Un matin, le relevé affiche des paiements que vous n’avez jamais effectués : un site marchand inconnu, un retrait dans une ville où vous n’êtes jamais allé, parfois des dizaines d’opérations en quelques heures. Le réflexe varie : certains appellent aussitôt leur banque, d’autres attendent le mois suivant, d’autres encore renoncent parce qu’un conseiller a répondu que le code avait été utilisé et que rien n’était possible. Chaque année, des centaines de milliers de porteurs français découvrent ainsi qu’un tiers a utilisé leur carte ou ses données. La question qui compte alors tient en trois mots, tapés chaque jour dans les moteurs de recherche : « fraude carte bancaire remboursement banque » et « fraude carte bancaire remboursement délai ». La réponse du droit français est plus protectrice que l’idée reçue : en cas d’opération non autorisée, la banque doit rembourser vite, et c’est à elle de prouver qu’elle peut refuser. Encore faut-il agir dans les bons délais, avec les bons mots et les bonnes preuves.
Cet article détaille le régime applicable en France en 2026 : le remboursement immédiat et ses intérêts de retard, le délai de treize mois pour contester, la franchise de cinquante euros et ses exceptions, l’exigence d’authentification forte, et les deux arrêts de la Cour de cassation qui encadrent la notion de négligence grave. Il se termine par la marche à suivre, étape par étape, depuis l’opposition jusqu’au médiateur.
I. Fraude carte bancaire remboursement banque : qui doit rembourser et dans quel délai
Le principe est posé par le code monétaire et financier : quand une opération de paiement n’a pas été autorisée par le titulaire, c’est le prestataire de services de paiement, c’est-à-dire en pratique la banque qui tient le compte, qui supporte la charge du remboursement. Le client n’a pas à démontrer comment les fraudeurs ont obtenu ses données, ni à identifier les auteurs. Il lui suffit de signaler une opération qu’il n’a pas autorisée. Ce renversement apparent du sens commun s’explique par la position des banques : ce sont elles qui conçoivent les systèmes d’authentification, enregistrent les opérations et conservent les traces techniques. La loi en tire une conséquence logique : la preuve pèse sur le professionnel, pas sur le consommateur.
A. Fraude carte bancaire remboursement immédiat : la banque paie au plus tard le premier jour ouvrable
Dès qu’une opération de paiement non autorisée est signalée, le texte applicable impose un remboursement éclair. Aux termes de l’article L. 133-18 du code monétaire et financier, « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France ». La formule est nette : le remboursement intervient dès que la banque sait, et au plus tard à la fin du premier jour ouvrable qui suit. La seule échappatoire prévue par le texte suppose des raisons sérieuses de soupçonner une fraude commise par le client lui-même, avec une notification écrite adressée à la Banque de France. Une simple suspicion vague, un dossier « en cours d’analyse » ou l’argument selon lequel le code secret aurait été composé ne suffisent pas à écarter ce délai.
Le même article L. 133-18 du code monétaire et financier ajoute que la banque rétablit le compte dans l’état où il se serait trouvé si l’opération non autorisée n’avait pas eu lieu, et que la date de valeur du crédit ne peut pas être postérieure à la date du débit frauduleux. Concrètement, les agios ou les frais prélevés à raison du débit frauduleux doivent eux aussi être effacés, puisque le compte est reconstitué comme si l’opération n’avait jamais existé. Quand l’opération a été initiée par l’intermédiaire d’un prestataire fournissant un service d’initiation de paiement, c’est la banque gestionnaire du compte qui rembourse d’abord le client, puis se retourne contre le prestataire à l’origine de l’opération.
Le législateur a assorti ce remboursement rapide d’une sanction financière dissuasive. Toujours selon l’article L. 133-18 du code monétaire et financier, en cas de manquement de la banque à son obligation de remboursement immédiat, « Les sommes dues produisent intérêt au taux légal majoré de cinq points ». Le texte précise ensuite qu’« Au-delà de sept jours de retard, les sommes dues produisent intérêt au taux légal majoré de dix points », et qu’« Au-delà de trente jours de retard, les sommes dues produisent intérêt au taux légal majoré de quinze points ». Ces majorations courent de plein droit : le client qui attend son remboursement pendant des semaines détient une créance d’intérêts qu’il peut réclamer par écrit, puis devant le médiateur et le juge si nécessaire. Dans la pratique, rappeler ces majorations dans la lettre de réclamation accélère souvent le traitement du dossier.
