Vous avez communiqué vos identifiants bancaires après un faux courriel ou un faux SMS : quels sont vos recours ?
Vous avez reçu un courriel ou un SMS semblant provenir de votre banque.
Le message vous invitait à confirmer une opération, à débloquer votre espace client, à mettre à jour vos informations personnelles ou à résoudre un prétendu problème de sécurité.
En cliquant sur le lien, vous avez été redirigé vers un site qui ressemblait parfaitement à celui de votre banque. Vous y avez saisi vos identifiants, votre mot de passe ou vos codes de sécurité, avant de découvrir quelques heures ou quelques jours plus tard que des opérations avaient été réalisées sur votre compte.
Cette technique, appelée phishing ou hameçonnage, est aujourd'hui l'une des fraudes bancaires les plus répandues.
La première réaction des victimes est souvent la même :
« J'ai communiqué mes identifiants. Est-ce que la banque peut refuser de me rembourser ? »
La réponse n'est pas automatique.
Le simple fait d'avoir renseigné ses identifiants sur un faux site ne signifie pas, à lui seul, que la banque est en droit de refuser toute indemnisation.
Le Code monétaire et financier prévoit en effet des règles spécifiques destinées à protéger les utilisateurs de services de paiement, tout en définissant les situations dans lesquelles la responsabilité du client peut être engagée. C'est sur ces règles que se concentrent la plupart des litiges entre les banques et leurs clients.
Chaque dossier doit toutefois être apprécié au regard de ses propres circonstances.
La nature du message reçu, la présentation du faux site, les informations communiquées, les opérations réalisées après le phishing et les explications fournies par la banque sont autant d'éléments qui peuvent influencer l'analyse juridique du dossier.
Sur cette page, vous découvrirez notamment :
ce qu'est réellement une fraude par phishing bancaire ;
comment les fraudeurs parviennent à récupérer vos identifiants ;
pourquoi les banques refusent parfois d'indemniser leurs clients ;
dans quelles situations un refus de remboursement peut être contesté.
👉 Si les fraudeurs vous ont appelé en se faisant passer pour votre conseiller bancaire, consultez également notre page consacrée au faux conseiller bancaire.
👉 Si votre banque a déjà rejeté votre demande d'indemnisation, vous pouvez également consulter notre guide dédié au refus de remboursement d'une fraude bancaire.
À retenir
Le fait d'avoir communiqué vos identifiants bancaires après un faux SMS ou un faux courriel ne signifie pas automatiquement que vous perdez tout droit à indemnisation. Avant de tirer une conclusion, il est indispensable d'analyser le déroulement de la fraude, les opérations réalisées sur votre compte et les motifs invoqués par la banque.
Qu'est-ce que le phishing bancaire ?
Le phishing bancaire, également appelé hameçonnage, est une technique de fraude consistant à tromper un client afin qu'il communique lui-même des informations confidentielles, comme ses identifiants de connexion, son mot de passe, les coordonnées de sa carte bancaire ou encore un code de validation reçu par SMS.
L'objectif du fraudeur est simple : obtenir les informations nécessaires pour accéder à votre espace bancaire ou réaliser des opérations en votre nom.
Contrairement à certaines idées reçues, le phishing ne repose pas sur le piratage de votre banque.
Il s'appuie avant tout sur une usurpation de confiance. Les fraudeurs cherchent à vous convaincre qu'ils sont bien votre établissement bancaire afin que vous leur remettiez volontairement des informations qu'ils n'auraient jamais pu obtenir autrement.
Une fraude qui repose sur l'usurpation de l'identité de votre banque
Pour gagner votre confiance, les fraudeurs reproduisent les codes de communication des établissements bancaires.
Ils utilisent le logo de la banque, reprennent ses couleurs, imitent ses courriels ou ses SMS et créent des sites internet dont l'apparence est parfois quasiment identique à celle de l'espace client officiel.
