Début novembre 2026, la presse nationale a rapporté qu’un groupe bancaire mutualiste français aurait été visé par une cyberattaque d’une ampleur présentée comme inédite, avec un détournement estimé à près de 100 millions d’euros et, selon un dirigeant cité par la presse, une récupération partielle déjà engagée. Ces faits sont rapportés ici strictement d’après ces articles de presse, et au conditionnel pour tout ce qu’ils n’établissent pas. À la date de rédaction, aucune intrusion dans les comptes des clients ni aucun préjudice subi par des clients n’est constaté par une source officielle, aucune responsabilité n’est établie, les conventions de compte signées priment sur toute analyse générale, et seul le juge décide en cas de litige.
Que vous soyez client ou non de l’établissement visé par cette actualité, la question pratique reste la même : un virement que vous n’avez jamais autorisé, un paiement par carte que vous ne reconnaissez pas, un faux conseiller qui vous a soutiré vos codes, un compte temporairement bloqué après une alerte. Ce guide explique, textes et décisions en main, comment contester une opération de paiement non autorisée, dans quel délai agir, dans quelle limite de 50 euros votre responsabilité peut être engagée, comment exiger le remboursement dès le premier jour ouvrable, à qui incombe la preuve de la négligence grave, et quels recours engager si la banque refuse, de la plainte pour escroquerie à l’action devant le juge.
I. Virement non autorisé et fraude à la carte : comment contester et obtenir le remboursement ?
A. Que faire dans les premières heures : opposition, blocage et signalement sans tarder ?
Le premier réflexe consiste à faire opposition et à faire bloquer l’instrument de paiement. Le code monétaire et financier prévoit : « Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci. » (article L133-17 du code monétaire et financier). Concrètement, appelez le numéro d’opposition de votre banque, disponible jour et nuit, puis confirmez par écrit : date, heure de l’appel, numéro de dossier, opérations contestées une par une avec leur montant et leur date de débit. Ce récapitulatif écrit fixe le point de départ de vos démarches et servira de preuve.
Le second réflexe consiste à signaler chaque opération non autorisée dans le délai légal, car le retard peut vous priver de tout recours. Le texte dispose : « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion » (article L133-24 du code monétaire et financier). Le délai de treize mois court donc à compter de la date de débit de chaque opération, et la forclusion sanctionne le signalement tardif. Vérifiez vos relevés ligne par ligne dès l’alerte, y compris les petits montants : les fraudeurs testent souvent une carte avec une somme minime avant de lancer un virement important. Chaque opération doit être contestée séparément et par écrit, de préférence par lettre recommandée avec accusé de réception ou par un message conservé dans votre espace client, afin de garder une trace datée.
Le troisième réflexe consiste à préserver toutes les preuves dès le premier jour. Conservez les relevés bancaires, les SMS et courriels reçus, les captures d’écran des notifications d’authentification, le numéro affiché par l’appelant, les horaires des appels, et le récit précis des manipulations effectuées sur votre téléphone ou votre ordinateur. Si un faux conseiller vous a guidé, notez le numéro appelé, les instructions reçues et les codes validés. Ces éléments serviront autant pour la plainte pénale que pour démontrer à la banque que vous n’avez pas autorisé l’opération. Dès l’opposition, demandez à votre établissement un récépissé écrit et, en cas de refus de remboursement, une réponse écrite et motivée : le code exige en effet de la banque qu’elle motive par écrit ses soupçons lorsqu’elle refuse de rembourser, comme le montre la suite.
B. Dans quel délai votre banque doit-elle vous rembourser après une opération non autorisée ?
Une fois l’opération signalée, le principe est un remboursement rapide, dès le lendemain. Le code dispose : « En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 , le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. » (article L133-18 du code monétaire et financier). Le même article ajoute que la banque « rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu », et que « La date de valeur à laquelle le compte de paiement du payeur est crédité n’est pas postérieure à la date à laquelle il avait été débité. »
Ce délai d’un jour ouvrable constitue donc la règle, et le refus de rembourser constitue l’exception, strictement encadrée : la banque doit disposer de bonnes raisons de soupçonner une fraude commise par vous-même, et les communiquer par écrit à la Banque de France. Un simple doute, une suspicion non documentée ou un motif général lié à la prudence ne suffisent pas à écarter le remboursement immédiat. Exigez systématiquement une décision écrite : si votre établissement diffère le remboursement, demandez la copie de la motivation adressée à la Banque de France, car cette transparence conditionne la régularité du refus.
