Virement frauduleux et spoofing : remboursement et recours

Vous recevez un appel provenant apparemment du numéro officiel de votre agence bancaire. Votre interlocuteur connaît votre nom, certaines opérations récentes et parfois même l'identité de votre conseiller. Il vous annonce qu'une fraude est en cours et vous demande de valider dans l'urgence l'ajout d'un bénéficiaire, l'enrôlement d'un nouvel appareil ou de prétendues opérations d'annulation.

Quelques heures plus tard, plusieurs virements ont quitté votre compte. La banque refuse pourtant de vous rembourser en affirmant que les opérations ont été réalisées depuis votre téléphone, avec vos identifiants et après une authentification conforme.

Dans ce type de dossier, la difficulté n'est pas seulement de démontrer l'existence d'une escroquerie, généralement établie par la chronologie des appels, les messages reçus et le dépôt de plainte. Il faut surtout déterminer si vous avez juridiquement consenti aux virements litigieux, si le parcours d'authentification correspond réellement aux opérations débitées, si la banque rapporte la preuve d'une négligence grave et si le signalement a été effectué sans tarder. C'est souvent à ce stade que les dossiers se gagnent ou se perdent : non sur l'existence de la fraude, rarement contestée, mais sur la qualification de chaque manipulation, la précision des avertissements affichés et la cohérence des pièces techniques produites.

Virement frauduleux et spoofing : quelle opération avez-vous réellement autorisée ?

Avant d'invoquer l'obligation de remboursement prévue par le Code monétaire et financier, il faut identifier précisément l'opération contestée. Une opération de paiement n'est autorisée que si le payeur a donné son consentement à son exécution. Or, dans une fraude au faux conseiller bancaire, plusieurs actes techniques peuvent se succéder sans avoir la même portée juridique : connexion à l'espace client, ajout d'un bénéficiaire, modification d'un plafond, enrôlement d'un appareil, validation d'une notification puis émission du virement.

Le virement exécuté sans le consentement du titulaire du compte

L'opération peut être qualifiée de non autorisée lorsque le fraudeur a pris le contrôle de l'espace bancaire, initié lui-même les virements ou utilisé les données de sécurité du client sans que celui-ci ait consenti aux paiements correspondant aux montants et bénéficiaires finalement débités.

La même analyse peut être défendue lorsque la victime a seulement validé une opération préparatoire, par exemple l'ajout d'un bénéficiaire présenté comme un compte interne ou la réactivation d'un accès, alors que les virements ont ensuite été initiés par l'escroc. Le fait d'avoir effectué une manipulation dans l'application bancaire ne signifie pas nécessairement que le client a autorisé l'ensemble des opérations ultérieures.

Il convient alors de comparer méthodiquement :

• les manipulations effectivement réalisées par le client ;

• la nature exacte de chaque écran ou notification validé ;

• les bénéficiaires que le client pensait enregistrer ;

• les montants apparaissant dans les SMS ou notifications de confirmation ;

• les virements finalement débités ;

• les horaires, adresses IP et appareils depuis lesquels les opérations ont été initiées ;

• la date d'ajout des bénéficiaires et celle d'une éventuelle modification des plafonds.

L'enjeu consiste à démontrer que le consentement invoqué par la banque ne portait pas sur l'opération litigieuse elle-même ou ne concernait ni son montant ni son bénéficiaire réel. Une authentification techniquement réussie ne suffit pas, à elle seule, à répondre à cette question.

Le virement saisi et validé par la victime sous l'influence de l'escroc

La situation est juridiquement plus délicate lorsque la victime a elle-même renseigné l'IBAN, saisi le montant puis confirmé le virement en croyant transférer les fonds vers un compte sécurisé ou annuler une prétendue opération frauduleuse.

La banque soutiendra généralement que l'ordre a été donné par le titulaire du compte et que l'opération était donc autorisée, même si son consentement a été obtenu par tromperie. La seule existence d'une escroquerie pénale ne permet pas nécessairement de qualifier de non autorisé un virement dont le montant, le bénéficiaire et l'exécution ont été personnellement confirmés par le client.

Dans cette hypothèse, le régime du remboursement automatique des opérations non autorisées peut être plus difficile à mobiliser. Il faut alors examiner si l'ordre transmis présentait des anomalies apparentes, si la banque disposait d'informations contradictoires, si une alerte relative au bénéficiaire a été ignorée ou mal présentée et si les mouvements différaient manifestement du fonctionnement habituel du compte.

Ce devoir de vigilance ne doit toutefois pas être confondu avec les obligations imposées aux banques en matière de lutte contre le blanchiment et le financement du terrorisme. La Cour de cassation a rappelé le 4 mars 2026 que ces obligations poursuivent une finalité d'intérêt général et ne peuvent pas, à elles seules, être invoquées par un client pour obtenir des dommages-intérêts. Un recours doit donc être construit sur le fondement juridique correspondant réellement aux faits : régime des opérations non autorisées, responsabilité contractuelle pour une anomalie apparente ou autre manquement précisément caractérisé.

