Appels de faux conseillers bancaires : la banque doit-elle rembourser les opérations frauduleuses ?

Fraude en ligne : en quoi consiste l'authentification forte ?

Afin de lutter contre la fraude en ligne, les banques ont l’obligation de recourir à un dispositif de sécurité renforcée pour authentifier leurs clients et leurs achats.

Il existe trois types d’authentification forte à savoir :

• L’utilisation de l’application mobile : afin de valider l’opération, vous recevez une notification vous invitant à vous authentifier grâce à votre code ou votre empreinte. 
• La validation par un SMS : vous devez valider l’opération en saisissant un code reçu par SMS ou par un code dit "statique" communiqué par votre banque.
• La validation par un appareil physique : vous devez valider l’opération grâce à un code créé par l’appareil que votre banque vous aura mis à disposition.

Faux appels d’un conseiller bancaire : quelles sont les techniques utilisées ? 

Les escrocs utilisent principalement deux techniques, d’autant plus sournoises qu’elles permettent de respecter l’authentification forte :

• L’appel par une personne se faisant passer pour un salarié de votre banque ou pour un salarié du service fraude qui vous dit constater des opérations frauduleuses sur votre compte et vous indique que pour faire opposition au paiement, vous devez, soit lui fournir le code que vous allez recevoir par SMS, soit valider via votre application mobile la demande qui apparaitra.
• L’envoi d’un SMS vous alertant sur la réalisation d’une opération suspecte et vous invitant à appeler un numéro pour bloquer l’opération ou pour faire opposition à votre carte bancaire. 

Quelles sont les obligations de la banque en cas de fraude malgré l'authentification forte ?

Le principe

L’article L.133-18 du code monétaire et financier énonce le principe du remboursement du titulaire de la carte : "En cas d'opération de paiement non autorisée signalée par l'utilisateur dans les conditions prévues à l'article L.133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l'opération non autorisée immédiatement après avoir pris connaissance de l'opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s'il a de bonnes raisons de soupçonner une fraude de l'utilisateur du service de paiement et s'il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l'état où il se serait trouvé si l'opération de paiement non autorisée n'avait pas eu lieu".

S’agissant de la fraude sans utilisation physique de la carte bancaire, l’article L.133-19 II du code monétaire et financier précise que : "La responsabilité du payeur n'est pas engagée si l'opération de paiement non autorisée a été effectuée en détournant, à l'insu du payeur, l'instrument de paiement ou les données qui lui sont liées. Elle n'est pas engagée non plus en cas de contrefaçon de l'instrument de paiement si, au moment de l'opération de paiement non autorisée, le payeur était en possession de son instrument".

L'exception

L'article L.133-19 III du code précise que : "IV. – Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'un agissement frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17".

Le fait de communiquer le code à un faux conseiller ou de valider soi-même l'opération via l'application, constitue-t-il une négligence que la banque peut vous opposer ? 

La Cour de cassation statue au cas par cas. Il n'existe pas de règle absolue. 

Cependant, une tendance favorable aux clients semble émerger au regard de trois décisions récentes : 

Cour de cassation du 1^er juillet 2026

Pour juger les opérations de paiement autorisées, après avoir retenu que les relevés informatiques produits par la banque établissaient l'utilisation de l'identifiant et du code d'accès à l'espace en ligne et l'utilisation d'un "token" généré par un boîtier, l'arrêt en déduit, d'une part, que l'opération en question avait été authentifiée, dûment enregistrée et comptabilisée, d'autre part qu'elle n'avait pas été affectée par une déficience technique. Il ajoute que le consentement de la société L est présumé en conséquence avoir été donné conformément à la forme convenue entre les parties.

En statuant ainsi, alors que la société L contestait avoir consenti à ces opérations et soutenait que ses données de sécurité personnalisées avaient été utilisées à son insu, la cour d'appel, en déduisant le consentement des opérations litigieuses du recours à la forme convenue contractuellement, a inversé la charge de la preuve et violé les textes susvisés.

