Oui, une banque doit en principe rembourser un client dont le compte a été débité sans son autorisation après l'appel d'un faux conseiller, et elle doit le faire tout de suite : l'article L133-18 du Code monétaire et financier impose un remboursement immédiat, au plus tard à la fin du premier jour ouvrable suivant votre signalement. La difficulté se joue sur un point précis : l'opération a-t-elle été autorisée par vous, ou le fraudeur a-t-il agi à votre place ? Hyrulea n'est pas un cabinet d'avocats : ce guide explique les textes et les décisions, mais chaque affaire se juge sur ses faits.
Comment fonctionne la fraude au faux conseiller
Le scénario est devenu classique. Un appel, parfois un SMS, vous prévient d'une « tentative de fraude » sur votre compte. Le numéro affiché peut être celui de votre agence : c'est le spoofing, l'usurpation de numéro. Le faux conseiller connaît souvent votre nom, parfois des opérations récentes obtenues par hameçonnage. Il vous demande ensuite, « pour sécuriser votre compte », de valider une notification, de communiquer un code reçu par SMS, de réinscrire des bénéficiaires de virement ou d'installer une application d'assistance à distance.
La fiche réflexe de Cybermalveillance.gouv.fr (mise à jour le 7 mai 2026) donne la règle : ne validez aucune opération que vous n'avez pas initiée, même si l'on prétend vouloir l'annuler, et ne communiquez jamais vos identifiants. La même arnaque circule côté plateformes de vente : la section sur les faux conseillers dans notre guide des arnaques Vinted et Leboncoin décrit le « conseiller » qui rappelle ensuite pour « annuler » la fraude.
L'ampleur du phénomène est documentée. Selon le rapport 2025 de l'Observatoire de la sécurité des moyens de paiement de la Banque de France, publié le 9 septembre 2026, la fraude par manipulation a représenté 516 millions d'euros en 2025, soit un peu plus de 40 % de la fraude totale (environ 1,2 milliard d'euros), et sa part a doublé en quatre ans. Le rapport cite le faux conseiller bancaire parmi les fraudes par manipulation qui s'accentuent.
Ce que dit la loi : opération autorisée ou non ?
Tout le droit applicable tient en une distinction. Une opération est autorisée si vous y avez consenti sous la forme convenue avec votre banque (art. L133-6 et L133-7 du Code monétaire et financier) ; à défaut, elle est réputée non autorisée. Les règles de protection en découlent.
J+1
Remboursement exigible
13 mois
Délai pour contester
0 €
Perte pour vous sans authentification forte
- Remboursement immédiat (L133-18). Dès que vous signalez une opération non autorisée, la banque doit vous rembourser et rétablir le compte dans l'état où il se serait trouvé. Elle ne peut s'y soustraire que si elle a de bonnes raisons de soupçonner une fraude de votre part et les communique par écrit à la Banque de France. En cas de retard, les sommes dues portent intérêt au taux légal majoré de 5 points, puis de 10 points après 7 jours et de 15 points après 30 jours.
- Charge de la preuve (L133-23). C'est à la banque de prouver que l'opération a été authentifiée, correctement enregistrée et comptabilisée. L'enregistrement de l'utilisation de votre carte ou de vos identifiants ne suffit pas nécessairement, à lui seul, à prouver que vous avez autorisé l'opération ou commis une négligence grave.
- Négligence grave (L133-19, IV). Vous supportez toutes les pertes en cas d'agissement frauduleux de votre part, ou si vous avez manqué par négligence grave à vos obligations, notamment celle de préserver vos dispositifs de sécurité. C'est le moyen de défense favori des banques, et c'est à elles de le prouver.
- Absence d'authentification forte (L133-19, V). Sauf fraude de votre part, vous n'avez aucune conséquence financière à supporter si l'opération a été réalisée sans l'authentification forte que votre banque était tenue d'exiger.