Ce régime protecteur ne joue qu’à une condition : l’opération doit être non autorisée, c’est-à-dire réalisée sans le consentement du payeur donné dans la forme convenue avec sa banque. Les opérations que le client a lui-même validées, même sous l’empire d’une tromperie, relèvent d’un autre régime, celui de l’escroquerie, où le remboursement bancaire n’est pas automatique et où la voie pénale prend le relais. La distinction est décisive : un paiement par carte que vous n’avez jamais effectué ouvre droit au remboursement immédiat décrit ci-dessus ; un virement que vous avez vous-même ordonné au profit d’un escroc qui se faisait passer pour votre banquier ou un notaire obéit à des règles différentes, centrées sur l’authentification et la vigilance.Qualifier correctement les faits dès le premier courrier évite de se voir opposer un refus fondé sur le mauvais fondement.
Enfin, le dispositif s’applique indifféremment que la carte ait été volée, perdue, contrefaite ou simplement dématérialisée : ce qui compte, c’est l’absence d’autorisation. Les achats en ligne effectués avec le seul numéro de carte, le cryptogramme et la date d’expiration, sans que le porteur ait validé quoi que ce soit, constituent des opérations non autorisées au même titre qu’un retrait avec une carte volée. La banque ne peut pas exiger que le client démontre le mode opératoire des fraudeurs, ni subordonner le remboursement au succès d’une enquête pénale. Le signalement suffit à déclencher le délai d’un jour ouvrable.
B. Fraude carte bancaire remboursement délai : treize mois pour contester et opposition sans tarder
Le droit de contester n’est pas éternel. L’article L. 133-24 du code monétaire et financier dispose que « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III ». Autrement dit, le client dispose d’un délai maximal de treize mois à compter du débit pour signaler l’opération, et passé ce délai son droit au remboursement est forclos, c’est-à-dire définitivement perdu. La seule réserve concerne l’hypothèse où la banque n’aurait pas mis à disposition les informations relatives à l’opération, notamment par un relevé régulier : dans ce cas, la forclusion ne peut pas être opposée.
Ce délai de treize mois est un plafond, pas un conseil d’attente. Le même article L. 133-24 du code monétaire et financier exige un signalement « sans tarder », et les autres textes sanctionnent l’inertie. L’article L. 133-17 du code monétaire et financier prévoit en effet que « Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci ». La première démarche consiste donc à faire opposition : depuis l’application bancaire, par téléphone auprès de la banque, via le serveur interbancaire d’opposition accessible jour et nuit, ou au guichet. L’opposition bloque la carte et empêche de nouvelles opérations ; son numéro d’enregistrement ou sa confirmation écrite constitue la première preuve du dossier.
La deuxième démarche consiste à contester par écrit, de préférence par lettre recommandée avec accusé de réception ou par message adressé via la messagerie sécurisée de l’espace client avec conservation d’une copie. Le courrier doit identifier précisément chaque opération litigieuse avec sa date, son montant et son libellé, affirmer qu’elle n’a pas été autorisée, rappeler le numéro d’opposition et demander le remboursement immédiat en citant le fondement. Joindre le récépissé d’opposition, les relevés entourant les opérations et, le cas échéant, le récépissé de signalement en ligne ou de plainte renforce le dossier. Les conseillers téléphoniques proposent parfois un formulaire interne de contestation : le remplir n’empêche pas d’adresser en parallèle une contestation écrite circonstanciée qui fait courir les délais.
