Un message qui affiche le nom de votre banque, reprend ses codes visuels et annonce un blocage imminent de votre carte si vous ne cliquez pas vite sur un lien n’a pourtant jamais été envoyé par votre banque. Chaque jour, des milliers de particuliers reçoivent ce type de SMS : l’expéditeur affiché est usurpé et le lien conduit vers une copie du site de la banque, destinée à capter vos identifiants, votre numéro de carte ou le code à usage unique que vous recevez ensuite. Si vous avez cliqué, saisi des informations ou validé une opération, des débits peuvent apparaître en quelques minutes. La bonne nouvelle est que le droit français protège fortement le titulaire du compte : l’opération que vous n’avez pas autorisée doit en principe vous être remboursée, la banque doit prouver votre faute et non l’inverse, et l’escroc encourt une peine correctionnelle lourde. Encore faut-il agir vite et dans l’ordre : verrouiller l’accès, conserver les preuves, contester par écrit dans les délais, puis porter plainte et réclamer réparation. Cet article décrit chaque étape à partir des textes en vigueur et de deux arrêts d’appel récents qui ont condamné des banques à rembourser des victimes d’opérations frauduleuses.
I. Réagir dans les premières heures : verrouiller l’accès et conserver les preuves
A. Ne pas cliquer, garder le message et faire bloquer l’instrument de paiement
Un SMS qui annonce le blocage de votre carte, un virement à valider ou une « anomalie de sécurité » et qui vous demande de cliquer sur un lien n’est jamais envoyé par votre banque : les banques ne demandent ni vos identifiants ni vos codes par SMS et ne conditionnent pas le déblocage d’une carte à un clic sur un lien. Si le message affiche pourtant le nom de votre établissement, c’est le mécanisme de l’usurpation du numéro d’appelant : le nom affiché sur votre écran ne prouve pas l’identité de l’expéditeur. Ne cliquez pas sur le lien, ne rappelez pas un numéro figurant dans le message et ne saisissez aucun code reçu par SMS, y compris si un interlocuteur qui vous appelle dans la foulée, se présentant comme le « service fraude » de la banque, vous le demande avec insistance. Ce second appel fait souvent partie du même scénario : mettre la victime sous pression pour lui arracher la validation qui manquait à l’escroc.
Conservez le message tel quel : ne l’effacez pas. Faites une capture d’écran lisible qui montre le numéro ou le nom d’expéditeur affiché, la date et l’heure de réception ainsi que le contenu complet avec le lien, sans cliquer dessus. Relevez également l’heure à laquelle vous avez éventuellement cliqué ou saisi des informations, car cette chronologie servira à démontrer votre réaction rapide. Transférez ensuite le SMS au 33700, le numéro de signalement des spams vocaux et SMS : les opérateurs destinataires du signalement peuvent alors vérifier et agir contre les numéros utilisés pour ces envois (service-public.fr, Que faire en cas de réception d’un spam vocal). Ce signalement ne remplace ni l’opposition ni la plainte, mais il fait tracer le numéro frauduleux et appuie votre dossier.
Dès que vous soupçonnez que vos données bancaires ont été captées, faites bloquer l’instrument de paiement sans attendre de voir un débit : la loi fait de cette réaction rapide une obligation. Lorsqu’il a connaissance « de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci » (article L. 133-17 du code monétaire et financier). Concrètement, appelez le numéro d’opposition figurant au dos de votre carte ou sur le site officiel de votre banque, que vous aurez rejoint en tapant vous-même l’adresse, jamais en suivant le lien du SMS. Notez le jour et l’heure de l’opposition ainsi que le numéro de dossier communiqué : ces mentions prouveront que vous avez réagi sans tarder. Si des débits sont déjà visibles, demandez immédiatement le détail de chaque opération (date, montant, bénéficiaire, canal) et exigez que la banque vous indique la procédure de contestation des opérations non autorisées.