Cour de cassation le 12 juin 2025

La cour a estimé : "à la demande de l'escroc, cette employée, après s'être connectée au service de paiement en ligne à l'aide du dispositif de sécurité personnalisé mais sans le mot de passe, avait effectué diverses manipulations afin de reconstituer les écritures sans se méfier de son interlocuteur qui ne lui demandait pas de mot de passe. Il relève que la circonstance que l'escroc ait pu usurper un numéro de téléphone de la banque et annoncer le code qui s'affichait sur l'écran de l'utilisatrice était de nature à persuader celle-ci qu'elle était en relation avec un technicien. Il ajoute que la connaissance par son interlocuteur des opérations réalisées avant l'appel et de leur disparition pouvait la conforter dans la croyance qu'un incident informatique était survenu. Il retient encore que l'historique des opérations versé aux débats par la société révèle que le numéro d'abonné du titulaire de la carte de transfert sécurisé n'était pas attaché à la validation des tiers.

De ces constatations et appréciations, la Cour d'appel a pu déduire que la société n'avait pas commis de négligence grave dans la conservation et l'utilisation de ses données personnelles de sécurité".

Cour de Cassation le 23 octobre 2024

La cour a estimé que "Après avoir exactement énoncé qu'il incombe au prestataire de services de paiement de rapporter la preuve d'une négligence grave de son client, l'arrêt constate que le numéro d'appel apparaissant sur le téléphone portable de M. [J] s'était affiché comme étant celui de Mme [Y], sa conseillère BNP et retient qu'il croyait être en relation avec une salariée de la banque lors du réenregistrement et nouvelle validation qu'elle sollicitait de bénéficiaires de virement sur son compte qu'il connaissait et qu'il a cru valider l'opération litigieuse sur son application dont la banque assurait qu'il s'agissait d'une opération sécurisée.

Il ajoute que le mode opératoire par l'utilisation du "spoofing" a mis M.[J] en confiance et a diminué sa vigilance, inférieure, face à un appel téléphonique émanant prétendument de sa banque pour lui faire part du piratage de son compte, à celle d'une personne réceptionnant un courriel, laquelle aurait pu disposer de davantage de temps pour s'apercevoir d'éventuelles anomalies révélatrices de son origine frauduleuse".

Focus sur le décision de la CJUE du 15 octobre 2026

Dans l’affaire soumise à la Cour de Justice de l’Union Européenne (CJUE), une cliente d’un établissement bancaire polonais avait été victime d’une fraude par hameçonnage. Elle avait communiqué ses identifiants sur un site frauduleux reproduisant l’interface de sa banque, permettant au fraudeur de réaliser lui-même un virement depuis son compte bancaire.

La banque avait refusé de la rembourser, considérant que la divulgation de ses données constituait une négligence grave.

La CJUE, dans un arrêt du 15 octobre 2026, a rejeté cette interprétation et rappelle qu’en cas d’opération de paiement non autorisée, le prestataire de services de paiement est, en principe, tenu de rembourser immédiatement le montant de cette opération, et au plus tard à la fin du premier jour ouvrable suivant celui où il en a pris connaissance ou en a été informé, à condition que le client en informe sans retard injustifié ce prestataire de services de paiement.

Une seule exception est prévue à cette obligation de remboursement immédiat : lorsque le prestataire de services de paiement a de bonnes raisons de soupçonner une fraude commise par le client et communique ces raisons par écrit à l’autorité nationale compétente.

Le fait que le prestataire de services de paiement estime que le client a rendu possible l’opération non autorisée en raison d’une négligence grave, notamment en ne prenant pas les mesures nécessaires pour protéger ses données de sécurité personnalisées, ne lui permet pas de refuser le remboursement immédiat.

Comment se prémunir de ces faux appels ? 

Puisque la banque peut vous opposer votre négligence pour refuser de vous rembourser le montant des opérations frauduleuses et qu’il existe un risque qu’un tribunal valide sa position, nous vous invitons à la plus grande vigilance et prudence à réception d’appel, de SMS ou de mail suspect.