Dans quels cas la banque doit-elle rembourser le virement frauduleux ?

Le remboursement immédiat de l'opération non autorisée

L'article L. 133-18 du Code monétaire et financier prévoit que, lorsqu'une opération non autorisée a été signalée dans les conditions prévues par la loi, la banque doit en rembourser le montant immédiatement après en avoir pris connaissance et, au plus tard, à la fin du premier jour ouvrable suivant.

Le compte doit, le cas échéant, être rétabli dans la situation où il se serait trouvé si le virement frauduleux n'avait pas été exécuté. La date de valeur du recrédit ne peut donc pas être postérieure à celle du débit litigieux.

Le texte ne prévoit une exception au remboursement immédiat que lorsque l'établissement dispose de bonnes raisons de soupçonner une fraude commise par l'utilisateur lui-même et communique ces raisons par écrit à la Banque de France. Lorsqu'elle invoque une négligence grave, la banque doit en rapporter la preuve dans le cadre du régime prévu par les articles L. 133-19 et L. 133-23 ; elle ne peut se limiter à affirmer qu'un code correct a été utilisé ou qu'une authentification forte a été validée.

Depuis le 18 août 2022, le retard de remboursement expose également la banque aux pénalités suivantes :

• taux légal majoré de cinq points dès le manquement à l'obligation de remboursement ;

• taux légal majoré de dix points au-delà de sept jours de retard ;

• taux légal majoré de quinze points au-delà de trente jours de retard.

La réclamation doit donc identifier séparément chaque opération contestée, avec sa date, son montant, son bénéficiaire et les manipulations qui l'ont précédée. Une demande générale dénonçant une « fraude » sans distinguer les virements ni expliquer le parcours de validation risque de laisser à la banque la possibilité de répondre de manière tout aussi générale.

Le délai de treize mois ne permet pas d'attendre

L'article L. 133-24 impose de signaler l'opération sans tarder et, au plus tard, dans les treize mois suivant la date du débit, sous réserve notamment du cas dans lequel la banque n'aurait pas correctement fourni ou mis à disposition les informations relatives à l'opération.

Ces deux exigences sont cumulatives : le délai de treize mois constitue une limite maximale de forclusion, mais le client doit également agir à compter du moment où il a connaissance de l'opération. Une contestation adressée plusieurs semaines après la découverte de la fraude peut donc être discutée, même si elle intervient avant l'expiration des treize mois.

La preuve du premier signalement est dès lors déterminante. Il convient de conserver le numéro de dossier communiqué par la banque, le courriel ou courrier de contestation, les captures de la messagerie bancaire, l'historique des appels ainsi que toute confirmation écrite de la prise en charge par le service fraude.

Lorsque les opérations ont été signalées sans tarder et dans les treize mois, ce délai ne correspond pas au délai pour saisir le tribunal. La Cour de cassation a confirmé que l'action en paiement peut alors être engagée dans le délai de prescription quinquennal de droit commun, sous réserve du point de départ applicable et des éventuelles causes de suspension ou d'interruption.

Attention aux comptes professionnels : lorsque l'utilisateur n'est pas une personne physique agissant pour des besoins non professionnels, les parties peuvent notamment convenir d'un délai de signalement différent. La convention de compte, le contrat de banque à distance et les conditions du service de paiement doivent donc être examinés avant d'appliquer automatiquement le délai de treize mois.

La banque peut-elle refuser le remboursement pour négligence grave ?

La banque peut soutenir que les pertes doivent rester à la charge du client lorsque celui-ci a agi frauduleusement ou n'a pas respecté, intentionnellement ou par négligence grave, ses obligations de sécurité. Cette qualification ne se déduit toutefois ni du seul usage des identifiants corrects ni de la seule validation d'une authentification forte.

La banque doit établir l'authentification et la négligence grave invoquée

En application de l'article L. 133-23 du Code monétaire et financier, il appartient à la banque de démontrer que l'opération a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre.

L'utilisation enregistrée de l'instrument de paiement ne suffit pas, en tant que telle, à établir que le client a autorisé l'opération ou qu'il a commis une négligence grave. L'établissement doit produire des éléments permettant de reconstituer concrètement le parcours d'authentification et d'identifier les informations auxquelles le client avait accès au moment de chaque validation.

Sur ce point précis, la Cour de cassation s'est prononcée le 1er juillet 2026 : voir notre analyse dédiée — Virement frauduleux : la banque doit prouver le consentement.

