Faux conseiller bancaire : la jurisprudence qui force au remboursement

Le téléphone sonne, l’écran affiche le numéro de votre agence, et votre interlocuteur connaît vos dernières opérations : c’est le scénario de l’arnaque au faux conseiller bancaire, qui repose sur l’usurpation du numéro appelant. Voici ce que dit la loi, ce que les tribunaux ont jugé depuis 2024, et les démarches à engager si vous êtes touché.

Le spoofing téléphonique désigne la technique par laquelle un escroc fait apparaître sur votre écran un numéro qui n’est pas le sien, en l’occurrence celui de votre banque. Le dispositif officiel Cybermalveillance.gouv.fr décrit la fraude au faux conseiller bancaire comme une escroquerie où l’appelant se présente comme agent du service anti-fraude de la banque, affirme avoir détecté des opérations suspectes, et pousse la victime à valider des opérations qui sont en réalité les siennes.

Le déroulé d’un appel : trois leviers, toujours les mêmes

Le premier levier est l’affichage : le numéro qui apparaît est celui de l’agence, du service client ou du conseiller attitré. Ce détail désamorce le réflexe de méfiance que l’on aurait devant un e-mail douteux. Le deuxième est la connaissance : l’escroc cite votre nom, le nom de votre conseiller, voire des opérations récentes. Ces données proviennent de fuites de fichiers ou d’hameçonnages antérieurs ; il n’a pas besoin d’accéder à votre compte pour paraître crédible.

Le troisième levier est la pression : on vous annonce des virements frauduleux en cours, on vous demande d’agir immédiatement, on vous dissuade de raccrocher. Puis vient la demande décisive : valider une opération dans votre application bancaire, ou communiquer un code reçu par SMS, sous prétexte d’« annuler » les mouvements suspects. Or, selon Cybermalveillance.gouv.fr, aucune banque ne demande de valider une opération pour annuler une fraude, ni de communiquer un code de confirmation ou un code secret de carte.

Le socle légal : les articles L. 133-18 et suivants

L’article L. 133-18 du code monétaire et financier pose le principe : lorsqu’une opération de paiement non autorisée est signalée par l’utilisateur, le prestataire de services de paiement doit rembourser le payeur immédiatement après en avoir été informé, et au plus tard à la fin du premier jour ouvrable suivant. Le texte prévoit aussi des pénalités de retard, calculées par référence au taux d’intérêt légal majoré.

Ce principe connaît des limites. L’article L. 133-19 fixe une franchise pouvant aller jusqu’à 50 euros en cas de perte ou de vol de l’instrument de paiement, mais écarte toute perte à la charge du payeur dans plusieurs cas, notamment lorsque l’opération a été réalisée sans utilisation des données de sécurité personnalisées. Son paragraphe IV contient l’exception centrale : le payeur supporte toutes les pertes s’il a agi frauduleusement, ou s’il n’a pas satisfait, intentionnellement ou par négligence grave, à ses obligations de vigilance. C’est là que se concentrent les refus.

Opération non autorisée ou virement que vous avez ordonné ?

Cette distinction est déterminante et souvent mal comprise. Le régime protecteur des articles L. 133-18 et suivants vise les opérations non autorisées, c’est-à-dire celles auxquelles vous n’avez pas consenti dans les formes convenues avec votre banque : c’est le cas lorsque l’escroc, grâce aux codes qu’il vous a extorqués, enregistre lui-même un bénéficiaire et déclenche les virements.

La situation est différente lorsque vous avez vous-même saisi et validé un virement, en connaissance du montant et du destinataire, parce qu’on vous avait convaincu que c’était nécessaire. Techniquement, l’opération a été autorisée : le remboursement de l’article L. 133-18 ne joue alors pas, et il faut chercher un autre fondement, par exemple un manquement de la banque à son devoir de vigilance. Ce contentieux est nettement plus difficile, et la qualification retenue par le juge dépend du déroulé précis des faits.

Ce que la banque doit démontrer pour refuser

L’article L. 133-23 organise la charge de la preuve, et il ne la met pas sur vos épaules. Lorsque vous niez avoir autorisé une opération, c’est au prestataire de prouver qu’elle a été authentifiée, dûment enregistrée et comptabilisée, et qu’elle n’a pas été affectée par une déficience technique. Le texte ajoute que l’enregistrement de l’utilisation de l’instrument de paiement ne suffit pas, à lui seul, à établir que vous avez autorisé l’opération ou manqué à vos obligations.

S’y ajoute l’authentification forte. Dans un arrêt du 30 août 2023 (chambre commerciale, n° 22-11.707), la Cour de cassation a censuré une décision qui avait écarté le remboursement sans rechercher si le paiement litigieux avait été exécuté sans que la banque exige une authentification forte. Elle a rappelé qu’en vertu de l’article L. 133-19, V, le payeur ne supporte aucune conséquence financière lorsque l’opération non autorisée a été exécutée sans qu’une telle authentification soit exigée, sauf agissement frauduleux de sa part.