B. Contester chaque opération par écrit et exiger le remboursement immédiat
Une fois l’instrument bloqué, contestez par écrit chaque opération que vous n’avez pas autorisée, même celles qui vous paraissent de faible montant : les escrocs commencent souvent par des petits débits pour tester la carte avant des retraits plus importants. Adressez à votre banque une lettre recommandée avec accusé de réception, ou un message via la messagerie sécurisée de votre espace client en conservant la preuve d’envoi, qui liste chaque opération (date, montant, libellé), indique que vous n’en êtes pas l’auteur et que vous n’avez jamais consenti à leur exécution, et demande le remboursement immédiat avec remise du compte dans son état antérieur. Joignez la copie du SMS frauduleux, la preuve du signalement au 33700, l’attestation d’opposition et, si vous l’avez déjà, le récépissé de plainte. Cette contestation écrite et datée est le point de départ juridique de tout le contentieux : c’est elle qui fait courir les obligations de remboursement de la banque.
Le délai pour contester est strictement encadré et joue en votre faveur comme en votre défaveur. L’utilisateur de services de paiement « signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion » (article L. 133-24 du code monétaire et financier). Treize mois à compter de chaque débit, donc, et au-delà de ce délai votre réclamation devient irrecevable, même si la fraude est établie : ne laissez pas passer les mois en espérant que la banque « étudie » votre dossier. Signalez chaque opération dès sa découverte et renouvelez la contestation pour tout nouveau débit constaté. À l’inverse, tant que vous êtes dans ce délai de treize mois, la banque ne peut pas vous opposer que « trop de temps a passé » pour quelques semaines ou quelques mois de retard : la forclusion ne joue qu’au-delà des treize mois.
Le remboursement, lui, doit être rapide. En cas d’opération de paiement non autorisée signalée dans les conditions prévues par l’article L. 133-24, « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée […] au plus tard à la fin du premier jour ouvrable suivant » (article L. 133-18 du code monétaire et financier). La banque ne dispose donc pas de semaines pour « enquêter » avant de recréditer votre compte : elle doit rembourser au plus tard à la fin du premier jour ouvrable suivant votre signalement et rétablir le compte comme si l’opération n’avait pas eu lieu. La seule échappatoire prévue par le texte est le cas où la banque « a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement » et où elle « communique ces raisons par écrit à la Banque de France » : un simple doute ou une suspicion vague, non écrite et non transmise à la Banque de France, ne suffit pas à différer le remboursement.
Reste la question que les banques soulèvent presque systématiquement : la part éventuellement laissée à votre charge. Avant tout remboursement, la loi prévoit que le payeur supporte les pertes liées à l’utilisation de son instrument « dans la limite d’un plafond de 50 € » avant l’information aux fins de blocage (article L. 133-19 du code monétaire et financier), mais ce plafond ne s’applique que dans des cas étroits et disparaît dans les situations les plus fréquentes du smishing. Votre responsabilité n’est pas engagée en cas d’opération effectuée sans utilisation de vos données de sécurité personnalisées, ni si l’instrument a été détourné à votre insu, ni en cas de contrefaçon alors que vous aviez votre carte en main, ni si la banque ne fournissait pas de moyen approprié pour faire opposition. Surtout, « Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur » : si la banque a laissé passer des paiements en ligne sans la validation renforcée désormais requise, elle ne peut rien vous imputer. Au-delà du plafond de 50 euros, la banque ne peut mettre le surplus à votre charge qu’en prouvant soit votre fraude, soit votre négligence grave : « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 » (article L. 133-19 du code monétaire et financier). Avoir cliqué sur un lien trompeur ne constitue pas automatiquement une telle négligence grave, comme le montrent les décisions de justice examinées plus loin : tout dépend des circonstances exactes et c’est à la banque de le démontrer.
