Exemple typique : un message annonçant un colis bloqué au centre de tri et réclamant quelques euros de frais pour le débloquer. Le message arrive d’un numéro de mobile ordinaire, reprend le nom d’un transporteur connu et affiche un lien qui ressemble au suivi officiel. La page qui s’ouvre réclame le numéro de carte bancaire, sa date d’expiration et son cryptogramme, puis le nom, l’adresse postale et parfois le numéro de téléphone. Quelques heures ou quelques jours plus tard, des débits inconnus apparaissent sur le relevé : achats en ligne, rechargements de cartes prépayées, paiements à des commerces jamais visités. Le faux SMS de livraison appartient à la famille de l’hameçonnage par message. Il combine deux préjudices distincts : de l’argent prélevé sur le compte et des données personnelles captées, réutilisables ou revendues pour d’autres escroqueries.
La réponse se joue sur deux terrains qu’il ne faut pas confondre. Le terrain bancaire d’abord, avec l’opposition puis la contestation des opérations et le remboursement par la banque. Le terrain des données personnelles ensuite, avec les signalements, la plainte pénale, l’accès aux données détenues par les organismes et l’effacement. Cet article décrit la chronologie utile heure par heure, les textes qui protègent le payeur, la charge de la preuve qui pèse sur la banque en cas de refus, et les recours quand l’établissement oppose la négligence grave.
I. Bloquer les paiements puis contester : la chronologie bancaire
A. Les premières heures : opposition, preuves, plainte et signalements
Faire opposition sans attendre constitue le premier réflexe. Dès que la carte a été saisie sur la fausse page ou que des débits suspects apparaissent, il faut bloquer la carte en appelant son conseiller bancaire ou le numéro d’opposition communiqué par la banque, ou encore le service interbancaire d’opposition à carte bancaire au 0 892 705 705, numéro surtaxé ouvert 7 jours sur 7 et 24 heures sur 24, selon la fiche officielle du ministère de l’économie consacrée à la fraude à la carte bancaire. Lors de cet appel, un numéro d’enregistrement est communiqué : il faut le conserver soigneusement car il constitue la trace datée de l’opposition, précieuse en cas de contestation ultérieure. La procédure d’opposition déclenche un blocage immédiat des paiements par carte bancaire : si un ordre de paiement était exécuté après cette date, cela constituerait une faute de la banque. L’opposition est une opération irréversible : même si la carte est retrouvée par la suite, une nouvelle carte devra être demandée.
Photographier et conserver chaque élément forme le deuxième réflexe. Captures d’écran du SMS avec le numéro expéditeur, la date et l’heure, adresse exacte du lien, captures de la fausse page si elle reste accessible, relevés des débits avec leurs dates, montants et libellés, numéro d’enregistrement de l’opposition, échanges écrits avec la banque : tout doit être archivé. La fiche réflexe hameçonnage de Cybermalveillance insiste sur ce point : conserver le message d’hameçonnage reçu et transmettre un maximum d’informations lors des signalements, car la qualité des preuves conditionne l’efficacité des enquêtes et des contestations.
Porter plainte et signaler sur la plateforme Perceval forment le troisième réflexe. Quand des débits frauduleux sont constatés, il est conseillé de porter plainte auprès du commissariat ou de la gendarmerie du domicile, en préparant si possible une pré-plainte en ligne au préalable. À Paris comme ailleurs, la pré-plainte en ligne permet de renseigner les faits avant de signer la plainte au commissariat choisi ; le récépissé de plainte servira de pièce dans le dossier de contestation bancaire. En parallèle, il est possible de signaler la fraude à la carte bancaire sur la plateforme Perceval, accessible uniquement via FranceConnect. Ce signalement ne remplace pas la plainte : il permet aux enquêteurs de recouper les affaires, il évite un déplacement inutile pour la seule déclaration de fraude, et il accompagne utilement la demande de remboursement des sommes dérobées.
Signaler le SMS et la page frauduleuse forme le quatrième réflexe, utile à la collectivité comme au dossier. Tout message suspect reçu par SMS se signale sur la plateforme 33700 ou par SMS au 33700, service gratuit, selon la fiche réflexe phishing de Cybermalveillance. Un courriel frauduleux se signale à Signal Spam, un site frauduleux à Phishing Initiative, et l’entité dont l’identité est usurpée – le transporteur dont le nom figure dans le message – doit être alertée. Ces démarches sont détaillées par Cybermalveillance et ne prennent que quelques minutes.
