Fraude à la carte bancaire : comment obtenir le remboursement de la banque ?

Vous consultez votre compte et découvrez plusieurs paiements que vous n'avez jamais réalisés. Votre carte est peut-être encore dans votre portefeuille, mais ses données ont été utilisées sur internet, ou une opération a été validée après un appel, un SMS ou un courriel frauduleux. Lorsque vous demandez le remboursement, la banque vous oppose alors l'utilisation de votre code, une authentification 3D Secure ou une prétendue négligence de votre part.

La difficulté n'est pas seulement de constater que vous avez été victime d'une fraude à la carte bancaire. Il faut déterminer si les opérations ont réellement été autorisées, si la banque a respecté ses propres obligations de sécurité et quels éléments permettent de répondre à l'accusation de négligence grave.

Le régime applicable repose principalement sur les articles L. 133-18 à L. 133-24 du Code monétaire et financier. Il distingue le détournement des données de la carte, la perte ou le vol du support, l'absence d'authentification forte et les hypothèses dans lesquelles le comportement du titulaire peut faire obstacle au remboursement.

Fraude à la carte bancaire : quel remboursement demander à la banque ?

Le remboursement doit intervenir au plus tard le premier jour ouvrable suivant

L'article L. 133-18 du Code monétaire et financier prévoit que, lorsqu'une opération de paiement non autorisée a été signalée dans les conditions légales, la banque doit rembourser son montant immédiatement après en avoir pris connaissance et, au plus tard, à la fin du premier jour ouvrable suivant.

Le compte doit être replacé dans l'état où il se serait trouvé si le paiement frauduleux n'avait jamais été exécuté. Cette remise en état ne concerne donc pas uniquement le montant nominal de l'opération : elle peut également imposer la régularisation des agios, commissions d'intervention ou autres frais directement provoqués par le débit contesté.

La banque peut différer ce remboursement lorsqu'elle dispose de bonnes raisons de soupçonner une fraude commise par l'utilisateur lui-même et qu'elle communique ces raisons par écrit à la Banque de France. Une simple affirmation selon laquelle l'opération aurait été techniquement validée ne correspond pas, à elle seule, à cette exception.

En cas de retard injustifié, l'article L. 133-18 prévoit par ailleurs des intérêts majorés : taux légal augmenté de cinq points, puis de dix points au-delà de sept jours et de quinze points au-delà de trente jours.

Une opération authentifiée n'est pas nécessairement une opération autorisée

Une opération est autorisée lorsque le titulaire a effectivement consenti à son exécution. Il ne suffit donc pas à la banque de constater qu'un numéro de carte, un cryptogramme, un code reçu par SMS ou un dispositif d'authentification a été utilisé.

La fraude peut notamment résulter du détournement des données de la carte, d'un faux site marchand, d'un hameçonnage, d'une modification frauduleuse du dispositif d'authentification ou d'une manipulation téléphonique. La question centrale consiste alors à déterminer si le client a réellement consenti au paiement contesté ou s'il a uniquement accompli une manipulation dont la finalité lui a été dissimulée.

Ce régime doit également être distingué de celui du virement bancaire. Une fraude au faux conseiller peut, selon les faits, conduire la victime à valider un paiement par carte, à ajouter un bénéficiaire ou à effectuer elle-même un virement. Le fondement juridique et les moyens de défense ne sont pas nécessairement identiques. Une analyse peut être menée avec un avocat en fraude bancaire.

Dans quel délai signaler un débit frauduleux par carte bancaire ?

Le délai maximal de treize mois ne dispense pas de signaler la fraude sans tarder

L'article L. 133-24 du Code monétaire et financier impose à l'utilisateur de signaler l'opération non autorisée sans tarder et, au plus tard, dans les treize mois suivant la date du débit, sous peine de forclusion.

Le délai de treize mois ne doit donc pas être compris comme un délai pendant lequel le titulaire pourrait attendre sans conséquence. Dès qu'il découvre les paiements litigieux, il doit avertir sa banque et être en mesure de prouver la date de son signalement.

