le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. » (article L. 133-18 du code monétaire et financier). Le délai légal court donc à compter du signalement : la banque qui a connaissance de l’opération contestée doit recréditer le compte au plus tard à la fin du premier jour ouvrable suivant, et la seule exception admise est le soupçon de fraude commise par le client lui-même, notifié par écrit à la Banque de France. La négligence, même grave, n’est pas la fraude du client et n’ouvre pas cette exception. Les décisions consultées pour cet article ne tranchent pas la question de savoir si un simple doute interne de la banque, non notifié à la Banque de France, suffirait à différer le remboursement : le texte exige une communication écrite à la Banque de France, et c’est cette exigence écrite qui doit être retenue.
Le second apport de la période récente porte sur la charge de la preuve, terrain sur lequel les banques perdent régulièrement devant la Cour de cassation. L’article L. 133-23 du code monétaire et financier dispose : « Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. » (article L. 133-23 du code monétaire et financier). Le même article ajoute : « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. » Les relevés informatiques internes de la banque, qui montrent que les codes du client ont été utilisés, ne suffisent donc pas à eux seuls à établir ni le consentement ni la négligence grave.
Deux arrêts de cassation rendus au printemps 2025 l’ont rappelé avec une fermeté identique. Le 5 mars 2025 (chambre commerciale, pourvoi n° 23-22.687, Cour de cassation, jurisprudence judiciaire), à propos de deux paiements à distance contestés après l’enrôlement d’une clé digitale sur un nouvel appareil, la Cour juge : « il incombe au prestataire de services de paiement de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à son obligation de prendre toute mesure raisonnable pour préserver la sécurité des données de sécurité personnalisées, que cette preuve de la négligence grave ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés. » Le jugement qui avait déduit la négligence de la seule utilisation des données de sécurité a été cassé. Le 26 mars 2025 (chambre commerciale, pourvoi n° 23-21.299, Cour de cassation, jurisprudence judiciaire), à propos de retraits contestés effectués avec le code confidentiel, la Cour juge en des termes équivalents : « il appartient au prestataire de services de paiement de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à son obligation de prendre toute mesure raisonnable pour préserver la sécurité des données de sécurité personnalisées. La négligence grave ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés. » Pour la victime d’un faux conseiller, la leçon est directe : le fait que ses codes aient servi à valider l’opération ne prouve pas, à lui seul, qu’elle a été gravement négligente, et c’est à la banque d’apporter des éléments concrets, par exemple le caractère manifestement décelable du piège ou la transmission volontaire et éclairée des données.
Un dernier levier mérite d’être connu, celui de l’authentification forte. L’article L. 133-19 prévoit : « Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44 . » (article L. 133-19 du code monétaire et financier). Et l’article L. 133-44 impose au prestataire d’appliquer l’authentification forte lorsque le payeur initie une opération de paiement électronique (article L. 133-44 du code monétaire et financier). Si la banque a laissé passer un virement sensible sans exiger cette authentification renforcée, elle ne peut pas faire supporter les pertes au client, sauf à démontrer un agissement frauduleux de celui-ci. Dans le contentieux du vishing, vérifier si l’opération litigieuse a bien été soumise à authentification forte constitue donc un point de contrôle aussi important que le débat sur la négligence.
II. Fraude bancaire que faire : le parcours de la victime du faux conseiller, du signalement au juge
A. Fraude bancaire par téléphone : opposition, signalement et plainte dans les premières heures
Les premières heures suivant la découverte de l’arnaque conditionnent l’issue du dossier, et les textes fixent des obligations précises des deux côtés. L’article L. 133-17 du code monétaire et financier dispose : « Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci. » (article L. 133-17 du code monétaire et financier). Concrètement, dès que la victime comprend qu’elle parlait à un escroc, elle doit faire opposition auprès du numéro interbancaire ou de sa banque, demander le blocage des accès en ligne et exiger par écrit le remboursement immédiat en visant l’article L. 133-18 et l’arrêt de la Cour de justice du 15 octobre 2026. Chaque appel, chaque validation et chaque relevé doivent être conservés : captures d’écran du numéro appelant, SMS reçus, courriels, historiques de notifications, relevés d’opérations. Ces pièces serviront à établir la chronologie et, le cas échéant, le caractère indécelable du piège.
Le dépôt de plainte obéit à une logique pénale distincte mais complémentaire. Les faits de vishing constituent une escroquerie au sens de l’article 313-1 du code pénal : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. » (article 313-1 du code pénal). Le faux conseiller qui usurpe la qualité de banquier et dicte des validations entre exactement dans cette définition. La plainte peut être déposée au commissariat ou par pré-plainte en ligne, et la fraude à la carte bancaire peut en outre être signalée sur la plateforme Perceval du ministère de l’Intérieur (ministère de l’Intérieur), ce qui alimente les enquêtes sans remplacer la plainte. S’agissant des délais d’action, l’article 8 du code de procédure pénale dispose : « L’action publique des délits se prescrit par six années révolues à compter du jour où l’infraction a été commise. » (article 8 du code de procédure pénale). Cette prescription de six ans concerne l’action publique, c’est-à-dire la poursuite des auteurs ; elle ne doit pas être confondue avec le délai propre au remboursement bancaire.
Car le délai qui compte pour le remboursement est bien plus court et sa méconnaissance est fatale. L’article L. 133-24 du code monétaire et financier dispose : « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III. » (article L. 133-24 du code monétaire et financier). Le point de départ de ce délai de treize mois est donc la date du débit, et son dépassement entraîne la forclusion, c’est-à-dire la perte du droit au remboursement, sauf si la banque n’a pas mis les informations relatives à l’opération à disposition du client. En pratique, il faut contester par écrit sans attendre : le signalement « sans tarder » conditionne le remboursement au plus tard à la fin du premier jour ouvrable suivant, et la limite de treize mois depuis le débit verrouille définitivement les contestations tardives. Les décisions consultées pour cet article ne permettent pas d’affirmer qu’un signalement téléphonique non confirmé par écrit suffirait à interrompre quoi que ce soit : seule la trace écrite, lettre recommandée ou message conservé dans l’espace client, établit la date du signalement.
