Votre téléphone perd soudain le réseau, vos SMS n’arrivent plus, puis votre banque vous signale des virements que vous n’avez jamais ordonnés. Ce scénario, typique du SIM swap, reprend de l’ampleur en 2026 : un fraudeur obtient de votre opérateur une carte SIM associée à votre numéro, intercepte les codes de validation envoyés par SMS et vide vos comptes en quelques minutes. Le contentieux, lui, est déjà là : en un an, le tribunal judiciaire de Paris puis la cour d’appel de Douai ont condamné banques et opérateurs à rembourser des victimes pour des montants de 11 909 à 16 964 euros. Face à ce préjudice, deux batailles se jouent en parallèle : obtenir de la banque le remboursement des opérations non autorisées et établir la responsabilité de l’opérateur qui a remis la carte SIM au fraudeur. Sur ces deux terrains, la jurisprudence récente des tribunaux français, lue intégralement pour cet article, donne des armes concrètes aux victimes, à condition d’agir vite et de constituer la preuve dès les premières heures.
I. Couper l’accès, sécuriser vos comptes et constituer la preuve
A. Les réflexes des premières heures : opérateur, banque et plainte
Le SIM swap repose sur un détournement de votre ligne. Le fraudeur, qui dispose déjà de certaines de vos données personnelles, demande à votre opérateur une nouvelle carte SIM ou fait porter votre numéro chez un autre opérateur, puis valide à votre place les opérations bancaires grâce aux codes reçus par SMS. Dès que vous constatez une perte de réseau inexpliquée, des messages de votre opérateur annonçant un changement que vous n’avez pas demandé ou des opérations bancaires inconnues, chaque heure compte.
Premier réflexe : contacter votre opérateur pour bloquer la ligne et contester le changement de carte SIM ou la portabilité. Dans l’affaire jugée par le tribunal judiciaire de Paris le 25 novembre 2025, la victime, âgée de 82 ans, avait réagi dès le 5 décembre 2022 en répondant au courriel de résiliation de son abonnement qu’elle n’était pas à l’origine de cette résiliation et qu’elle souhaitait l’annuler, puis en faisant porter plainte le 6 décembre 2022 pour usurpation d’identité en précisant que son abonnement avait été résilié et qu’un nouvel abonnement avait été souscrit auprès d’un autre opérateur. Cette réaction immédiate, documentée par écrit, a pesé dans la suite du litige : au moment du premier virement frauduleux, intervenu le 7 décembre 2022, l’alerte était déjà tracée. Conservez chaque message de l’opérateur, chaque courriel et chaque référence de dossier, et exigez une confirmation écrite du blocage et de la restitution de votre ligne.
Deuxième réflexe : alerter votre banque sans tarder et se conformer à l’article L. 133-24 du code monétaire et financier, aux termes duquel « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion ». Le signalement doit donc intervenir au plus vite, et en tout état de cause dans les treize mois du débit. Demandez le blocage des accès en ligne, l’opposition sur les moyens de paiement compromis et la révocation des bénéficiaires ajoutés par le fraudeur. Dans le dossier parisien cité plus haut, la banque avait adressé dès le 7 décembre 2022 une nouvelle carte à la victime après son opposition : cette diligence de la cliente a ensuite servi à démontrer qu’elle n’était restée ni passive ni négligente.
Troisième réflexe : déposer plainte. Les faits relèvent de l’article 226-4-1 du code pénal, qui dispose que « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne. » Le dépôt de plainte peut s’effectuer au commissariat ou à la gendarmerie, ou par la plainte en ligne. À Paris et en Île-de-France, les dépôts de plainte pour usurpation d’identité et fraude bancaire sont reçus dans tout commissariat, et la plainte en ligne permet un premier enregistrement avant un rendez-vous de signature. Le récépissé de plainte servira ensuite dans chacun de vos recours, contre la banque comme contre l’opérateur. Pensez également à signaler les faits sur la plateforme dédiée du ministère de l’intérieur et à vérifier si d’autres comptes, notamment vos courriels et vos espaces administratifs, ont été compromis grâce au contrôle de votre numéro.