L'objectif est de vous faire croire que vous échangez avec votre banque alors que vous communiquez, en réalité, directement avec les fraudeurs.
Une fraude différente des autres escroqueries bancaires
Le phishing bancaire ne doit pas être confondu avec les autres fraudes susceptibles d'affecter votre compte.
Contrairement à une carte bancaire piratée, les fraudeurs ne disposent pas uniquement des données de votre carte bancaire.
Contrairement à une fraude au faux conseiller bancaire, ils ne vous manipulent pas nécessairement par téléphone pour vous convaincre de réaliser une opération.
Enfin, contrairement à une fraude au faux RIB, ils ne cherchent pas à modifier les coordonnées du bénéficiaire d'un virement.
Leur objectif est d'obtenir vos informations confidentielles afin de prendre le contrôle de votre espace bancaire ou de réaliser des opérations en utilisant les moyens d'authentification qui vous sont propres.
Pourquoi cette distinction est-elle importante ?
En droit bancaire, toutes les fraudes ne sont pas soumises au même régime juridique.
Selon que les fraudeurs ont utilisé vos identifiants, les données de votre carte bancaire ou qu'ils vous ont amené à autoriser vous-même une opération, les règles applicables et les arguments invoqués par la banque peuvent être différents.
C'est pourquoi il est indispensable d'identifier précisément le mécanisme de la fraude avant d'examiner les responsabilités de chacun.
La section suivante explique justement comment les fraudeurs parviennent à récupérer vos identifiants bancaires et pourquoi ces techniques sont aujourd'hui de plus en plus sophistiquées.
À retenir
Le phishing bancaire consiste à obtenir vos informations confidentielles en se faisant passer pour votre banque. Cette fraude repose sur l'usurpation d'identité et ne doit pas être confondue avec une carte bancaire piratée, un faux conseiller bancaire ou une fraude au faux RIB. Identifier précisément le mécanisme de l'escroquerie est une première étape essentielle avant d'analyser vos recours.
Comment les fraudeurs récupèrent-ils vos identifiants bancaires ?
Le phishing bancaire ne repose plus sur des courriels remplis de fautes d'orthographe ou des sites internet facilement identifiables comme frauduleux.
Aujourd'hui, les escrocs utilisent des techniques de plus en plus élaborées pour reproduire l'apparence des communications officielles des banques et mettre leurs victimes en confiance.
En quelques minutes, ils peuvent obtenir les informations nécessaires pour accéder à un espace bancaire ou réaliser des opérations au nom de leur victime.
Les faux courriels
Le courriel reste l'un des moyens les plus utilisés.
Le fraudeur envoie un message qui semble provenir de votre banque et vous invite, par exemple, à confirmer une opération, à mettre à jour vos informations personnelles ou à sécuriser votre compte.
En cliquant sur le lien, vous êtes redirigé vers un faux site qui reproduit fidèlement l'apparence de votre espace bancaire.
Vous pensez vous connecter à votre banque, alors que vous transmettez directement vos identifiants aux fraudeurs.
Les faux SMS
Les campagnes de phishing passent également par des SMS.
Le message annonce souvent une opération inhabituelle, un colis bloqué, une carte bancaire à renouveler ou un accès temporairement suspendu.
L'objectif est de provoquer une réaction rapide, sans laisser le temps de vérifier l'origine du message.
Ces SMS renvoient eux aussi vers un faux site destiné à récupérer vos informations confidentielles.
Les faux sites internet
Les fraudeurs consacrent aujourd'hui beaucoup de temps à la création de sites quasiment identiques à ceux des établissements bancaires.
Logo, couleurs, présentation, formulaire de connexion : tout est conçu pour rassurer l'utilisateur.
Dans certains cas, seule l'adresse du site permet de comprendre qu'il ne s'agit pas de la véritable banque.
Cette différence passe pourtant facilement inaperçue lorsque la victime agit dans l'urgence.