B. Fraude bancaire remboursement refusé : médiateur, mise en demeure et juge, dans cet ordre
Lorsque la banque refuse le remboursement en invoquant la négligence grave, la contestation doit être méthodique et chaque étape doit laisser une trace. La première réponse consiste à exiger par écrit les éléments sur lesquels la banque fonde son refus : journaux d’authentification, preuve de l’absence de déficience technique, description précise des manquements reprochés au client. Cette demande n’est pas une formalité : puisque l’article L. 133-23 met à la charge du prestataire la preuve de l’authentification régulière et de la négligence grave, le client est en droit de vérifier que le refus repose sur autre chose que les seuls enregistrements internes. Si la réponse se limite à affirmer que les codes du client ont été utilisés, les arrêts du 5 mars et du 26 mars 2025 montrent que ce motif, pris isolément, ne résiste pas à l’examen de la Cour de cassation. Le client peut alors saisir le médiateur bancaire, préalable amiable utile avant toute action, dont l’avis ne lie pas mais éclaire souvent la suite, puis mettre la banque en demeure par lettre recommandée en rappelant le remboursement immédiat exigé par l’article L. 133-18 et l’arrêt européen du 15 octobre 2026.
Le retard de la banque a lui-même un coût prévu par la loi, et il faut le chiffrer dans la réclamation. L’article L. 133-18 prévoit : « En cas de manquement du prestataire de services de paiement aux obligations prévues aux deux premiers alinéas du présent article, les pénalités suivantes s’appliquent : 1° Les sommes dues produisent intérêt au taux légal majoré de cinq points ; 2° Au-delà de sept jours de retard, les sommes dues produisent intérêt au taux légal majoré de dix points ; 3° Au-delà de trente jours de retard, les sommes dues produisent intérêt au taux légal majoré de quinze points. » (article L. 133-18 du code monétaire et financier). Le point de départ de ces intérêts est le manquement à l’obligation de remboursement immédiat, c’est-à-dire, selon le texte, l’expiration du premier jour ouvrable suivant la connaissance de l’opération. Une banque qui retient les fonds pendant des semaines en se retranchant derrière une négligence alléguée mais non démontrée s’expose donc à des intérêts dont le taux progresse rapidement, ce qui constitue un argument de poids dans la mise en demeure comme devant le juge.
Devant le tribunal, le débat se jouera sur le terrain balisé par les décisions citées dans cet article. La banque devra d’abord établir la régularité technique de l’opération, comme l’exige l’arrêt du 20 novembre 2024, puis démontrer par des éléments concrets que le client a manqué gravement à son obligation de préserver ses données de sécurité, sans pouvoir déduire cette négligence de la seule utilisation des codes, comme l’interdisent les arrêts du 5 mars et du 26 mars 2025. Le client, de son côté, devra expliquer pourquoi le piège n’était pas décelable : numéro affiché usurpé, connaissance par l’escroc de données personnelles, pression temporelle, instructions présentées comme une procédure de sécurité officielle. L’arrêt de la cour d’appel de Paris du 22 octobre 2025 montre l’envers de cette médaille : lorsque le message frauduleux comportait des anomalies visibles et que la chronologie établit le clic du client sur le lien, la négligence grave est retenue et toutes les pertes restent à sa charge. Chaque dossier se joue donc sur les faits, et la conservation des preuves dès les premières heures prend ici toute sa valeur. Les lecteurs concernés par le cas voisin du compte professionnel vidé trouveront l’analyse complémentaire dans l’article du cabinet consacré à l’arrêt européen et à l’ordre des décisions face aux fournisseurs (compte professionnel vidé par une arnaque : l’arrêt européen et les fournisseurs), et ceux qui s’interrogent sur le principe général du remboursement immédiat dans l’article consacré à l’arrêt du 15 octobre 2026 et aux recours (fraude bancaire : remboursement après l’arrêt CJUE, plainte et recours).
Conclusion
L’arnaque au faux conseiller bancaire obéit désormais à une grammaire juridique claire. La banque doit rembourser immédiatement l’opération non autorisée signalée, au plus tard à la fin du premier jour ouvrable suivant, et ne peut pas opposer d’emblée la négligence grave pour s’y soustraire : c’est le sens de l’arrêt de la Cour de justice du 15 octobre 2026 comme de l’article L. 133-18. Elle conserve ensuite la possibilité de faire supporter les pertes au client, mais à la double condition de prouver d’abord la régularité technique de l’opération, puis une négligence grave établie par des éléments concrets, jamais déduite de la seule utilisation des codes. Le client, quant à lui, doit signaler sans tarder, faire opposition, déposer plainte pour escroquerie, et contester par écrit au plus tard dans les treize mois suivant la date du débit, sous peine de forclusion. Entre ces deux pôles, chaque dossier se tranche sur les faits : un piège indécelable et une banque qui se contente de ses relevés internes conduisent au remboursement, tandis qu’un message frauduleux aux anomalies visibles et un clic avéré du client conduisent, comme dans l’arrêt parisien du 22 octobre 2025, au rejet de toute demande. Face à un appel suspect se présentant comme celui de la banque, le réflexe qui protège le mieux reste le plus simple : raccrocher, rappeler soi-même le numéro officiel et ne valider aucune opération dans l’urgence dictée par un inconnu.