Quatrième réflexe, souvent oublié : saisir la Commission nationale de l’informatique et des libertés. Le détournement de votre ligne s’accompagne d’un traitement frauduleux de vos données personnelles, et la plainte en ligne de la CNIL, accessible depuis son site, permet de signaler l’usurpation et le défaut de vérification qui l’a rendue possible. La CNIL peut contrôler les vérifications effectuées par l’opérateur avant la remise de la carte SIM ou la portabilité, et ses décisions alimentent ensuite votre dossier en réparation. La plainte en ligne auprès de la CNIL et la fiche de Service-public sur l’usurpation d’identité détaillent ces démarches pas à pas. Conservez la preuve de ce signalement au même titre que celle de votre plainte pénale.
B. Rassembler les preuves qui feront la différence
Les litiges de SIM swap se gagnent sur pièces. La charge de la preuve pèse d’abord sur la banque, mais c’est votre dossier qui permettra au juge de vérifier chaque étape. Constituez dès les premiers jours un dossier chronologique : les SMS et courriels de l’opérateur annonçant le changement de carte SIM, d’adresse électronique de secours ou d’adresse postale, les relevés bancaires faisant apparaître les opérations contestées avec leurs dates, heures et bénéficiaires, les confirmations écrites de vos oppositions et signalements, le récépissé de dépôt de plainte et le signalement à la CNIL.
L’expérience des décisions récentes montre que les messages d’alerte de l’opérateur jouent un rôle central. Dans l’arrêt de la cour d’appel de Douai du 18 juin 2026, le dirigeant d’une société avait reçu de son opérateur un premier SMS l’informant qu’une demande de changement d’adresse électronique de secours avait été prise en compte, puis des messages annonçant l’enregistrement d’une nouvelle adresse postale et la commande d’une nouvelle carte SIM, alors qu’il n’était à l’origine d’aucune de ces demandes. La cour a relevé ces messages dans la chronologie des faits et a précisé que la plainte mentionnait que le déclarant montrait les SMS évoqués, avec la mention « VU EXACT » entre parenthèses. Capturez ces messages avec leur date et leur heure, et ne les effacez jamais : ils établissent à la fois que vous n’êtes pas à l’origine du changement et la date à laquelle l’opérateur vous a informé.
Demandez ensuite à l’opérateur la traçabilité complète du changement : date, canal utilisé pour la demande, pièces d’identité présentées, relevé d’identité opérateur utilisé pour une portabilité, enregistrement des appels. Dans le dossier parisien du 25 novembre 2025, l’opérateur receveur n’a versé aucun document sur la souscription et s’est contenté d’affirmer que le relevé d’identité opérateur avait été communiqué et que seule la victime pouvait le connaître. Le tribunal a écarté cet argument en jugeant que ce seul élément de connaissance ne permettait pas d’établir la volonté de la cliente. Votre demande écrite de communication de ces pièces, adressée en recommandé ou par un canal traçable, crée une première preuve du défaut de vérification si l’opérateur reste silencieux ou évasif.
Du côté bancaire, exigez le détail technique de chaque opération contestée : canal d’initiation, dispositif d’authentification utilisé, enregistrements de connexion, notifications adressées. Les banques se bornent souvent à affirmer que les opérations ont été authentifiées par clé digitale ou dispositif équivalent et à produire des pièces d’ordre général sur leurs procédures. La cour d’appel de Douai a écarté de telles affirmations en relevant que la banque se limitait à des affirmations sur les procédures d’authentification qu’elle appliquait et à des pièces d’ordre général, telles que des extraits d’informations sur les fraudes qu’elle diffusait à ses clients, des fiches de présentation sur son système d’authentification ou un guide d’utilisation, sans produire aucun document spécifique relatif aux opérations litigieuses. Réclamez donc par écrit les journaux propres à vos opérations : l’absence de réponse précise fragilise la position de l’établissement.