Dans un arrêt du 4 février 2026, la Cour de cassation a confirmé que l'utilisateur qui ne justifie pas de la date à laquelle il a signalé l'utilisation frauduleuse de sa carte peut voir sa demande de remboursement rejetée. En pratique, une contestation orale non tracée ou un simple appel dont aucune référence n'a été conservée fragilise inutilement le dossier.

Il convient donc de conserver le numéro d'opposition, les messages adressés à la banque, les accusés de réception, les captures de l'espace client et toute réponse du service réclamation.

Le délai de signalement ne se confond pas avec le délai de l'action judiciaire

Le délai de treize mois concerne le signalement de l'opération à la banque. Lorsqu'un signalement régulier a été effectué dans ce délai, la question de la prescription de l'action en justice doit être examinée séparément.

La Cour de cassation a notamment jugé, le 2 juillet 2025, que l'utilisateur ayant signalé les opérations dans le délai de treize mois pouvait engager son action en remboursement dans le délai de prescription de droit commun applicable à son action. Il reste néanmoins déconseillé d'attendre, car la conservation des données techniques, la disponibilité des preuves et la chronologie des échanges peuvent devenir plus difficiles à établir.

Quand la franchise de 50 euros s'applique-t-elle ?

La franchise de 50 euros est fréquemment présentée comme un reste à charge automatique en cas de fraude à la carte bancaire. Cette présentation est inexacte. Son application dépend notamment de la perte ou du vol de la carte, de l'utilisation des données de sécurité et du moment auquel l'opposition a été enregistrée.

Perte ou vol de la carte avant l'opposition

Lorsque l'opération non autorisée est consécutive à la perte ou au vol de la carte, le titulaire peut supporter les pertes intervenues avant son signalement à la banque, dans la limite maximale de 50 euros.

Cette franchise est toutefois écartée lorsque l'opération a été réalisée sans utilisation des données de sécurité personnalisées, lorsque la perte ou le vol ne pouvait pas être détecté avant le paiement ou lorsque la perte résulte d'un acte ou d'une carence imputable au prestataire de services de paiement ou à l'un de ses intervenants.

Détournement des données alors que la carte est toujours détenue

Lorsque les données de la carte ont été détournées à l'insu du titulaire alors que celui-ci est toujours en possession du support, l'article L. 133-19 prévoit en principe que sa responsabilité financière n'est pas engagée.

Cette situation correspond notamment à certains achats en ligne effectués au moyen de coordonnées bancaires volées. La banque peut néanmoins refuser le remboursement si elle établit un agissement frauduleux du client ou une négligence grave dans la conservation de ses données de sécurité.

Absence d'authentification forte

Sauf agissement frauduleux de sa part, le titulaire ne supporte aucune conséquence financière lorsque l'opération a été réalisée sans que la banque exige l'authentification forte prévue par l'article L. 133-44 du Code monétaire et financier.

L'authentification forte repose, en principe, sur au moins deux éléments indépendants relevant de la connaissance, de la possession ou de l'inhérence. Pour un paiement à distance, elle doit également établir un lien dynamique avec le montant de l'opération et son bénéficiaire.

Attention aux comptes professionnels : certaines règles ou certains délais peuvent être aménagés dans les conventions conclues avec un utilisateur agissant pour des besoins professionnels. La convention de compte et les conditions de la carte doivent alors être examinées avant de transposer automatiquement le régime protecteur applicable au consommateur.

Comment la banque peut-elle prouver une négligence grave ?

En pratique, de nombreux refus de remboursement reposent sur une formule standardisée : le paiement aurait été authentifié, le client aurait communiqué un code ou l'opération aurait été réalisée depuis son espace bancaire. Ces éléments doivent être examinés, mais ils ne permettent pas automatiquement de conclure à une négligence grave.

La charge de la preuve repose sur l'établissement bancaire

L'article L. 133-23 du Code monétaire et financier impose à la banque de prouver que l'opération a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre.

Lorsque la banque invoque une fraude ou une négligence grave du client, il lui appartient également de produire les éléments permettant de la caractériser. Le titulaire n'a pas à démontrer abstraitement qu'il n'a commis aucune faute.