Une fraude qui peut se poursuivre par d'autres techniques
Le phishing constitue parfois la première étape de l'escroquerie.
Une fois les informations récupérées, les fraudeurs peuvent appeler leur victime en se faisant passer pour un conseiller bancaire afin d'obtenir un code de validation ou de la convaincre d'autoriser une opération.
Ils peuvent également utiliser immédiatement les identifiants dérobés pour accéder à l'espace bancaire et initier des paiements ou des virements.
👉 Si vous avez été contacté par téléphone après avoir communiqué vos identifiants, consultez également notre page consacrée au faux conseiller bancaire.
Pourquoi est-il parfois difficile de détecter la fraude ?
Les fraudeurs jouent avant tout sur la confiance et l'urgence.
Ils utilisent les codes de communication des banques, envoient leurs messages au moment où vous êtes le moins vigilant et créent un sentiment d'urgence destiné à vous faire agir rapidement.
C'est précisément cette sophistication qui explique pourquoi de nombreuses victimes, pourtant particulièrement prudentes, tombent dans le piège.
L'existence de cette fraude ne signifie pas pour autant que la banque est automatiquement tenue de rembourser les sommes perdues.
La section suivante explique pourquoi les établissements bancaires refusent parfois d'indemniser leurs clients et quels arguments ils invoquent le plus souvent.
À retenir
Le phishing bancaire repose aujourd'hui sur des techniques particulièrement crédibles : faux courriels, faux SMS et faux sites internet reproduisant l'apparence des banques. Les fraudeurs cherchent avant tout à obtenir vos informations confidentielles en exploitant la confiance que vous accordez à votre établissement bancaire, avant d'utiliser ces données pour réaliser des opérations sur votre compte.
Pourquoi la banque refuse-t-elle parfois de rembourser les victimes d'un phishing ?
Après une fraude par phishing, de nombreux clients découvrent avec surprise que leur banque refuse de les indemniser.
Ils estiment avoir été victimes d'une escroquerie particulièrement sophistiquée, tandis que la banque considère souvent que certaines informations confidentielles ont été communiquées par le client lui-même.
Ce désaccord est au cœur de nombreux contentieux en droit bancaire.
Le principe : la banque doit rembourser les opérations non autorisées
Le Code monétaire et financier protège les utilisateurs de services de paiement lorsqu'une opération est réalisée sans leur consentement.
L'article L.133-18 du Code monétaire et financier prévoit ainsi que le prestataire de services de paiement doit, en principe, rembourser immédiatement les opérations de paiement non autorisées et rétablir le compte dans l'état où il se serait trouvé si ces opérations n'avaient pas eu lieu.
Ce principe constitue le point de départ de l'analyse.
La véritable difficulté consiste ensuite à déterminer si la banque peut invoquer une exception lui permettant de refuser ce remboursement.
La banque invoque souvent une négligence grave
Pour justifier son refus, la banque soutient fréquemment que son client a commis une négligence grave en communiquant ses identifiants, son mot de passe ou un code de validation à un fraudeur.
Cette notion est prévue par l'article L.133-19 du Code monétaire et financier, qui permet, dans certaines circonstances, de laisser les conséquences financières de la fraude à la charge du client.
En pratique, de nombreux refus d'indemnisation reposent sur cette argumentation.
Toutefois, le seul fait d'avoir été victime d'un phishing ne suffit pas à caractériser automatiquement une négligence grave.
La preuve ne repose pas uniquement sur les déclarations de la banque
Il ne suffit pas non plus à la banque d'affirmer que le client a communiqué ses identifiants pour être exonérée de toute responsabilité.
L'article L.133-23 du Code monétaire et financier prévoit que c'est au prestataire de services de paiement qu'il appartient de démontrer que l'opération a été authentifiée, correctement enregistrée et comptabilisée, et qu'elle n'a pas été affectée par une déficience technique ou autre.