Enfin, faites constater l’étendue du préjudice : sommes détournées, frais bancaires, découverts, temps passé, troubles subis, et, pour un professionnel, désorganisation de l’activité. Dans le dossier de Douai, les deux virements litigieux des 28 octobre 2021, de 4 951 euros et 6 958 euros, figuraient sur le relevé avec l’intitulé et le nom du bénéficiaire, ce qui a permis de chiffrer exactement la demande à 11 909 euros. Un préjudice moral peut également être indemnisé : le tribunal judiciaire de Bordeaux a alloué 1 500 euros en réparation du préjudice moral à une victime d’opérations non autorisées le 3 septembre 2026, en plus du remboursement partiel des sommes.
II. Contester les opérations et obtenir réparation
A. Face à la banque : remboursement des opérations non autorisées et limite de la négligence grave
Le régime applicable aux virements émis après un SIM swap est celui des opérations de paiement non autorisées, et il est favorable à la victime. L’article L. 133-18 du code monétaire et financier pose le principe selon lequel le prestataire « rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant ». La banque ne peut échapper à ce remboursement que si elle a de bonnes raisons de soupçonner une fraude de l’utilisateur et si elle communique ces raisons par écrit à la Banque de France. Concrètement, votre lettre de contestation doit viser ce texte, identifier chaque opération avec sa date et son montant, rappeler la date de votre signalement et exiger le remboursement sous un jour ouvré ainsi que la remise du compte dans l’état où il se serait trouvé sans ces opérations.
La seule défense utile de la banque réside dans votre faute. L’article L. 133-19 du même code prévoit en son paragraphe IV que « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. » Ces obligations consistent, d’une part, à prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées, puisque l’article L. 133-16 dispose que « Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées », et, d’autre part, à informer sans tarder son prestataire en cas de perte, de vol ou de détournement. Or la jurisprudence récente applique strictement cette exigence de négligence grave et refuse de la déduire du seul fait que les codes ont fonctionné.
Le jugement du tribunal judiciaire de Paris du 25 novembre 2025 l’illustre nettement. La banque soutenait que les opérations avaient été authentifiées par clé digitale, système d’authentification forte, et que la validation des bénéficiaires comme les virements avaient été effectués depuis le téléphone de l’escroc après le transfert de la ligne. Le tribunal a néanmoins condamné la banque, en retenant que la négligence grave de l’utilisateur ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été utilisés, et qu’il appartient à la banque de prouver la faute du payeur autrement qu’en démontrant l’utilisation de données hautement confidentielles. La chronologie a été décisive : plainte pour usurpation d’identité déposée le 6 décembre 2022, information de la banque, puis virements frauduleux les 7 et 8 décembre pour un total de 16 964 euros. Le dispositif est sans ambiguïté : « CONDAMNE la BNP PARIBAS à payer à M. [G] [C] et M. [O] [C] la somme de 16.964 euros, avec intérêts au taux légal majoré de 15 points à compter du 20 décembre 2022 » (jugement du 25 novembre 2025). La majoration des intérêts sanctionne le retard de remboursement et montre l’intérêt d’une contestation écrite et datée.
L’arrêt de la cour d’appel de Douai du 18 juin 2026 confirme cette lecture. La banque faisait valoir une négligence fautive du dirigeant, resté sans réaction pendant plusieurs jours malgré des messages potentiellement anormaux sur sa ligne. La cour a écarté ce raisonnement en rappelant le régime légal : la banque qui entend faire supporter à l’utilisateur les pertes d’une opération non autorisée doit aussi prouver que l’opération a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre, et pas seulement démontrer une négligence de l’utilisateur. Faute de documents spécifiques sur les opérations litigieuses, la banque a été condamnée : « Condamne la société BNP Paribas à payer à la société PG Ergo D+ la somme de 11 909 euros avec intérêts au taux légal à compter du 28 novembre 2021 ». Surtout, l’article L. 133-23 du code monétaire et financier impose cette répartition de la preuve : « il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre », et « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ».