Lorsque la banque tarde, des intérêts de retard majorés s’appliquent de plein droit. Le code prévoit : « Les sommes dues produisent intérêt au taux légal majoré de cinq points » et « Au-delà de sept jours de retard, les sommes dues produisent intérêt au taux légal majoré de dix points », puis « Au-delà de trente jours de retard, les sommes dues produisent intérêt au taux légal majoré de quinze points » (article L133-18 du code monétaire et financier). Chaque jour de retard au-delà du premier jour ouvrable vous donne donc droit à ces majorations, calculées sur le montant non remboursé. Mentionnez-les dans vos courriers : elles accélèrent souvent le traitement des dossiers.
Les tribunaux appliquent ce remboursement immédiat avec fermeté, y compris dans les dossiers d’escroquerie au faux conseiller. Le 9 janvier 2026, le tribunal judiciaire de Paris a rappelé : « en cas d’opération de paiement non autorisée signalée par l’utilisateur, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. » (tribunal judiciaire de Paris, 9 janvier 2026, RG 25/03417). Dans cette affaire, la victime avait été contactée par une personne se présentant comme un agent du service des fraudes de son établissement, qui l’avait alertée d’un virement tenté depuis l’étranger par des pirates puis guidée vers la création d’un compte de secours supposé la protéger. Le tribunal a examiné si les virements exécutés dans ce cadre constituaient des opérations autorisées ou non, avant d’appliquer le régime du remboursement. La leçon pratique est directe : même quand la victime a elle-même validé des opérations sous l’emprise d’un manipulateur, ces opérations peuvent être qualifiées de non autorisées, et le remboursement immédiat reste la règle sauf fraude de l’utilisateur établie par la banque.
Si votre compte a été temporairement restreint après une alerte de sécurité, distinguez deux situations. Lorsque la banque bloque un instrument par précaution, elle doit vous prévenir et lever la mesure dès que le risque cesse, selon votre convention de compte, qui prime sur toute analyse générale. Lorsque le blocage accompagne un refus de remboursement, exigez la motivation écrite prévue par l’article L133-18 précité. Dans tous les cas, le blocage ne remplace pas le remboursement : un compte sécurisé n’est pas un compte remboursé, et les deux démarches avancent en parallèle.
II. Fraude à la carte bancaire et remboursement : qui doit prouver la négligence grave quand la banque refuse ?
A. Virement non autorisé et négligence grave : à la banque de prouver, dans la limite de 50 euros ?
Le point le plus disputé des dossiers concerne la négligence grave : la banque affirme que vous avez communiqué vos codes, validé une notification ou négligé vos alertes, et refuse le remboursement sur ce fondement. Or la loi place la charge de cette preuve sur l’établissement, jamais sur vous. Le code dispose : « Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. » (article L133-23 du code monétaire et financier). Le même article précise : « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. » Autrement dit, le fait que vos codes aient fonctionné ne prouve ni votre consentement ni votre faute : les journaux techniques de la banque ne constituent qu’un indice, pas une preuve.
La Cour de cassation l’a jugé sans ambiguïté dès 2017 : « Mais attendu que si, aux termes des articles L. 133-16 et L. 133-17 du code monétaire et financier, il appartient à l’utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et d’informer sans tarder son prestataire de tels services de toute utilisation non autorisée de l’instrument de paiement ou des données qui lui sont liées, c’est à ce prestataire qu’il incombe, par application des articles L. 133-19, IV, et L. 133-23 du même code, de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations ; que cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés » (Cour de cassation, chambre commerciale, 18 janvier 2017, pourvoi n° 15-18.102). Dans cette affaire, la banque reprochait au client d’avoir communiqué à un tiers des informations confidentielles ayant permis les paiements contestés, en évoquant un hameçonnage. La Cour a validé le rejet de cette argumentation : supposer que le client a répondu à un courriel frauduleux ne démontre ni une faute intentionnelle ni une négligence grave. Depuis cet arrêt, une banque qui se contente d’affirmer que vous avez été imprudent, sans en rapporter la preuve par des pièces précises, perd son procès en remboursement.