Les pièces utiles peuvent notamment comprendre les journaux d'authentification, les adresses IP, les caractéristiques des appareils utilisés, les horaires de connexion, les messages envoyés au client, le contenu exact des écrans de validation et la chronologie de l'enrôlement d'un nouvel appareil.

Le seul usage d'un code ou du dispositif 3D Secure ne suffit pas

L'article L. 133-23 précise que l'utilisation de l'instrument de paiement telle qu'enregistrée par la banque ne suffit pas nécessairement à établir que le client a autorisé l'opération ou qu'il a commis une négligence grave.

Dans un arrêt du 5 mars 2025, la Cour de cassation a ainsi censuré une décision qui avait déduit la négligence grave de la seule utilisation des données de sécurité personnalisées de la cliente. La banque doit établir les circonstances concrètes dans lesquelles ces données ont été compromises ou communiquées.

La présence d'une authentification forte ne clôt donc pas le débat. Elle permet de retracer une opération technique, mais elle ne démontre pas toujours que le titulaire connaissait la nature réelle du paiement qu'il validait ou qu'il a volontairement transmis ses données à un fraudeur.

Le phishing et le spoofing sont appréciés au regard des circonstances

Le fait d'avoir répondu à un message frauduleux ou suivi les indications d'un faux conseiller ne permet pas de retenir systématiquement une négligence grave. Le juge examine notamment la présentation du message, le numéro affiché, les informations déjà détenues par l'escroc, les avertissements visibles au moment de la validation et la cohérence du scénario présenté à la victime.

À l'inverse, la négligence grave peut être retenue lorsque des indices manifestes auraient dû conduire un utilisateur normalement attentif à interrompre l'opération, notamment en présence d'un message explicitement suspect, d'une demande de communication du code confidentiel ou d'une validation dont le libellé indique clairement qu'il s'agit d'un paiement.

Dans un arrêt publié du 23 octobre 2024, la Cour de cassation a validé l'analyse excluant la négligence grave d'une victime de spoofing, au regard de la sophistication du procédé et de l'affichage du numéro de sa banque. Cette décision ne signifie cependant pas que toute fraude au faux conseiller impose automatiquement un remboursement : chaque dossier reste apprécié selon son scénario, les alertes reçues et les manipulations effectivement réalisées.

La contestation doit donc répondre précisément aux motifs invoqués par l'établissement. Un avocat en litige bancaire peut notamment demander la communication des éléments techniques et confronter leur contenu au régime de preuve prévu par le Code monétaire et financier.

Quelles démarches effectuer après une fraude à la carte bancaire ?

Faire opposition et contester séparément les opérations

La première démarche consiste à faire opposition à la carte dès la découverte de la fraude afin d'empêcher de nouvelles utilisations. Le numéro d'enregistrement de l'opposition doit être conservé.

L'opposition ne remplace toutefois pas la contestation des opérations déjà débitées. Il convient d'adresser à la banque une réclamation identifiant chaque paiement contesté, sa date, son montant et le motif précis de la contestation.

Cette réclamation peut être envoyée par la messagerie sécurisée de l'espace bancaire, par courrier électronique ou par lettre recommandée avec accusé de réception. Le support choisi doit surtout permettre d'établir la date et le contenu du signalement.

• Faire opposition sans délai et conserver le numéro d'enregistrement ;

• Identifier précisément chaque opération contestée ;

• Demander le remboursement sur le fondement de l'article L. 133-18 ;

• Conserver les relevés, SMS, courriels et captures d'écran ;

• Demander les motifs détaillés du refus et les éléments techniques invoqués.

Utiliser Perceval uniquement lorsque ses conditions sont remplies

Perceval est le téléservice officiel permettant de signaler certaines fraudes commises en ligne au moyen des données d'une carte bancaire.

Ce dispositif n'est pas adapté à toutes les situations. Il concerne la personne qui est toujours en possession de sa carte, n'est pas à l'origine des achats en ligne et a déjà fait opposition auprès de sa banque.

Le récépissé Perceval constitue une pièce utile pour documenter les démarches entreprises, mais il ne prouve pas à lui seul que toutes les conditions du remboursement sont réunies. Inversement, l'absence de signalement Perceval ne dispense pas la banque d'examiner une contestation régulièrement formulée.