La jurisprudence rappelle régulièrement que la seule production des données techniques de la banque ne permet pas, à elle seule, de démontrer qu'un client a commis une négligence grave.
Chaque dossier doit donc être apprécié au regard de ses circonstances propres.
Chaque phishing est différent
Toutes les campagnes de phishing ne présentent pas le même niveau de sophistication.
Le contenu du message, l'apparence du faux site, les échanges intervenus avec la victime, les opérations réalisées après la communication des identifiants ou encore les dispositifs de sécurité mis en œuvre par la banque peuvent influencer l'analyse juridique.
C'est pourquoi un refus d'indemnisation ne peut jamais être apprécié de manière automatique.
La section suivante explique justement comment déterminer si les arguments avancés par la banque sont réellement justifiés au regard des circonstances de votre dossier.
À retenir
Le Code monétaire et financier pose un principe de remboursement des opérations de paiement non autorisées, mais prévoit également des exceptions, notamment en cas de négligence grave du client. Lorsqu'une banque refuse d'indemniser une victime de phishing, il est donc indispensable d'examiner les textes applicables, les preuves dont elle dispose et les circonstances précises de la fraude avant de conclure que ce refus est justifié.
Comment savoir si le refus de la banque est justifié ?
Recevoir un courrier de refus de la banque ne signifie pas nécessairement que votre dossier est définitivement compromis.
À l'inverse, le seul fait d'avoir été victime d'un phishing ne signifie pas non plus que la banque est automatiquement tenue de vous indemniser.
En pratique, la réponse dépend d'une analyse précise des circonstances de la fraude, des obligations de chacun et des preuves disponibles.
Les circonstances de la fraude doivent être examinées dans leur ensemble
Chaque phishing présente des caractéristiques différentes.
Il est notamment nécessaire d'analyser :
le contenu du courriel ou du SMS reçu ;
la présentation du faux site internet ;
les informations effectivement communiquées au fraudeur ;
les opérations réalisées sur le compte bancaire ;
la chronologie des événements.
Pris isolément, aucun de ces éléments ne permet de déterminer l'issue du litige.
C'est leur combinaison qui permet d'apprécier les responsabilités susceptibles d'être engagées.
Les arguments de la banque doivent être confrontés aux faits
Les établissements bancaires motivent généralement leur refus en expliquant que le client a communiqué volontairement ses identifiants ou validé certaines opérations.
Ces affirmations doivent être comparées aux pièces du dossier.
Les échanges avec la banque, les captures d'écran, les SMS reçus, les relevés de compte ou encore les données techniques peuvent permettre de vérifier si les faits correspondent réellement à la présentation retenue par l'établissement bancaire.
La jurisprudence impose une analyse au cas par cas
Les litiges liés au phishing donnent régulièrement lieu à des décisions de justice.
La Cour de cassation rappelle que l'appréciation de la négligence grave dépend des circonstances propres à chaque affaire.
Autrement dit, il n'existe pas de règle selon laquelle toute victime ayant communiqué ses identifiants perd automatiquement son droit à indemnisation.
Les juridictions examinent notamment le niveau de sophistication de la fraude, le comportement de la victime et les éléments produits par la banque pour justifier son refus.
Cette approche explique que deux dossiers apparemment similaires puissent conduire à des solutions différentes.
Une analyse juridique permet d'identifier les véritables enjeux du dossier
L'objectif n'est pas de rechercher systématiquement une faute de la banque.
Il s'agit de déterminer si les conditions prévues par le Code monétaire et financier sont réunies, si les preuves produites sont suffisantes et si les arguments avancés résistent à une analyse juridique.
Ce travail permet ensuite de définir la stratégie la plus adaptée, qu'il s'agisse de poursuivre les échanges avec la banque ou d'engager une procédure.
La section suivante explique justement comment j'interviens pour contester un refus d'indemnisation à la suite d'un phishing bancaire.