La Cour a confirmé et précisé cette solution en 2020, en ajoutant une condition technique à la charge de la banque. Elle a jugé : « il résulte des articles L. 133-19, IV, et L. 133-23 du code monétaire et financier, dans leur rédaction issue de l’ordonnance n° 2009-866 du 15 juillet 2009, que s’il entend faire supporter à l’utilisateur d’un instrument de paiement doté d’un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L. 133-16 et L. 133-17 de ce code, le prestataire de services de paiement doit aussi prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. » (Cour de cassation, chambre commerciale, 12 novembre 2020, pourvoi n° 19-12.112). La banque doit donc prouver deux choses cumulativement : votre manquement grave et la régularité technique de l’opération. Si elle échoue sur l’un des deux points, elle rembourse.
Vos propres obligations restent néanmoins réelles et limitées à des gestes raisonnables. Le code prévoit : « Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. » (article L133-16 du code monétaire et financier). Conserver ses codes, ne jamais les transmettre, vérifier l’expéditeur des messages reçus et composer soi-même le numéro de sa banque relèvent de ces mesures raisonnables. En revanche, céder à un manipulateur qui usurpe le numéro de votre banque, reproduit ses codes d’appel et connaît vos nom et solde ne constitue pas automatiquement une négligence grave : les juges apprécient concrètement la sophistication de la manoeuvre et votre comportement, et c’est à la banque d’établir la faute caractérisée.
Le montant laissé à votre charge en cas de perte ou de vol reste plafonné. Le code dispose : « En cas d’opération de paiement non autorisée consécutive à la perte ou au vol de l’instrument de paiement, le payeur supporte, avant l’information prévue à l’article L. 133-17 , les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 €. » (article L133-19 du code monétaire et financier). Ce plafond de 50 euros ne joue toutefois qu’avant votre opposition et uniquement pour la perte ou le vol, avec de larges exceptions protectrices. Le même article prévoit : « La responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées. » Un piratage à distance, une interception de vos données ou un paiement passé sans vos dispositifs de sécurité vous exonèrent donc totalement. De même : « Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44 . » Si votre banque n’a pas exigé la double validation pour l’opération litigieuse, elle ne peut rien vous imputer, sauf à démontrer votre propre fraude.
L’authentification forte constitue d’ailleurs une obligation de sécurité à la charge des établissements. Le code impose : « Le prestataire de services de paiement applique l’authentification forte du client définie au f de l’article L. 133-4 lorsque le payeur : 1° Accède à son compte de paiement en ligne ; 2° Initie une opération de paiement électronique ; 3° Exécute une opération par le biais d’un moyen de communication à distance, susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse. » (article L133-44 du code monétaire et financier). Pour les paiements à distance, cette authentification « comporte des éléments qui établissent un lien dynamique entre l’opération, le montant et le bénéficiaire donnés », c’est-à-dire un code à usage unique lié au montant exact et au destinataire exact. Une banque qui valide un virement vers un nouveau bénéficiaire sans ce lien dynamique manque à ses propres obligations de sécurité, ce qui fragilise toute accusation de négligence dirigée contre vous.
Cette grille de lecture s’applique directement aux escroqueries au faux conseiller, dont le mode opératoire a été décrit par le tribunal judiciaire de Paris : « le procédé dit du « spoofing » ou du faux conseiller bancaire consiste à contacter le client d’un prestataire de services de paiement en se faisant passer pour son conseiller bancaire, ou un salarié de l’organisme bancaire, par usurpation d’identité, cette dernière pouvant être effectuée par mail, SMS ou encore appel téléphonique. » (tribunal judiciaire de Paris, 5 juin 2026, RG 25/03119). Le jugement ajoute que l’escroc, en gagnant la confiance de sa victime, la convainc de lui communiquer ses données personnelles de sécurité avant de soutirer de l’argent par des opérations effectuées ou fait effectuer par la victime elle-même. Face à ce scénario, le tribunal rappelle que « la responsabilité d’un prestataire de services de paiement en raison d’une opération de paiement non autorisée ou mal exécutée est soumise au seul régime de responsabilité défini aux article L. 133-18 à L. 133-24 du code monétaire et financier », à l’exclusion de tout autre fondement. Votre dossier doit donc être construit sur ces seuls articles : contestation dans les treize mois, demande de remboursement immédiat, refus de supporter une négligence non prouvée, plafond de 50 euros opposé à toute demande de franchise supérieure.