Lorsque la carte a été perdue ou volée, ou lorsque la fraude ne relève pas du champ de Perceval, un dépôt de plainte auprès de la police ou de la gendarmerie peut être effectué. La banque ne peut toutefois pas subordonner systématiquement l'application de l'article L. 133-18 à la production d'une plainte lorsque le texte ne l'exige pas.

Constituer un dossier exploitable en cas de contentieux

C'est souvent à ce stade que les dossiers se gagnent ou se perdent : non pas uniquement sur le principe du remboursement, mais sur la capacité à reconstituer la chronologie de la fraude et à répondre aux arguments techniques de la banque.

Il convient notamment de conserver :

• les relevés faisant apparaître les débits contestés ;

• la preuve et le numéro de l'opposition ;

• la première réclamation adressée à la banque ;

• les réponses du conseiller et du service réclamation ;

• les SMS et notifications d'authentification ;

• les courriels, numéros de téléphone et captures du site frauduleux ;

• le récépissé Perceval ou le procès-verbal de plainte ;

• les justificatifs des frais et incidents provoqués par les débits.

Quels recours exercer si la banque refuse le remboursement ?

Saisir le service réclamation puis le médiateur bancaire

Lorsque le conseiller ou l'agence refuse le remboursement, une réclamation écrite doit être adressée au service réclamation de l'établissement. Cette lettre doit reprendre les faits, identifier les opérations non autorisées, rappeler les textes applicables et répondre aux motifs déjà invoqués par la banque.

Le médiateur bancaire peut ensuite être saisi gratuitement après une réponse définitive insatisfaisante du professionnel ou, en tout état de cause, deux mois après l'envoi de la première réclamation écrite lorsque le différend n'a pas été résolu.

Le médiateur rend un avis qui ne lie pas nécessairement les parties. La médiation ne doit donc pas être confondue avec une décision juridictionnelle et son incidence sur les délais applicables doit être vérifiée avant de différer une action.

Saisir le tribunal compétent

Lorsque la réclamation et la médiation n'aboutissent pas, le remboursement peut être demandé devant le tribunal judiciaire ou, selon l'organisation locale et le montant du litige, devant la chambre de proximité du tribunal judiciaire.

Pour une demande supérieure à 10 000 euros, la représentation par avocat est en principe obligatoire. En dessous de ce seuil, elle ne l'est généralement pas, même si la technicité du contentieux bancaire peut justifier une assistance juridique.

Lorsque la demande porte sur une somme n'excédant pas 5 000 euros, une tentative préalable de conciliation, de médiation ou de procédure participative est en principe obligatoire, sauf exception prévue par l'article 750-1 du Code de procédure civile. Son absence peut entraîner l'irrecevabilité de la demande.

L'assignation doit identifier les paiements contestés, exposer les diligences accomplies et produire les pièces permettant de démontrer la régularité du signalement. Les demandes peuvent porter sur le remboursement des opérations, la remise en état du compte, les pénalités prévues par l'article L. 133-18 et, lorsque les conditions sont réunies, la réparation des préjudices distincts causés par le refus fautif.

Que vérifier avant de contester le refus de la banque ?

Avant d'engager une procédure, il convient de vérifier la nature exacte de chaque opération, la date à laquelle elle a été découverte, la preuve du premier signalement, le fonctionnement du dispositif d'authentification et les motifs précis du refus bancaire.

Une fraude à la carte bancaire ne se résume pas à la production d'un relevé de compte. La banque peut invoquer une authentification forte ou une négligence grave, tandis que le client peut contester la réalité de son consentement, la pertinence des traces techniques ou la régularité du refus de remboursement.

Maître Lenny Ambigaipalan, avocat au Barreau de Paris intervenant en contentieux bancaire et commercial, analyse la chronologie des opérations, les preuves produites par l'établissement et les recours susceptibles d'être engagés. Une consultation peut être organisée au cabinet ou en visioconférence.

Pour une contestation dirigée contre un établissement bancaire, consultez également la page consacrée à l'intervention d'un avocat contre une banque à Paris.