La limite existe cependant, et il faut la connaître pour ne pas surévaluer un dossier. Le tribunal judiciaire de Paris, le 10 septembre 2026, a débouté une cliente qui avait suivi les instructions d’un tiers dont elle n’avait pas vérifié la qualité, ajouté deux bénéficiaires et initié trois virements externes à sa demande en les authentifiant au moyen de sa clé digitale, puis modifié son mot de passe de connexion à son espace de banque en ligne à la demande de ce tiers et le lui avait communiqué. Le tribunal a jugé qu’elle avait fait preuve d’une négligence compromettant la sécurité de ses données de sécurité personnalisées et revêtant ainsi un caractère grave. La frontière est donc claire : subir un SIM swap sans avoir transmis ses codes ni validé d’opération à la demande d’un inconnu ne constitue pas une négligence grave, alors que communiquer soi-même ses identifiants et valider des bénéficiaires dictés par un tiers le constitue. Entre ces deux pôles, chaque dossier s’apprécie sur ses pièces, et c’est là que votre dossier chronologique prend toute sa valeur.
B. Face à l’opérateur : portabilité frauduleuse, données personnelles et partage des responsabilités
Le second front est celui de l’opérateur qui a remis la carte SIM ou fait porter le numéro au fraudeur. Sur ce terrain, le jugement du tribunal judiciaire de Paris du 25 novembre 2025 marque une étape : il retient la faute de l’opérateur receveur qui n’a pas vérifié l’identité du demandeur. Le tribunal vise l’article L. 44 du code des postes et des communications électroniques et la décision de l’Autorité de régulation des communications électroniques du 30 mars 2006, dont l’article 3 dispose que « L’opérateur receveur s’assure de la capacité du demandeur à exercer son droit à conserver un numéro mobile », et dont l’article 4 précise que « la demande de portage doit être présentée par le titulaire du contrat ou par une personne dûment mandatée par celui-ci » (motifs du jugement du 25 novembre 2025). Il en déduit que l’opérateur receveur est tenu de vérifier l’identité de l’abonné qui demande la portabilité de son numéro. En l’espèce, l’opérateur ne versait aucun document sur la souscription et se bornait à affirmer que le relevé d’identité opérateur avait été communiqué, comme si ce seul élément établissait la volonté de la cliente. Le tribunal a jugé que ce dispositif sécurisé de paiement ne dispensait pas l’opérateur de vérifier l’identité de la personne qui souscrivait l’abonnement, et a condamné l’opérateur à garantir les condamnations prononcées contre la banque à hauteur de moitié : « CONDAMNE la société FREE MOBILE à garantir les condamnations prononcées à l’encontre de la BNP PARIBAS à hauteur de 50% » (dispositif du jugement du 25 novembre 2025). Pour la victime, l’enseignement est direct : l’opérateur qui attribue une carte SIM ou fait porter un numéro sans contrôle d’identité commet une faute, et cette faute peut être recherchée sur le fondement de l’article 1240 du code civil, selon lequel « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. »
La cour d’appel de Douai apporte toutefois une nuance importante : toute remise de carte SIM ne caractérise pas une faute de l’opérateur. Dans cette affaire, la fraude supposait que le fraudeur disposait au préalable d’informations personnelles de l’abonné, et aucun élément ne permettait d’établir que l’opérateur avait eu connaissance d’une usurpation d’identité ou n’avait pas respecté les modalités de remise prévues au contrat. La cour a ajouté que la succession des SMS d’alerte envoyés par l’opérateur, informant le client de la demande de carte SIM et des modifications de ses données personnelles, aurait dû conduire le client à se rapprocher de son opérateur. Elle en a conclu : « il n’est pas rapporté la preuve d’une faute de la société SFR dans la délivrance de la carte SIM, de sorte que sa responsabilité ne saurait être retenue » (arrêt de la cour d’appel de Douai du 18 juin 2026). Deux situations se distinguent donc : lorsque l’opérateur attribue la ligne sans aucune vérification d’identité, sa faute est retenue et il garantit la moitié des condamnations ; lorsque les circonstances de la remise restent indéterminées et que le client, alerté par plusieurs messages, n’a pas réagi, la preuve de la faute fait défaut. Votre demande de traçabilité écrite prend ici tout son sens : c’est elle qui permettra d’établir dans quel cas vous vous trouvez.