Un cas à part concerne certains paiements par carte dont le prestataire du bénéficiaire est établi hors de l'Union européenne et de l'Espace économique européen : depuis le 1er janvier 2026, l'article L133-1-1 ramène le délai de contestation de 13 mois à 70 jours, extensible par contrat à 120 jours au plus. Dans le doute, ne comptez jamais sur les 13 mois.
Ce que dit la jurisprudence
La Cour de cassation et la Cour de justice de l'Union européenne ont rendu, depuis fin 2024, plusieurs décisions qui structurent le débat. Toutes ont été lues sur Légifrance ou sur le communiqué officiel de la Cour de justice.
Cour de cassation, n° 23-16.267
Le spoofing du numéro de la conseillère écarte la négligence grave. La banque rembourse 54 500 €.
Cour de cassation, n° 24-13.777
Faux technicien de la banque et numéro usurpé : pas de négligence grave pour une entreprise, 98 000 € à rembourser.
Cour de cassation, n° 22-22.609
Pourvoi rejeté : les clients ne justifiaient pas de la date de leur signalement à la banque.
Cour de cassation, n° 24-19.588
Cassation : il fallait rechercher si le message de confirmation indiquait une validation de paiement, non une annulation.
Cour de cassation, n° 25-13.134
Le recours à la forme de consentement prévue au contrat ne suffit pas à prouver l'autorisation.
CJUE, affaire C-70/25
La négligence grave ne dispense pas du remboursement immédiat.
23 octobre 2024 : le spoofing ne prouve pas la négligence
Dans cette affaire, un client de BNP Paribas constate le 31 mai 2019 des virements frauduleux totalisant 54 500 €, après l'appel d'une fausse préposée de la banque qui lui a fait ajouter cinq bénéficiaires. Le numéro affiché était celui de sa conseillère. La cour d'appel de Versailles (28 mars 2023) avait condamné la banque à rembourser 54 500 € avec intérêts et à verser 1 500 € de dommages et intérêts. La chambre commerciale rejette le pourvoi : la preuve de la négligence grave incombe au prestataire de paiement, et l'usurpation du numéro a mis le client en confiance et diminué sa vigilance. Le sommaire de l'arrêt est net : aucune négligence grave ne peut être imputée au titulaire d'un compte qui, appelé par une personne se faisant passer pour un préposé de sa banque dont le numéro s'affiche, utilise à sa demande son dispositif de sécurité pour supprimer puis réinscrire des bénéficiaires.
12 juin 2025 : même logique pour une entreprise
Le 12 juin 2025, la même chambre confirme la condamnation de BNP Paribas à rembourser 98 000 € à une société dont une salariée avait suivi les instructions d'un faux technicien de la banque. Elle relève que l'interlocuteur avait usurpé un numéro de la banque et connaissait les opérations antérieures, ce qui pouvait faire croire à un incident informatique.
4 mars 2026 : une victime peut perdre sur un indice
Cette décision nuance la précédente. Un client du CIC avait été appelé par un faux préposé qui lui demandait de se connecter à son application pour « annuler » des opérations. Le tribunal de proximité de Morlaix l'avait fait rembourser 3 946 € en écartant la négligence grave, au motif que l'appel venait du numéro officiel de l'agence pendant ses horaires d'ouverture. La Cour de cassation casse le jugement : les juges auraient dû rechercher si le message de confirmation reçu indiquait une validation de paiement et non une annulation, ce qui aurait pu permettre au client de soupçonner la fraude. L'affaire est renvoyée devant le tribunal judiciaire de Brest. La même décision juge que l'obligation de vigilance des banques prévue à l'article L561-6 a pour seule finalité la lutte contre le blanchiment : une victime ne peut pas l'invoquer pour réclamer des dommages et intérêts.
4 février 2026 : la date du signalement doit se prouver
Dans cette affaire, des débits par carte avaient été effectués en 2018 après activation d'un code 3D Secure. La Cour de cassation rejette le pourvoi des clients en relevant qu'ils « ne justifiaient pas de la date » de leur signalement à la banque. Ce n'est pas une affaire de faux conseiller, mais l'enseignement vaut pour toutes les fraudes : un signalement par téléphone sans trace écrite est fragile.