La discussion peut notamment porter sur :

• les journaux de connexion et les adresses IP ;

• l'appareil utilisé et la date de son enrôlement ;

• le texte exact des notifications et SMS de validation ;

• le montant, le bénéficiaire et la nature de l'opération affichés ;

• les alertes de sécurité effectivement adressées au client ;

• les plafonds modifiés avant les virements ;

• les opérations inhabituelles détectées ou bloquées par le système antifraude ;

• les éléments permettant de déterminer si le client pouvait comprendre qu'il confirmait un paiement.

Le client doit parallèlement conserver les éléments qui dépendent de lui, notamment la preuve de la date du signalement et le contenu des messages encore présents sur son téléphone. Une contestation ne peut pas reposer uniquement sur l'affirmation selon laquelle la banque devrait disposer de toutes les données utiles.

Pour contester utilement le refus de remboursement, un avocat en litige bancaire peut demander la communication des éléments techniques sur lesquels l'établissement prétend fonder l'autorisation de l'opération ou la négligence grave.

Le spoofing peut diminuer la vigilance sans effacer tous les signaux d'alerte

Dans un arrêt du 23 octobre 2024, la Cour de cassation a approuvé une décision ayant écarté la négligence grave d'un client victime de spoofing. Le numéro affiché correspondait à celui de sa conseillère bancaire et le mode opératoire utilisé avait placé la victime dans un climat de confiance susceptible de diminuer sa vigilance.

Cette décision ne signifie cependant pas que toute personne contactée depuis un numéro usurpé doit automatiquement être remboursée. L'appréciation reste concrète et dépend de l'ensemble des circonstances, notamment du contenu des messages de confirmation et des informations qui contredisaient éventuellement le discours du faux conseiller.

Le 4 mars 2026, la Cour de cassation a ainsi censuré une décision qui avait écarté la négligence grave en se fondant principalement sur l'affichage du numéro officiel de l'agence. Les juges auraient dû rechercher si le message de confirmation reçu par le client, qui indiquait qu'il validait un paiement et non une annulation, lui permettait de suspecter le caractère frauduleux des opérations.

Cet arrêt concernait des paiements à distance et non des virements SEPA. Il ne doit donc pas être transposé mécaniquement à toute fraude au virement. Il confirme néanmoins une méthode d'analyse applicable aux opérations de paiement frauduleuses : le juge doit confronter le scénario présenté par l'escroc au contenu exact des avertissements reçus par l'utilisateur.

Il faut ainsi éviter deux affirmations excessives :

• le fait d'avoir validé une opération ne caractérise pas automatiquement une négligence grave ;

• le fait d'avoir été victime de spoofing n'exclut pas automatiquement cette négligence.

Le débat porte sur le comportement qu'aurait adopté un utilisateur normalement attentif placé dans les mêmes circonstances, en tenant compte de la sophistication du scénario, de l'urgence créée par l'escroc, des informations qu'il détenait et de la clarté des avertissements affichés par la banque.

Quelles preuves réunir après une fraude au faux conseiller bancaire ?

Un dossier de spoofing ne doit pas être construit uniquement autour du dépôt de plainte. Celui-ci est utile pour dater les faits, identifier les coordonnées utilisées par l'escroc et exposer le scénario frauduleux, mais il ne remplace ni le signalement adressé à la banque ni la preuve des opérations contestées.

Il convient de conserver, sans modification :

• les relevés faisant apparaître les virements litigieux ;

• les captures des appels reçus et du numéro affiché ;

• les SMS, notifications et courriels de validation ;

• les éventuels messages envoyés par le faux conseiller ;

• l'historique des bénéficiaires ajoutés ou supprimés ;

• les alertes relatives à une modification de plafond ou à l'enrôlement d'un appareil ;

• la preuve de l'appel au service d'opposition ou au service fraude ;

• la réclamation écrite et la réponse de la banque ;

• le dépôt de plainte et ses éventuels compléments ;

• la convention de compte et les conditions générales applicables à la date des faits.

Une chronologie précise doit également être établie : heure du premier appel, opérations demandées, messages apparus à l'écran, validations effectuées, moment de la découverte de la fraude, premier contact avec la banque et mesures de sécurité prises.

Cette chronologie permet de répondre à la question centrale : quelles informations étaient réellement accessibles à la victime au moment de chaque validation ? Un avertissement ne peut être utilement opposé au client que si la banque établit qu'il a été affiché, qu'il correspondait à l'opération litigieuse et que son contenu était suffisamment précis pour être compris.

Comment contester le refus de remboursement de la banque ?

Signaler la fraude et sécuriser immédiatement les accès

Le premier réflexe consiste à avertir la banque par le canal d'urgence qu'elle met à disposition, puis à confirmer le signalement par écrit afin d'en conserver la preuve. Selon la situation, il peut être nécessaire de bloquer les moyens de paiement concernés, de désactiver l'accès à l'application, de modifier les identifiants, de vérifier les appareils enregistrés et de demander le rappel des virements auprès des banques bénéficiaires.