B. Escroquerie, plainte et action en justice : quels recours si la banque refuse de rembourser ?
Lorsque l’argent a été soutiré par ruse, les faits relèvent pénalement de l’escroquerie. Le code pénal définit : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. » (article 313-1 du code pénal). Le texte ajoute : « L’escroquerie est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende. » Le faux conseiller qui usurpe l’identité de votre banque, le faux SMS qui imite ses alertes, le faux site qui copie sa page de connexion correspondent trait pour trait à ces manoeuvres frauduleuses. Déposez plainte auprès de la police ou de la gendarmerie en joignant votre récit chronologique, vos relevés, les messages reçus et la référence de votre opposition : le procès-verbal et son récépissé appuieront votre demande civile de remboursement et permettront l’enquête sur les comptes destinataires.
Adressez ensuite à votre banque une réclamation écrite complète, distincte du simple signalement. Cette lettre rappelle chaque opération contestée avec sa date de débit, vise le remboursement immédiat prévu par l’article L133-18 du code monétaire et financier, rappelle le délai de treize mois à compter de chaque débit prévu par l’article L133-24 du même code, conteste par avance toute imputation de négligence grave non prouvée au sens des articles L133-19 et L133-23, oppose le plafond de 50 euros à toute retenue supérieure, et réclame les intérêts majorés en cas de dépassement du premier jour ouvrable. Joignez le récépissé d’opposition, le récépissé de plainte et vos preuves de bonne foi, puis fixez un délai de réponse de quinze jours. Si la banque oppose un soupçon de fraude de votre part, exigez la communication écrite adressée à la Banque de France : sans cet écrit, le refus ne respecte pas les conditions légales.
En cas de réponse négative ou d’absence de réponse, deux voies se complètent. La voie amiable passe par le médiateur bancaire désigné par votre établissement, saisi après l’échec de la réclamation écrite, selon les modalités indiquées dans votre convention de compte : exposez les faits, chiffrez chaque opération et citez les textes visés dans votre lettre. La voie judiciaire consiste à demander au tribunal le remboursement des opérations qualifiées de non autorisées, avec remise en état du compte et intérêts majorés : les décisions parisiennes de janvier et de juin 2026 montrent que les juges examinent concrètement le scénario de manipulation, vérifient qui doit prouver quoi, et appliquent le régime des articles L133-18 à L133-24 sans le confondre avec d’autres fondements. Préparez un dossier chronologique unique, plainte, opposition, courriers, relevés avant et après, et relevé des notifications d’authentification reçues : un dossier ordonné fait souvent basculer la phase amiable avant tout procès.
Restez enfin lucide sur les limites de chaque situation. Si vous avez vous-même initié un virement vers un bénéficiaire réel en croyant payer une facture, sans détournement de vos données et avec authentification forte régulière, la qualification d’opération non autorisée devient plus difficile et dépend des circonstances exactes appréciées par le juge. Si vous avez transmis vos codes en dehors de toute manoeuvre de manipulation, par exemple en les inscrivant sur un document partagé ou en les communiquant à un proche, la banque disposera d’arguments sérieux pour soutenir la négligence grave, qu’il lui appartiendra toujours de prouver. Et si vous agissez après l’expiration du délai de treize mois suivant la date de débit, la forclusion prévue par l’article L133-24 vous privera du remboursement, même si la fraude est avérée. Ces nuances expliquent l’importance d’agir dans les premières heures : chaque jour compte pour le signalement, pour les preuves et pour les intérêts de retard.
Conclusion
Face à une cyberattaque qui frappe une banque comme face à un simple SMS frauduleux, le droit applicable reste le même : signalez sans tarder et au plus tard dans les treize mois suivant chaque débit, exigez le remboursement au plus tard à la fin du premier jour ouvrable, refusez toute franchise supérieure à 50 euros et toute accusation de négligence grave que la banque ne prouve pas par des pièces précises, et faites constater vos démarches par écrit, de l’opposition à la plainte pour escroquerie. Les décisions rendues en 2026 confirment que les juges qualifient sévèrement les manoeuvres de spoofing et appliquent le remboursement immédiat, tandis que la Cour de cassation rappelle depuis 2017 que l’utilisation de vos codes par un tiers ne prouve ni votre consentement ni votre faute. Ces principes valent pour tout établissement et toute situation comparable : ils décrivent les vérifications utiles dans chaque dossier de ce type, sans préjuger d’aucun cas particulier. À la date de rédaction, les faits rapportés par la presse sur l’attaque subie par un groupe bancaire demeurent établis uniquement par ces articles, aucune responsabilité n’est établie, les conventions de compte signées priment sur toute analyse générale, et seul le juge tranche les litiges sur les preuves produites devant lui.