B. Contester et se faire rembourser : treize mois, preuve et négligence grave
Le délai de contestation est impératif. « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion » (article L. 133-24 du code monétaire et financier). Passé ce délai, la contestation est forclose, sauf si le prestataire n’a pas fourni ou mis à disposition les informations relatives à l’opération. En pratique, la contestation s’écrit : lettre recommandée avec accusé de réception adressée à la banque, listant chaque opération litigieuse avec sa date, son montant et son libellé, et joignant la copie du récépissé d’opposition, du récépissé de plainte, du signalement Perceval et des relevés. Chaque opération se conteste séparément, car la banque doit examiner chacune d’elles.
Ce courrier de contestation doit permettre à la banque d’identifier chaque opération sans recherche complémentaire : identité complète du titulaire et numéro du compte, liste précise des opérations litigieuses avec leurs dates, montants et libellés exacts, date et numéro d’enregistrement de l’opposition, références du récépissé de plainte et du signalement Perceval, et demande expresse du remboursement avec rétablissement du compte dans son état antérieur. Joindre les relevés annotés, les captures du message frauduleux et la copie des échanges déjà intervenus. Envoyer l’ensemble en lettre recommandée avec accusé de réception et conserver une copie complète, car ce dossier servira ensuite devant le médiateur bancaire puis, si nécessaire, devant le tribunal judiciaire.
Le remboursement doit être immédiat. « En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 , le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant » (article L. 133-18 du code monétaire et financier). Le compte débité est alors rétabli dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu, et la date de valeur du crédit n’est pas postérieure à celle du débit. Quand la banque tarde à rembourser sans motif légitime, la loi prévoit des pénalités : « Les sommes dues produisent intérêt au taux légal majoré de cinq points », puis le taux légal majoré de dix points au-delà de sept jours de retard et de quinze points au-delà de trente jours, selon le même article L. 133-18.
Un plafond de 50 euros peut rester à la charge du payeur dans une hypothèse précise. « En cas d’opération de paiement non autorisée consécutive à la perte ou au vol de l’instrument de paiement, le payeur supporte, avant l’information prévue à l’article L. 133-17 , les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 €. » (article L. 133-19, I du code monétaire et financier). Cette participation ne s’applique toutefois pas quand l’opération a été effectuée sans les données de sécurité personnalisées, quand la perte ou le vol ne pouvait pas être détecté avant le paiement, ni quand la perte résulte d’actes ou d’une carence d’un salarié ou d’un prestataire de la banque. Surtout, « La responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées » (article L. 133-19, II), ce qui couvre le cas classique du faux SMS de livraison : la carte n’a ni été perdue ni été volée, ses données ont été détournées à l’insu du titulaire.
La négligence grave est le principal motif de refus opposé par les banques, mais ce moyen est étroitement encadré. « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 » (article L. 133-19, IV du code monétaire et financier). Conserver ses codes et informer sans tarder la banque en cas d’utilisation non autorisée : telles sont les obligations de l’utilisateur. Mais c’est à la banque de rapporter la preuve de la faute. « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière » (article L. 133-23 du code monétaire et financier). Autrement dit, le seul fait que les bons codes aient été utilisés ne prouve ni l’autorisation ni la négligence grave : la banque doit fournir des éléments positifs.
La Cour de cassation a précisé où passe la frontière. « alors que manque, par négligence grave, à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés l’utilisateur d’un service de paiement qui communique les données personnelles de ce dispositif de sécurité en réponse à un courriel qui contient des indices permettant à un utilisateur normalement attentif de douter de sa provenance, peu important qu’il soit, ou non, avisé des risques d’hameçonnage » (Cour de cassation, chambre commerciale, 28 mars 2018, n° 16-20.018). Dans cette affaire, le client avait renseigné un prétendu certificat de sécurité au logo parfaitement imité, jusqu’à réclamer à sa banque une nouvelle carte de clés pour compléter le formulaire. La cour d’appel avait écarté toute négligence grave en retenant sa totale naïveté et sa méconnaissance des alertes ; la Cour de cassation a censuré cette analyse. Le critère est donc objectif : ce que perçoit un utilisateur normalement attentif, pas le profil particulier de la victime. En sens inverse, quand les fraudeurs déploient un subterfuge élaboré – nom de domaine sosie, logo et charte du transporteur, mise en scène de l’urgence du colis bloqué, page de paiement conforme aux usages –, la banque doit prouver une fraude ou une négligence grave pour refuser le remboursement, comme le rappelle le ministère de l’économie.