La troisième démarche concerne la trace pénale et administrative. Pour une fraude commise en ligne avec une carte toujours en possession du titulaire, le signalement sur la plateforme Perceval du ministère de l’intérieur permet d’enregistrer officiellement l’utilisation frauduleuse des données de la carte. Le dépôt de plainte au commissariat ou à la gendarmerie, ou par courrier au procureur de la République, n’est pas une condition légale du remboursement, mais il établit la cohérence du récit, ouvre la voie à l’indemnisation par d’autres canaux si l’auteur est identifié, et s’avère précieux si la banque allègue ensuite une fraude du client lui-même. Conserver le récépissé de plainte avec le dossier bancaire permet de répondre point par point à une telle accusation.
Quatrième réflexe : vérifier le calendrier. Chaque opération frauduleuse possède sa propre date de débit, et le délai de treize mois court séparément pour chacune d’elles, conformément à l’article L. 133-24 du code monétaire et financier qui fait partir le délai de « la date de débit ». Une fraude découverte tardivement, par exemple à l’occasion d’un contrôle annuel, peut donc comporter des opérations encore contestables et d’autres déjà forcloses. Relever méthodiquement les dates sur douze à treize mois de relevés, plutôt que de se limiter au dernier mois, permet de ne laisser passer aucune créance. Et lorsque la banque n’a pas fourni les informations sur les opérations dans les conditions prévues par la loi, la forclusion ne joue pas : le client peut alors invoquer cette carence pour contester au-delà du délai apparent.
II. Piratage carte bancaire remboursement : quand la banque peut-elle refuser de payer
Le remboursement n’est pas inconditionnel : la loi organise trois cas dans lesquels le client supporte tout ou partie des pertes, c’est-à-dire sa propre fraude, sa négligence grave et, dans une mesure plafonnée, la période antérieure à l’opposition en cas de perte ou de vol. Mais ces exceptions sont d’interprétation stricte, et c’est à la banque de les établir. Les contentieux se perdent ou se gagnent sur ce terrain : une banque qui se contente d’affirmer que le code a été composé, sans démontrer l’authentification, l’enregistrement régulier des opérations et l’absence de défaillance technique, échoue. Deux arrêts publiés au Bulletin de la chambre commerciale de la Cour de cassation, rendus en 2020 et en 2024, l’ont rappelé avec une netteté qui profite directement aux victimes.
A. Vol carte bancaire remboursement et franchise de 50 euros : ce que dit vraiment la loi
En cas de perte ou de vol de la carte, la loi met à la charge du client les pertes antérieures à l’opposition, mais dans une limite chiffrée. L’article L. 133-19 du code monétaire et financier dispose qu’« En cas d’opération de paiement non autorisée consécutive à la perte ou au vol de l’instrument de paiement, le payeur supporte, avant l’information prévue à l’article L. 133-17 », et que les pertes ainsi visées restent « dans la limite d’un plafond de 50 € ». Avant l’opposition, le client peut donc se voir retenir jusqu’à cinquante euros ; après l’opposition, plus rien ne peut lui être imputé à ce titre. Ce plafond de cinquante euros ne constitue ni un forfait systématique ni une franchise automatique : il s’agit d’un maximum, et la banque qui l’applique doit établir que les opérations en cause résultent bien de la perte ou du vol et qu’elles sont antérieures à l’information aux fins de blocage.
Surtout, ce plafond comporte des exceptions qui, en pratique, couvrent une grande partie des fraudes modernes. Le même article L. 133-19 du code monétaire et financier écarte toute retenue lorsque l’opération a été effectuée sans utilisation des données de sécurité personnalisées, lorsque la perte ou le vol ne pouvait pas être détecté par le client avant le paiement, ou lorsque la perte résulte d’actes ou d’une carence d’un salarié, d’un agent, d’une succursale ou d’un sous-traitant d’un prestataire de services de paiement. Les paiements par carte présentée sans saisie du code qui sont détournés, les paiements en ligne réalisés avec le seul numéro de carte sans code de validation, et les opérations intervenues sur des terminaux défaillants échappent ainsi à la retenue. De même, le texte précise que « La responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées », et qu’« Elle n’est pas engagée non plus en cas de contrefaçon de l’instrument de paiement si, au moment de l’opération de paiement non autorisée, le payeur était en possession de son instrument ». Le skimming de distributeurs, la copie de piste magnétique et le piratage de bases marchandes, où le client conserve sa carte pendant que des doubles circulent, relèvent de ces cas d’exonération totale.