À retenir
Un refus de remboursement ne peut pas être apprécié uniquement à la lecture du courrier de la banque. Les circonstances de la fraude, les preuves disponibles, les textes applicables et la jurisprudence doivent être analysés dans leur ensemble afin de déterminer si la position de l'établissement bancaire est juridiquement fondée.
Contester le refus de votre banque : par où commencer ?
Lorsqu'une banque refuse de rembourser les conséquences d'un phishing, il est tentant de répondre immédiatement par un courrier de contestation ou d'engager une procédure judiciaire.
En pratique, une contestation efficace repose avant tout sur une compréhension précise de la position de la banque.
Avant de discuter de ses responsabilités, il est indispensable d'identifier les règles juridiques qu'elle invoque, les preuves sur lesquelles elle s'appuie et les raisons pour lesquelles elle estime pouvoir refuser votre indemnisation.
C'est cette première étape qui permet ensuite de construire une stratégie adaptée à votre dossier.
Obtenir une position claire de la banque
Certaines banques motivent précisément leur refus.
D'autres se contentent d'indiquer que le client a communiqué ses identifiants ou validé une opération, sans expliquer en détail les éléments qui fondent leur décision.
Avant toute contestation, il est essentiel d'obtenir une réponse suffisamment motivée pour comprendre le raisonnement adopté par l'établissement bancaire.
Cette démarche permet d'identifier les véritables points de désaccord et d'éviter de construire une contestation sur des hypothèses.
Vérifier si les conditions prévues par la loi sont réellement réunies
En matière de phishing bancaire, les règles applicables sont principalement définies par les articles L.133-18, L.133-19 et L.133-23 du Code monétaire et financier.
Ces textes fixent les conditions dans lesquelles une opération non autorisée doit être remboursée, les situations dans lesquelles la banque peut invoquer une négligence grave et les règles relatives à la preuve.
Une analyse juridique consiste donc à confronter les arguments avancés par la banque aux exigences posées par ces dispositions et à la jurisprudence qui les interprète.
L'objectif n'est pas de contester systématiquement le refus, mais de vérifier s'il est juridiquement fondé.
Construire une stratégie adaptée aux circonstances de la fraude
Chaque campagne de phishing présente des particularités.
Le contenu du faux SMS ou du courriel, la présentation du site frauduleux, les opérations réalisées sur le compte ou encore les échanges avec la banque peuvent modifier l'analyse juridique du dossier.
Une contestation efficace ne peut donc pas reposer sur un modèle de courrier identique pour toutes les situations.
Elle doit être construite à partir des faits propres à votre affaire et des arguments effectivement retenus par la banque.
Comment j'interviens dans ce type de dossier
Lorsque j'accompagne une victime de phishing bancaire, mon intervention débute par une analyse complète des circonstances de la fraude et des échanges avec la banque.
J'examine les opérations litigieuses, les documents communiqués par l'établissement bancaire, les éléments techniques disponibles et les textes applicables afin d'apprécier si le refus d'indemnisation est juridiquement justifié.
À l'issue de cette analyse, je définis la stratégie la plus adaptée à votre situation, qu'il s'agisse de poursuivre les échanges avec la banque ou d'engager une procédure lorsque les circonstances du dossier le justifient.
👉 Si votre banque invoque une négligence grave pour refuser votre indemnisation, vous pouvez également consulter notre page consacrée à la négligence grave, qui explique dans quelles situations cet argument peut être retenu.
À retenir
Contester le refus de votre banque ne consiste pas à adresser immédiatement une réclamation. La première étape consiste à comprendre les raisons précises du refus, à vérifier si les conditions prévues par le Code monétaire et financier sont réunies et à construire une stratégie adaptée aux circonstances de votre dossier.
Foire aux questions
-
Non.
Le fait d'avoir communiqué vos identifiants à la suite d'un phishing ne signifie pas automatiquement que vous perdez votre droit à indemnisation.