L’absence d’authentification forte exigée par la banque fait échec au refus de remboursement. « Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44 » (article L. 133-19, V du code monétaire et financier). Or « Le prestataire de services de paiement applique l’authentification forte du client définie au f de l’article L. 133-4 lorsque le payeur » notamment quand le payeur initie une opération de paiement électronique (article L. 133-44, I du code monétaire et financier). La Cour de cassation en tire la conséquence : « Il résulte des articles L. 133-44, I et L. 133-19, V du code monétaire et financier que le prestataire de service de paiement doit appliquer l’authentification forte du client définie au f) de l’article L. 133-4 du même code en cas d’opération de paiement à distance et qu’à défaut, il doit rembourser au payeur le montant de l’opération non autorisée, sauf agissement frauduleux du payeur. » (Cour de cassation, chambre commerciale, 22 octobre 2025, n° 24-19.749). Dans cette espèce très proche du faux SMS, un client avait répondu à un courriel piégé se présentant comme sa banque, l’invitant à activer un système d’authentification forte, puis avait transmis des codes permettant l’ajout d’un bénéficiaire et un virement. Le tribunal avait constaté une négligence grave – le message présentait des anomalies grossières – mais condamné la banque parce qu’elle ne justifiait pas avoir exigé du client l’activation de l’authentification forte. La Cour de cassation a rejeté le pourvoi de la banque. La leçon procédurale est nette : même quand l’imprudence du client est établie, le refus de remboursement ne tient pas si la banque n’a pas elle-même satisfait à son obligation d’authentification forte, hors fraude du payeur.
La même logique irrigue les arnaques voisines qui exploitent des données personnelles volées pour appeler la victime : l’analyse du faux conseiller bancaire, entre spoofing, virement et remboursement détaille la contestation et la charge de la preuve dans ce scénario, utile quand le faux SMS de livraison se prolonge par l’appel d’un prétendu service fraude.
Quand la banque maintient son refus par écrit en invoquant la négligence grave, il faut lui répondre point par point : exiger les éléments précis sur lesquels elle fonde ce grief, rappeler que l’usage des codes ne suffit pas à prouver la faute, et vérifier si une authentification forte a été exigée opération par opération. La réclamation écrite auprès du service concerné, puis la saisine du médiateur bancaire et, en dernier ressort, le tribunal judiciaire restent les étapes du parcours. Chaque courrier part en recommandé avec accusé de réception et chaque appel fait l’objet d’une confirmation écrite, car le dossier se gagne sur les pièces.
Une nuance doit être signalée avec honnêteté : tout ce qui précède vise les opérations non autorisées, c’est-à-dire celles que la victime n’a pas validées. Quand la victime a elle-même saisi un code puis validé le paiement ou le virement sur son application, étape par étape, la qualification d’opération non autorisée se discute opération par opération devant le juge, au regard des circonstances concrètes et des manquements éventuels du prestataire. Les décisions consultées pour cet article tranchent le cas du client trompé qui livre ses données puis subit des opérations initiées par le fraudeur ; elles ne tranchent pas d’autres configurations, qui s’apprécient au cas par cas.
II. Les données captées : accès, effacement, plainte et réparation
A. Reprendre la main sur ses données personnelles
Le faux site de livraison a capté des données personnelles : nom, adresse postale, téléphone, adresse électronique, données de carte bancaire. Ces informations servent souvent à d’autres tentatives – faux appels du service fraude, SMS d’amendes, courriels de la banque – et peuvent circuler entre intermédiaires. Trois droits du règlement général sur la protection des données permettent de reprendre la main, d’abord contre les organismes identifiables : la banque pour les enregistrements et traces d’authentification, l’opérateur téléphonique pour les lignes et messages, l’hébergeur ou le bureau d’enregistrement pour le nom de domaine frauduleux, le transporteur usurpé pour les signalements.