II. Faire supporter le coût de la fraude à qui doit le payer : la banque, puis l’escroc
A. C’est à la banque de prouver votre faute, pas à vous de prouver votre innocence
Face à une contestation, certaines banques répondent que l’opération a bien été validée avec vos codes et que vous devez donc l’avoir autorisée ou avoir été négligent. Cette inversion des rôles est contraire aux textes. Lorsqu’un utilisateur « nie avoir autorisé une opération de paiement qui a été exécutée », « il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre » (article L. 133-23 du code monétaire et financier). Autrement dit, le seul fait que l’opération ait été passée avec vos identifiants ou votre carte ne prouve ni votre consentement ni votre négligence : la banque doit établir positivement soit votre fraude, soit votre négligence grave, avec des éléments concrets. Les juges appliquent cette règle avec fermeté, comme l’illustrent deux arrêts récents rendus dans des affaires d’opérations contestées.
Le 29 septembre 2026, la cour d’appel d’Angers a condamné une banque à rembourser 10 745,20 euros, avec intérêts au taux légal à compter du 23 novembre 2018, à une cliente victime de 331 opérations contestées, plus 3 000 euros au titre des frais d’appel (CA Angers, ch. A commerciale, 29 septembre 2026, RG 21/02526). La banque soutenait que la cliente devait supporter les conséquences de l’utilisation de sa carte en raison de sa négligence grave. La cour a rappelé que, dès lors que le payeur conteste avoir consenti, « il incombe au prestataire de services paiement d’établir la preuve d’un tel consentement » et que « La charge de la preuve de la régularité de l’autorisation pèse sur le prestataire de services de paiement, qui doit établir que l’ordre émane bien de l’utilisateur du service ». Surtout, l’arrêt pose un principe directement utile aux victimes de faux SMS : « La seule communication du mot de passe permet au bénéficiaire d’initier un ordre de paiement mais ne suffit pas à caractériser le consentement du payeur. De plus, authentifier une opération ne peut être assimilé à son autorisation. » Le fait que l’escroc ait utilisé votre code, votre mot de passe ou le code reçu par SMS ne suffit donc pas à établir que vous avez consenti ni que vous avez été gravement négligent : encore faut-il que la banque démontre comment et en quoi votre comportement précis caractériserait une négligence grave, ce qu’elle n’avait pas fait en l’espèce.
Le 26 février 2025, la cour d’appel de Riom avait déjà jugé dans le même sens en condamnant une banque à payer 21 231,99 euros au titre de son obligation de restitution, avec intérêts, somme assortie des pénalités prévues par l’article L. 133-18, plus 2 500 euros de frais de procédure (CA Riom, 3e ch. civ. et com., 26 février 2025, RG 24/00846). L’arrêt rappelle qu’il appartient à l’utilisateur de préserver la sécurité de ses dispositifs et d’informer sans tarder sa banque, mais que « c’est à ce prestataire qu’il incombe […] de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations » et que « cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés ». La simple démonstration que le dispositif de sécurité a fonctionné « ne permet pas de présumer que l’utilisateur du service de paiement a donné son autorisation à l’opération de paiement litigieuse ». Si votre banque rejette votre contestation au seul motif que « le code était correct », ces deux arrêts constituent le fondement de votre réclamation puis, si nécessaire, de votre action en justice : écrivez à nouveau en visant ces principes et en sommant la banque de rapporter la preuve précise de la négligence grave qu’elle vous impute.
Précision utile si l’arnaque a combiné SMS et appel : lorsque l’escroc usurpe le numéro de votre banque pour vous appeler et vous dicter la conduite à tenir, les mêmes règles de remboursement s’appliquent aux opérations qui en résultent, et la preuve de l’usurpation du numéro corrobore votre absence de consentement. Conservez alors aussi le journal de ces appels, comme l’explique l’article consacré à l’usurpation du numéro de votre banque par un appel frauduleux. Dans tous les cas, si la banque maintient son refus après votre contestation écrite, saisissez le médiateur bancaire désigné dans vos conditions générales, puis le tribunal judiciaire du lieu de votre domicile pour les montants modestes ou selon les règles de compétence applicables : joignez à votre dossier la chronologie complète, la contestation, la preuve de l’opposition, le refus écrit de la banque et les deux arrêts cités.