La banque doit démontrer que les conditions prévues par le Code monétaire et financier sont réunies pour pouvoir refuser le remboursement. Chaque situation doit être appréciée en fonction des circonstances de la fraude.
-
Le phishing consiste généralement à vous inciter à communiquer vos informations confidentielles par l'intermédiaire d'un faux courriel, d'un faux SMS ou d'un faux site internet.
À l'inverse, dans une fraude au faux conseiller bancaire, les escrocs vous contactent directement par téléphone afin de vous convaincre d'effectuer une opération ou de communiquer un code de sécurité.
Les deux fraudes peuvent toutefois être combinées.
-
Le dépôt d'une plainte est recommandé.
Il permet de signaler les faits aux autorités et peut être utile dans le cadre de l'enquête pénale.
En revanche, il ne conditionne pas, à lui seul, l'examen de votre demande d'indemnisation par la banque.
-
Oui.
Dès que vous découvrez avoir communiqué vos identifiants sur un faux site, il est recommandé de modifier immédiatement votre mot de passe, de prévenir votre banque et de faire opposition sur vos moyens de paiement si cela apparaît nécessaire.
Une réaction rapide peut limiter les conséquences de la fraude.
-
Le seul fait d'avoir cliqué sur un lien ne suffit pas, à lui seul, à établir une négligence grave.
L'analyse dépend notamment du contenu du message, de la présentation du faux site, des informations communiquées et des circonstances dans lesquelles la fraude s'est produite.
-
En principe, l'article L.133-24 du Code monétaire et financier prévoit que l'utilisateur doit signaler les opérations non autorisées dans un délai maximal de treize mois à compter de leur débit, sauf exceptions prévues par la loi.
Il est toutefois conseillé d'informer votre banque dès la découverte de la fraude afin de limiter ses conséquences.
-
Oui. Le cabinet est situé à Marseille, mais les démarches peuvent être réalisées à distance.
-
Une fraude bancaire n'autorise pas automatiquement la banque à clôturer votre compte.
En revanche, elle peut décider de mettre fin à la relation bancaire dans les conditions prévues par la convention de compte et par la réglementation applicable.
Cette décision est indépendante de la question de votre indemnisation.
Victime d'un phishing bancaire ? Faites analyser votre dossier.
Communiquer ses identifiants bancaires après un faux courriel, un faux SMS ou un faux site internet est une situation particulièrement déstabilisante.
Au-delà du préjudice financier, de nombreuses victimes découvrent que leur banque refuse de les indemniser, estimant qu'elles auraient commis une négligence grave ou qu'elles ont elles-mêmes permis la réalisation des opérations litigieuses.
Pourtant, ces litiges ne peuvent pas être résolus par une réponse standard.
Les circonstances de la fraude, les opérations réalisées sur votre compte, les dispositifs de sécurité mis en œuvre par la banque, les preuves disponibles et la jurisprudence doivent être analysés avec précision avant d'apprécier si le refus de remboursement est juridiquement fondé.
En tant qu'avocat en droit bancaire, j'accompagne les particuliers et les professionnels confrontés à ce type de situation.
Mon intervention consiste à reconstituer le déroulement de la fraude, à analyser les arguments avancés par la banque au regard des dispositions du Code monétaire et financier et de la jurisprudence, puis à définir la stratégie la plus adaptée à votre dossier, qu'il s'agisse d'une démarche amiable ou d'une procédure judiciaire lorsque celle-ci apparaît nécessaire.
Si vous avez été victime d'un phishing bancaire ou si votre banque refuse de prendre en charge les opérations frauduleuses, vous pouvez me transmettre les principaux documents de votre dossier afin que nous examinions ensemble les recours envisageables.
➡️ Vous souhaitez contester le refus de votre banque ? Prenez rendez-vous ou contactez le cabinet pour un premier échange.