Le droit d’accès permet de savoir ce qu’un organisme détient. Toute personne peut obtenir la confirmation qu’un traitement la concerne et en recevoir une copie, avec les finalités, les catégories de données, les destinataires et la durée de conservation (article 15 du RGPD). Concrètement, après un faux SMS de livraison, la demande d’accès vise la banque – relevés, journaux d’authentification des opérations litigieuses –, l’opérateur – informations sur les messages –, et tout organisme qui aurait conservé des données issues de l’épisode. La demande s’écrit, précise son objet et joint un justificatif d’identité ; l’organisme doit répondre dans les meilleurs délais.
Le droit à l’effacement permet d’exiger la suppression. Le règlement ouvre à toute personne le droit d’obtenir du responsable l’effacement de ses données dans les meilleurs délais, notamment quand le traitement est illicite ou que les données ne sont plus nécessaires au regard des finalités, et le responsable a l’obligation d’effacer (article 17 du RGPD). Les données captées par hameçonnage relèvent d’un traitement illicite, et les données devenues inutiles aux finalités annoncées doivent disparaître. L’effacement demandé à un responsable ne s’arrête pas à lui : le responsable doit avertir chaque destinataire auquel les données ont été communiquées de la rectification ou de l’effacement, et il fournit à la personne concernée les informations sur ces destinataires si elle le demande (article 19 du RGPD). Il faut donc exiger à la fois l’effacement et la liste des destinataires.
Le droit d’opposition complète le dispositif quand les données captées alimentent du démarchage. Après une fuite, les appels et SMS commerciaux qui se multiplient peuvent être contestés auprès de chaque émetteur, en parallèle du signalement au 33700 (article 21 du RGPD). La Commission nationale de l’informatique et des libertés peut être saisie par une plainte en ligne quand un organisme ne répond pas à une demande d’accès ou d’effacement, ou refuse sans motif légitime. La Commission sanctionne et met en demeure ; elle n’indemnise pas, et c’est au juge qu’il appartient d’allouer des dommages-intérêts.
B. Sanctions pénales et réparation du préjudice
Le faux SMS de livraison caractérise une escroquerie. « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge » (article 313-1 du code pénal). L’usage du nom du transporteur, le faux prétexte du colis bloqué et la page de paiement sosie constituent typiquement la fausse qualité et les manœuvres frauduleuses. L’escroquerie « est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende » selon le même article. C’est ce fondement que vise la plainte déposée au commissariat ou à la gendarmerie, le cas échéant complétée par un signalement Perceval.
Quand les données volées servent ensuite à se faire passer pour la victime – ouverture d’un compte, souscription d’un crédit, harcèlement –, un second fondement entre en jeu. « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende » (article 226-4-1 du code pénal). Cette infraction est constituée aussi quand elle est commise sur un réseau de communication au public en ligne, selon le même article.
Outre le remboursement bancaire, la victime peut demander la réparation des préjudices que le remboursement ne couvre pas : frais engagés, temps consacré aux démarches, angoisse et préjudice moral, contentieux induit par l’utilisation frauduleuse de son identité. La constitution de partie civile devant le tribunal correctionnel permet de solliciter des dommages-intérêts dans le procès pénal, et l’action civile reste ouverte contre l’auteur identifié comme, selon les configurations, contre les intermédiaires ayant manqué à leurs obligations. Le dossier de preuves constitué dès les premières heures – SMS, fausse page, relevés, oppositions, échanges avec la banque, récépissés de plainte et de signalements – servira à chaque étape : contestation bancaire, médiation, procès pénal et action en réparation.
Un faux SMS de livraison qui a conduit à saisir sa carte sur une fausse page appelle donc une double réaction immédiate : opposition sur la carte puis contestation écrite de chaque opération, dans la limite des treize mois suivant le débit sous peine de forclusion, avec à la clé un remboursement en principe immédiat et des pénalités en cas de retard injustifié (articles L. 133-24 et L. 133-18 du code monétaire et financier). Face à un refus fondé sur la négligence grave, la banque doit prouver la faute par des éléments positifs, l’usage des codes ne suffisant pas, et l’absence d’authentification forte exigée fait échec au refus hors fraude du payeur. Parallèlement, les données captées justifient signalements, plainte, demandes d’accès et d’effacement, puis, le cas échéant, l’action en réparation. Deux chronologies, un même dossier de preuves : c’est ce qui fait aboutir l’ensemble.