La jurisprudence sur la négligence grave

La décision de référence est l’arrêt de la chambre commerciale de la Cour de cassation du 23 octobre 2024, n° 23-16.267. Un client de BNP Paribas avait découvert des virements frauduleux pour 54 500 euros après avoir été contacté par un escroc affichant le numéro de sa conseillère. Les juges ont relevé que le recours au spoofing avait mis le client en confiance et diminué sa vigilance. La négligence grave n’était pas établie, et le pourvoi de la banque a été rejeté. Le 12 juin 2025, la même chambre a statué dans le même sens (n° 24-13.777) au profit d’une société dont une salariée avait été manipulée par un faux technicien bancaire, pour 98 000 euros de virements.

Attention toutefois : ces décisions n’instaurent pas un remboursement automatique. La Cour de cassation avait jugé dès le 28 mars 2018 (n° 16-20.018) que constitue une négligence grave le fait de communiquer ses données personnelles en réponse à un message contenant des indices permettant à un utilisateur normalement attentif de douter de sa provenance. Chaque dossier reste apprécié au cas par cas, et la preuve du spoofing lui-même peut être discutée devant le juge.

Le volet télécoms : l’authentification des numéros appelants

La riposte passe aussi par les opérateurs. La loi n° 2020-901 du 24 juillet 2020, visant à encadrer le démarchage téléphonique et à lutter contre les appels frauduleux, a introduit à l’article L. 44 du code des postes et des communications électroniques une obligation d’authentification. Les opérateurs doivent utiliser un dispositif confirmant l’authenticité des appels utilisant un numéro du plan de numérotation comme identifiant d’appelant. Lorsque ce dispositif n’est pas utilisé ou ne confirme pas l’authenticité de l’appel, l’opérateur doit en interrompre l’acheminement.

Une étape supplémentaire est entrée en vigueur le 1er janvier 2026. Selon le site officiel Service-Public, les opérateurs doivent depuis cette date afficher automatiquement la mention « numéro masqué » pour les appels émis depuis l’étranger avec un numéro mobile français qui n’a pas pu être authentifié. Cette mention ne signale pas forcément une fraude : elle peut aussi correspondre à un appelant ayant volontairement masqué son numéro, ou à un défaut technique d’authentification. Environ 18 000 signalements d’usurpation de numéro ont été enregistrés en 2025 sur la plateforme « J’alerte l’Arcep ».

Que faire dans les heures et les jours qui suivent

Prévenez d’abord votre banque pour faire opposition et bloquer les accès ; Cybermalveillance.gouv.fr rappelle qu’un serveur interbancaire d’opposition existe au 0 892 705 705, joignable 24 heures sur 24. Changez les mots de passe de votre banque en ligne. Formalisez ensuite votre contestation par écrit, de préférence en recommandé avec accusé de réception, en listant les opérations, leurs montants et leurs dates. Conservez tout : historique d’appels, SMS reçus, captures d’écran de l’application.

Déposez plainte auprès de la police ou de la gendarmerie. Pour le signalement en ligne, la plateforme Perceval du ministère de l’Intérieur est réservée aux fraudes à la carte bancaire ; pour les autres cas, le guichet officiel 17Cyber.gouv.fr oriente les victimes. En cas de refus de remboursement, vous pouvez saisir le médiateur bancaire. D’après Service-Public, la saisine est gratuite et intervient après une réclamation écrite restée sans réponse satisfaisante pendant 15 jours pour un litige lié à un service de paiement, dans un délai maximal d’un an. Le médiateur rend son avis sous 90 jours au maximum, et son intervention suspend le délai de 2 ans pour agir en justice.

Vos questions, nos réponses

Ma banque peut-elle refuser de me rembourser parce que j’ai validé l’opération moi-même ?

Elle peut le soutenir, mais elle doit le prouver. Si l’opération est qualifiée de non autorisée, l’article L. 133-23 impose à la banque de démontrer qu’elle a été authentifiée, enregistrée et comptabilisée sans déficience technique. La Cour de cassation a jugé le 23 octobre 2024 que valider des opérations à la demande d’un escroc affichant le numéro de la banque ne caractérisait pas, dans le cas jugé, une négligence grave. Chaque dossier reste apprécié selon ses circonstances.

Combien de temps ai-je pour contester un virement frauduleux ?

L’article L. 133-24 impose de signaler l’opération sans tarder, et au plus tard dans les treize mois suivant la date de débit, sous peine de forclusion. Ces treize mois sont un maximum, pas un confort : la jurisprudence exige aussi un signalement rapide dès la découverte. Contactez votre banque le jour même, puis confirmez par écrit.

Le numéro affiché était bien celui de ma banque, est-ce une preuve suffisante ?

Ce n’est pas une preuve automatique. Devant le juge, la démonstration du spoofing repose sur des éléments concrets : historique d’appels, relevés de l’opérateur, SMS conservés, horodatage des opérations contestées. Ne supprimez rien et demandez vite à votre opérateur les éléments techniques dont il dispose : ces données ne sont pas conservées indéfiniment.