B. Porter plainte contre l’escroc et réclamer la réparation intégrale de votre préjudice
Le remboursement par la banque ne dispense pas de poursuivre l’auteur de l’arnaque : la plainte pénale permet l’identification des bénéficiaires des fonds et conditionne, en pratique, l’indemnisation des préjudices que la banque ne couvre pas, comme les frais engagés, le temps perdu ou le préjudice moral. Le faux SMS bancaire constitue une escroquerie au sens pénal : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque » et « L’escroquerie est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende » (article 313-1 du code pénal). L’usurpation du nom de votre banque, la copie de son site et la mise en scène du blocage imminent caractérisent les manoeuvres frauduleuses et l’usage d’une fausse qualité, même si l’escroc opère depuis l’étranger ou avec des complices chargés de récupérer les fonds.
Déposez plainte au commissariat ou à la gendarmerie en apportant le dossier déjà constitué : capture du SMS, relevés des débits, preuve de l’opposition, contestation adressée à la banque et sa réponse. Les officiers et agents de police judiciaire « sont tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale, y compris lorsque ces plaintes sont déposées dans un service ou une unité de police judiciaire territorialement incompétents » (article 15-3 du code de procédure pénale) : aucun service ne peut donc refuser votre plainte au motif que les faits relèvent d’une autre circonscription ou qu’il s’agit « seulement » d’internet. Vous pouvez également déposer plainte en ligne via la plateforme THESEE pour les escroqueries sur internet, puis être entendu par les enquêteurs. Le service-public rappelle que, si vous êtes victime d’hameçonnage, vous devez contacter votre banque pour faire opposition, contester les opérations et demander le remboursement, et que vous pouvez signaler les faits aux autorités, notamment via la plateforme Signal Spam pour les messages électroniques (service-public.fr, Hameçonnage (phishing ou vishing)). Conservez chaque récépissé : plainte, signalement et opposition forment ensemble la démonstration de votre diligence, qui prive la banque de l’argument de la négligence.
Sur le plan civil, votre réparation ne se limite pas au montant des débits. Tout fait de l’homme qui cause un dommage oblige son auteur à le réparer : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (article 1240 du code civil). Concrètement, outre le remboursement des sommes détournées en application des articles L. 133-18 et suivants, vous pouvez réclamer les frais bancaires prélevés à raison des opérations frauduleuses, les intérêts courus, les frais engagés pour constituer votre dossier et, devant le juge pénal comme devant le juge civil, la réparation de votre préjudice moral. Les deux arrêts cités montrent que les juges accordent systématiquement le remboursement intégral avec intérêts et les frais de procédure, en revanche la cour d’Angers a refusé les dommages et intérêts pour résistance abusive réclamés contre la banque : ne présentez une demande indemnitaire complémentaire contre votre établissement que si vous démontrez une faute distincte du simple refus initial, par exemple une inertie prolongée après une contestation complète et documentée. En pratique, la plupart des dossiers se règlent après une contestation écrite bien construite, visant les textes et la jurisprudence : c’est ce courrier, précis et daté, qui transforme un refus standard en remboursement.
Le faux SMS bancaire se combat donc en trois temps et sans attendre : verrouiller, en informant sans tarder votre banque aux fins de blocage et en signalant le numéro frauduleux ; contester, par écrit, chaque opération non autorisée dans le délai de treize mois à compter du débit et exiger le remboursement au plus tard à la fin du premier jour ouvrable suivant ; poursuivre, en déposant plainte pour escroquerie et en réclamant devant le juge la réparation de l’entier préjudice si la banque refuse de payer. La loi place la charge de la preuve sur l’établissement : ni l’utilisation de vos codes par l’escroc ni le bon fonctionnement apparent du dispositif de sécurité ne suffisent à établir votre consentement ou votre négligence grave. Gardez chaque preuve, chaque date et chaque écrit : dans ce contentieux, le dossier le mieux documenté est celui qui se fait rembourser.