1er juillet 2026 : le contrat ne suffit pas à prouver votre accord
Le 1er juillet 2026, la chambre commerciale casse un arrêt de la cour d'appel de Paris qui avait déduit le consentement d'une société du seul usage du dispositif d'authentification prévu au contrat, ce qui revenait à inverser la charge de la preuve. Ici aussi, l'usage enregistré de l'instrument de paiement ne suffit pas nécessairement à prouver l'autorisation (art. L133-23).
15 octobre 2026 : la Cour de justice de l'Union européenne tranche
Dans l'affaire C-70/25, une cliente polonaise, victime d'hameçonnage, avait perdu environ 700 euros. La banque avait refusé de la rembourser en invoquant sa négligence grave. Selon le communiqué de la Cour, la banque doit d'abord rembourser immédiatement, puis peut réclamer les pertes au client si elle établit une négligence grave de sa part. La seule exception au remboursement immédiat est le soupçon de fraude du client, communiqué par écrit à l'autorité nationale. La Cour précise qu'il appartient à la banque de prouver la négligence grave, et qu'un refus d'emblée obligerait le client à engager lui-même une procédure.
Cette solution concerne la directive européenne sur les services de paiement, dont l'article L133-18 reprend le principe. Elle renforce l'argument à opposer à une banque qui refuse de rembourser « le temps d'examiner votre négligence ». Elle ne décide pas, en revanche, de l'issue finale de chaque litige, ni du cas où vous avez vous-même validé un virement.
Virement validé par vous : le cas le plus difficile
Les décisions ci-dessus portent surtout sur des opérations que le fraudeur a réalisées, avec vos codes ou après vos validations de sécurité. Si le faux conseiller vous a fait faire vous-même un virement vers un « compte sécurisé », la banque soutiendra que l'ordre vient de vous et qu'il s'agit d'une opération autorisée. L'article L133-18 ne joue alors pas de la même façon.
Cela ne ferme pas toutes les portes. Le 2 octobre 2024, la Cour de cassation a confirmé la condamnation d'une banque à indemniser une société de 1 060 951,90 € (soit la moitié du préjudice) après sept virements d'environ 2,12 millions d'euros vers Hong Kong, exécutés à la suite d'une fraude au président : les virements présentaient des anomalies apparentes (ordres rapprochés et répétés, montants élevés, bénéficiaires inhabituels, zone géographique inhabituelle) et la banque n'avait vérifié qu'auprès de la comptable, non du dirigeant seul habilité à les valider. Cette décision concernait une entreprise et une fraude différente ; elle ne garantit rien à un particulier. De plus, l'arrêt du 4 mars 2026 rappelle que le devoir de vigilance anti-blanchiment ne sert pas de base à une indemnisation. Pour un virement que vous avez validé, la prudence s'impose : réclamez le rappel des fonds immédiatement, constituez le dossier, et faites-vous conseiller par un avocat ou une association de consommateurs.
Le service de vérification du bénéficiaire, instauré en octobre 2025 selon la Banque de France, doit aider à repérer les écarts entre un nom et un IBAN. Il ne remplace pas votre vigilance.
Que faire dans l'heure, puis dans la journée
Dans les 10 premières minutes : bloquer
Faites opposition à votre carte par le numéro de votre banque ou le serveur interbancaire au 0 892 705 705 (surtaxé, 24 h/24). Si les escrocs ont pu accéder à votre espace en ligne, changez vos identifiants ou demandez à la banque de les réinitialiser. Ne validez plus aucune notification, quoi que dise votre interlocuteur.
Dans l'heure : joindre la banque
Appelez-la vous-même, avec le numéro figurant au dos de votre carte ou sur son site. Demandez le rappel ou la suspension des virements, le remboursement des paiements, et notez le nom de l'interlocuteur, l'heure et la référence du dossier. Confirmez ensuite par écrit (message dans l'espace client, puis recommandé).