Le troisième levier est celui de la protection des données personnelles. L’opérateur, en tant que responsable du traitement de vos données d’abonné, doit mettre en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Les décisions citées montrent que les juges examinent concrètement les vérifications effectuées avant la remise de la carte SIM ou la portabilité : absence de tout document de souscription dans le dossier parisien, modalités de remise indéterminées dans le dossier de Douai. Si votre opérateur ne vous a jamais informé de la compromission de vos données alors que vos comptes étaient vidés grâce à votre numéro, interrogez-le par écrit sur les mesures prises et sur le signalement effectué auprès de la CNIL : sa réponse, ou son silence, documente un manquement à la sécurité. Votre signalement à la CNIL permet à l’autorité de contrôler ces vérifications et nourrit votre dossier. Enfin, le préjudice moral lié à l’usurpation peut être indemnisé en complément du remboursement des sommes : le tribunal judiciaire de Bordeaux a ainsi alloué 1 500 euros à ce titre le 3 septembre 2026, sur le fondement du droit commun de la responsabilité dont l’article 1240 du code civil pose le principe. Ce poste s’ajoute à l’action contre la banque et à l’action contre l’opérateur, et il répare un dommage distinct du seul détournement des fonds.
En pratique, articulez les trois actions dans le bon ordre : contestation écrite immédiate auprès de la banque sur le fondement de l’article L. 133-18 avec demande de remboursement sous un jour ouvré, mise en demeure de l’opérateur de produire la traçabilité du changement de carte SIM ou de la portabilité et de justifier des vérifications d’identité effectuées, plainte pénale pour usurpation d’identité et signalement à la CNIL. Si la banque refuse le remboursement en invoquant votre négligence, exigez qu’elle démontre précisément, pièces à l’appui, l’agissement frauduleux ou la négligence grave qu’elle vous reproche, pour chaque opération et pas seulement en produisant sa documentation générale. Si l’opérateur refuse toute responsabilité, opposez-lui son obligation de vérification d’identité et l’absence de pièces de souscription. À Paris et en Île-de-France, ces litiges relèvent du tribunal judiciaire du domicile du demandeur pour les particuliers, et le pôle bancaire de la neuvième chambre du tribunal judiciaire de Paris a déjà eu à connaître de ces dossiers : la proximité des juridictions spécialisées et du siège de la CNIL, rue Fabert à Paris, facilite le suivi d’un dossier bien documenté.
Un téléphone qui perd le réseau puis des comptes qui se vident ne sont jamais une fatalité administrative. Le droit des opérations non autorisées fait peser le remboursement sur la banque sous un jour ouvré, la preuve de votre négligence grave sur cette même banque avec une exigence stricte, et la vérification d’identité sur l’opérateur qui remet une carte SIM ou fait porter un numéro. Les décisions rendues en 2025 et 2026, du tribunal judiciaire de Paris à la cour d’appel de Douai, montrent que des victimes qui avaient alerté vite, porté plainte et conservé chaque message ont obtenu le remboursement intégral des sommes, les intérêts majorés et parfois une garantie partagée entre la banque et l’opérateur. Constituez votre dossier dès la première heure, contestez par écrit chaque refus et faites vérifier chaque pièce : c’est cette rigueur qui transforme une fraude éclair en réparation effective.