Deux autres protections complètent le tableau. D’une part, sauf fraude de sa part, le client ne supporte aucune conséquence financière si sa banque ne lui a pas fourni de moyens appropriés permettant l’information aux fins de blocage prévue par l’article L. 133-17 du code monétaire et financier : un numéro d’opposition injoignable ou une application qui ne permet pas de bloquer la carte prive la banque du droit d’invoquer la période antérieure à l’opposition. D’autre part, et c’est un point souvent décisif pour les achats en ligne, le même article L. 133-19 du code monétaire et financier prévoit que « Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44 ». Autrement dit, si la banque a laissé passer un paiement en ligne sans exiger la validation forte, elle ne peut rien retenir au client, pas même les cinquante euros, et doit rembourser l’intégralité.
Reste le cas où la banque impute au client une faute lourde : l’article L. 133-19 du code monétaire et financier fait supporter au payeur toutes les pertes lorsque celles-ci « résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 ». Ces obligations sont connues : l’article L. 133-16 du code monétaire et financier exige que « Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées », et qu’« Il utilise l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées », tandis que l’article L. 133-17 du code monétaire et financier impose l’information sans tarder aux fins de blocage. Noter son code sur la carte, le photographier dans son téléphone sans protection, le communiquer à un inconnu, ou tarder plusieurs semaines à faire opposition après avoir repéré des opérations inconnues : voilà le type de comportements que les banques invoquent au titre de la négligence grave. Mais l’invocation ne suffit pas, comme le montre la jurisprudence.
B. Authentification forte et négligence grave : ce que la Cour de cassation exige de la banque
Le verrou du système tient en une règle de preuve posée par l’article L. 133-23 du code monétaire et financier : « Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre ». Le texte ajoute que « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière ». La banque qui se borne à produire ses journaux informatiques montrant que le code a été composé ne rapporte donc pas, à elle seule, la preuve requise : les relevés internes ne prouvent ni l’autorisation ni la faute du client.
La Cour de cassation a donné à ce texte une portée redoutable pour les banques. Dans un arrêt du 12 novembre 2020 publié au Bulletin, rendu dans une affaire où une cliente avait reçu sur son téléphone des codes de validation pour des paiements en ligne qu’elle n’avait pas effectués, la chambre commerciale juge que « il résulte des articles L. 133-19, IV, et L. 133-23 du code monétaire et financier, dans leur rédaction issue de l’ordonnance n° 2009-866 du 15 juillet 2009, que s’il entend faire supporter à l’utilisateur d’un instrument de paiement doté d’un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L. 133-16 et L. 133-17 de ce code, le prestataire de services de paiement doit aussi prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre » (Cass. com., 12 nov. 2020, n° 19-12.112, publié au Bulletin, rejet). La banque qui veut faire payer le client doit donc rapporter deux preuves cumulatives : celle de la faute du client et celle de la régularité technique des opérations. À défaut de la seconde, sa demande échoue, même si une négligence semble établie.
Quatre ans plus tard, la même chambre a précisé l’ordre des preuves dans un arrêt de cassation promis à une large diffusion. Un client avait remis son relevé d’identité bancaire, puis sa carte et ses codes d’accès à un inconnu rencontré sur un réseau social, ce qui avait permis virements, retraits et paiements pour un montant supérieur à cinquante mille euros. La cour d’appel l’avait condamné en retenant ses négligences graves sans vérifier la régularité technique des opérations. La Cour de cassation censure : « Il résulte de ces textes que s’il entend faire supporter à l’utilisateur d’un instrument de paiement doté d’un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L. 133-16 et L. 133-17 de ce code, le prestataire de services de paiement doit au préalable prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre » (Cass. com., 20 nov. 2024, n° 23-15.099, publié au Bulletin, cassation avec renvoi devant la cour d’appel de Lyon). Le mot « préalable » change tout : la preuve technique passe en premier, avant même l’examen de la faute du client. Une banque qui n’établit pas l’authentification et l’enregistrement régulier des opérations perd son procès, quand bien même le client aurait commis des imprudences manifestes.