Le jour même : conserver les preuves
Captures d'écran du journal d'appels (numéro, heure, durée), SMS, notifications, ordres de virement, relevés, noms des bénéficiaires. Ne supprimez rien et ne réinitialisez pas votre téléphone avant d'avoir tout sauvegardé.
Dans les 24 à 48 heures : déposer plainte
Au commissariat ou à la gendarmerie, ou par écrit auprès du procureur de la République. Pour une fraude à la carte, vous pouvez en plus la signaler sur Perceval, qui s'adresse aux victimes d'achats en ligne frauduleux par carte qui ont encore leur carte et y ont déjà fait opposition auprès de leur banque ; ce signalement ne remplace pas la plainte. Info Escroqueries répond au 0 805 805 817 (gratuit, de 9 h à 18 h 30 du lundi au vendredi), et France Victimes accompagne gratuitement au 116 006.
Sous 48 heures : le courrier recommandé
Envoyez une réclamation en lettre recommandée avec accusé de réception (modèle ci-dessous). Elle fixe la date de votre contestation et la rend opposable.
Modèle de courrier de contestation
À adapter à votre situation, en conservant les faits exacts et sans accusation que vous ne pouvez pas prouver.
Si la banque refuse : réclamation, médiateur, tribunal
- La réclamation écrite. Elle précède tout. Gardez l'accusé de réception et la réponse.
- Le médiateur bancaire. Selon Service-Public, vous pouvez le saisir gratuitement si la réponse de la banque ne vous satisfait pas ou en l'absence de réponse après 2 mois (15 jours pour un différend sur un service de paiement), dans l'année suivant votre réclamation écrite. Il doit proposer une solution sous 90 jours ; vous restez libre de l'accepter ou non.
- Le tribunal. Le même site indique que, pour un litige inférieur à 5 000 €, une recherche d'accord amiable est obligatoire avant toute action en justice. Au-delà, ou si la médiation échoue, un avocat ou une association de consommateurs peut vous aider à préparer l'assignation.
Les erreurs qui fragilisent un dossier
| Erreur | Pourquoi elle pèse | À faire à la place |
|---|---|---|
| Prévenir la banque seulement par téléphone | Sans trace écrite, la date du signalement peut être contestée (Cass. com., 4 février 2026) | Appel immédiat, puis message dans l'espace client et recommandé |
| Rappeler le numéro qui vient de vous appeler | Vous risquez de retomber sur le fraudeur | Appeler le numéro au dos de la carte ou du site officiel |
| Valider une notification « pour annuler » | Le message de confirmation peut être retenu contre vous (Cass. com., 4 mars 2026) | Ne valider aucune opération que vous n'avez pas lancée |
| Effacer SMS, journal d'appels, application | Le dossier repose sur ces traces | Captures d'écran et sauvegarde avant toute manipulation |
| Attendre la fin de la semaine | La loi demande un signalement « sans tarder » | Signaler le jour même, même incomplet |
Se protéger pour la prochaine fois
Aucune banque ne vous demandera de valider une opération pour la « bloquer », ni de communiquer un code. Un SMS qui prépare l'appel (« opération suspecte », « compte bloqué ») peut se tester avec notre outil gratuit « Ce SMS est-il une arnaque ? », qui ne conserve rien de ce que vous collez. Si l'appel vous inquiète, raccrochez et rappelez par le numéro officiel. Activer des passkeys sur vos comptes limite le vol d'identifiants par hameçonnage, mais rien ne vous protège d'un code que vous donnez vous-même. Les faux conseillers s'appuient aussi sur des données volées par hameçonnage : voyez notre guide de l'arnaque au SMS de colis. Et si l'on vous parle d'un « placement sécurisé » ou d'un transfert vers un portefeuille de cryptomonnaies pour « protéger votre épargne », consultez les schémas d'arnaque crypto et notre guide pour sécuriser vos cryptos.