Une demande de rappel ou de retour des fonds ne garantit pas leur récupération, notamment lorsque les sommes ont déjà été transférées vers d'autres comptes, mais elle doit être sollicitée dès la découverte de la fraude.

Adresser une contestation juridique documentée

Lorsque la banque refuse le remboursement, la contestation doit répondre précisément au motif invoqué. Une mise en demeure peut notamment :

• identifier et qualifier chaque opération contestée ;

• rappeler la date et les modalités du signalement ;

• demander le remboursement prévu par l'article L. 133-18 ;

• contester la preuve du consentement ou de la négligence grave ;

• demander les journaux d'authentification et le contenu des notifications ;

• réclamer, le cas échéant, les intérêts majorés dus en raison du retard ;

• fixer un délai de réponse avant la saisine du médiateur ou de la juridiction compétente.

La formulation doit rester strictement cohérente avec les faits. Il serait contre-productif de soutenir simultanément que le client n'a effectué aucune manipulation et qu'il a validé une opération en croyant l'annuler, lorsque les pièces techniques permettent d'établir le contraire. Une qualification inexacte peut fragiliser l'ensemble de la contestation, même lorsque l'existence de l'escroquerie n'est pas discutée.

Saisir le médiateur bancaire

Pour un client consommateur, le médiateur bancaire peut être saisi gratuitement après une réclamation écrite préalable auprès de l'établissement et dans les conditions prévues par le Code de la consommation. La demande doit notamment être introduite dans l'année suivant cette réclamation et ne peut pas porter sur un litige déjà examiné ou en cours d'examen par un tribunal.

La médiation n'est pas une procédure juridictionnelle et la proposition du médiateur ne s'impose pas automatiquement aux parties. Elle ne doit pas non plus conduire à négliger une prescription, une mesure conservatoire ou une autre urgence procédurale.

Engager une action devant la juridiction compétente

En cas d'échec de la contestation amiable, une action judiciaire peut être engagée afin d'obtenir le remboursement des sommes et les intérêts applicables. Une demande d'indemnisation complémentaire suppose l'existence d'un préjudice distinct et d'un fondement juridiquement recevable.

Lorsqu'une opération est qualifiée de non autorisée, le régime spécial prévu par le Code monétaire et financier ne peut pas être contourné en présentant sous la forme d'une responsabilité contractuelle générale une demande correspondant en réalité au même préjudice financier. Le fondement de l'action doit donc être déterminé avant l'assignation.

Pour un particulier agissant contre sa banque, le litige relève du tribunal judiciaire et peut, selon l'organisation locale, être traité par une chambre de proximité dénommée tribunal de proximité. Lorsque la demande excède 10 000 euros, la représentation par avocat est en principe obligatoire, sous réserve des matières et exceptions prévues par les textes. Pour les demandes inférieures ou égales à ce montant, la représentation n'est généralement pas obligatoire, mais elle peut rester nécessaire au regard de la technicité du dossier.

Lorsque le demandeur est une société ou lorsque le litige concerne un compte professionnel, la compétence matérielle et territoriale, les clauses contractuelles ainsi que les éventuelles dérogations au régime protecteur doivent être vérifiées avant toute assignation.

L'intervention d'un avocat contre une banque à Paris permet notamment de déterminer le fondement adapté, d'éviter une qualification contradictoire et d'identifier les pièces techniques nécessaires au débat.

Que faut-il vérifier avant d'engager un recours ?

Face à un virement frauduleux, il ne suffit pas de démontrer que vous avez été trompé par un faux conseiller. Il faut reconstituer l'opération avec suffisamment de précision pour déterminer si le virement était autorisé, quelles données ont été utilisées, ce que les messages de confirmation indiquaient et si la banque rapporte réellement la preuve d'une négligence grave.

Avant toute démarche contentieuse, il convient donc de vérifier :

• la date exacte du premier signalement ;

• le montant et le bénéficiaire de chaque virement ;

• les manipulations personnellement réalisées par la victime ;

• le contenu exact des écrans, SMS et notifications ;

• la différence éventuelle entre l'opération annoncée et celle réellement validée ;

• les éléments techniques produits ou refusés par la banque ;

• la convention de compte applicable, notamment pour un compte professionnel ;

• le délai de prescription, la juridiction compétente et les règles de représentation.

Maître Lenny Ambigaipalan, avocat au Barreau de Paris, intervient en contentieux de la fraude bancaire afin d'analyser la qualification des opérations, les preuves d'authentification et les recours susceptibles d'être engagés contre l'établissement bancaire. Chaque dossier doit toutefois être examiné à partir de ses propres pièces, du contrat applicable et de la chronologie exacte de la fraude.