L’authentification forte constitue l’autre pilier de la protection. L’article L. 133-44 du code monétaire et financier impose à la banque d’appliquer une authentification forte lorsque le client accède à son compte en ligne, initie une opération de paiement électronique ou agit à distance dans une situation à risque, et précise que « Pour les opérations de paiement électronique à distance, l’authentification forte du client définie au f de l’article L. 133-4 comporte des éléments qui établissent un lien dynamique entre l’opération, le montant et le bénéficiaire donnés ». Concrètement, la validation d’un paiement en ligne doit lier le code au montant exact et au bénéficiaire exact : un code intercepté par hameçonnage puis rejoué pour un autre montant ou un autre destinataire ne satisfait pas à cette exigence. Quand la banque a laissé passer l’opération sans cette validation liée, le client n’a rien à payer, comme le prévoit le paragraphe V de l’article L. 133-19 du code monétaire et financier cité plus haut. Les dossiers où la banque affirme que le client a validé avec son application mobile se gagnent ou se perdent sur ce point : exiger la production des journaux d’authentification avec le lien dynamique est souvent décisif.
Lorsque la banque refuse malgré tout, l’escalade suit un ordre éprouvé. D’abord une réclamation écrite au service dédié de la banque, en recommandé ou via la messagerie sécurisée, qui rappelle les textes et les délais et chiffre la demande en principal et intérêts. Ensuite, en cas de rejet ou d’absence de réponse sous deux mois, la saisine du médiateur bancaire, ouverte au client dans les conditions prévues par la convention de compte et suspensive des poursuites sur les sommes contestées dans bien des conventions. En parallèle, le signalement des faits à l’Autorité de contrôle prudentiel et de résolution pour les manquements répétés, et le dépôt de plainte qui qualifie pénalement les faits : l’article 313-1 du code pénal définit l’escroquerie comme « le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge », et précise que « L’escroquerie est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende ». La contrefaçon et l’usage d’instruments de paiement falsifiés relèvent quant à eux de l’article L. 163-3 du code monétaire et financier, qui punit de cinq ans d’emprisonnement et de 375 000 euros d’amende le fait de contrefaire ou de falsifier un instrument de paiement, d’en faire usage en connaissance de cause, ou d’accepter en connaissance de cause un paiement effectué au moyen d’un instrument contrefaisant ou falsifié. Ces qualifications pénales visent les auteurs de la fraude, pas la banque, mais elles cadrent le dossier et appuient la demande civile.
Conclusion
Le régime français de la fraude à la carte bancaire tient en quatre repères que tout porteur devrait connaître par coeur. Premier repère : l’opération non autorisée signalée doit être remboursée immédiatement, au plus tard à la fin du premier jour ouvrable, avec reconstitution complète du compte et intérêts majorés en cas de retard, en vertu de l’article L. 133-18 du code monétaire et financier. Deuxième repère : la contestation doit intervenir sans tarder et au plus tard dans les treize mois du débit, sous peine de forclusion, conformément à l’article L. 133-24 du code monétaire et financier, et l’opposition doit être immédiate dès la découverte des faits. Troisième repère : avant l’opposition, la retenue maximale est de cinquante euros, avec de larges exonérations quand la carte est restée en poche, que le détournement a eu lieu à l’insu du porteur ou que la banque n’a pas exigé d’authentification forte, selon l’article L. 133-19 du code monétaire et financier. Quatrième repère : c’est à la banque de prouver l’authentification, l’enregistrement régulier et l’absence de défaillance technique avant même de parler de négligence du client, comme l’exigent l’article L. 133-23 du code monétaire et financier et les arrêts de la Cour de cassation des 12 novembre 2020 et 20 novembre 2024. Opposition immédiate, contestation écrite précise, signalement et plainte, relance chiffrée avec les intérêts de retard, puis médiateur : dans cet ordre, la victime met toutes les chances de son côté pour récupérer son argent.