Spoofing : l’usurpation d’identité bancaire et la fraude au faux conseiller

Victime d’un faux conseiller bancaire, vous avez droit en principe au remboursement des opérations que vous n’avez pas autorisées, au plus tard à la fin du premier jour ouvrable suivant votre signalement. Pour vous en faire supporter la perte, la banque doit prouver votre fraude ou votre négligence grave. Le spoofing, qui fait s’afficher le vrai numéro de la banque sur votre téléphone, est au cœur de ce contentieux. Depuis 2024, la Cour de cassation admet que cette mise en scène puisse diminuer la vigilance de la victime. En 2026, elle exige toutefois du juge un examen concret de chaque dossier. Le 15 octobre 2026, la Cour de justice de l’Union européenne a par ailleurs jugé que la négligence grave ne permet pas de refuser le remboursement immédiat. Voici le régime applicable, la jurisprudence récente et les démarches à suivre, dans l’ordre.

1️⃣ L’arnaque au faux conseiller bancaire, comment elle fonctionne

Le numéro de votre banque s’affiche sur votre écran

Le spoofing consiste à falsifier l’identifiant qui s’affiche chez la victime. Votre téléphone indique alors le numéro de votre agence, du service des oppositions ou de votre conseiller. Le procédé vise aussi les SMS, qui se rangent dans le fil de discussion habituel de la banque. Le faux conseiller bancaire annonce une fraude en cours sur votre compte. Il connaît souvent votre nom, votre adresse ou vos dernières opérations. Il vous presse ensuite d’agir pour « protéger » vos fonds.

Sur le plan pénal, ces faits relèvent de l’escroquerie. Elle suppose l’usage d’une fausse qualité ou de manœuvres frauduleuses, et elle est punie de cinq ans d’emprisonnement et de 375.000,00 € d’amende (article 313-1 du code pénal). La plainte n’entraîne toutefois pas, par elle-même, le remboursement. Celui-ci se demande à la banque, sur le fondement du code monétaire et financier.

Le faux conseiller bancaire vous fait valider l’opération vous-même

Le procédé va parfois plus loin. Le fraudeur ne se contente pas de demander vos codes. Il vous fait valider, sur votre propre application, ce qu’il présente comme une annulation, un test ou une sécurisation. En réalité, vous confirmez un virement, un ajout de bénéficiaire, un paiement ou l’enrôlement d’un nouveau téléphone. Dans d’autres cas, il obtient le code reçu par SMS pour enregistrer votre carte dans un portefeuille de paiement. Nous décrivons ce mécanisme dans notre article sur les nouvelles fraudes liées à Apple Pay.

Certaines banques en tirent un argument. Selon elles, l’opération validée avec vos propres moyens d’authentification serait autorisée. Le droit ne s’en contente pas.

Opération autorisée ou non autorisée, la question qui commande tout

Une opération est autorisée si le payeur « a donné son consentement à son exécution » (article L. 133-6 du code monétaire et financier). Ce consentement se donne sous la forme convenue avec la banque. À défaut, l’opération est « réputée non autorisée » (article L. 133-7).

Or le recours à la forme convenue ne suffit pas, à lui seul, à prouver le consentement. Une cour d’appel avait déduit le consentement d’une société de l’usage de son identifiant, de son code et d’un code généré par son boîtier de sécurité. La société soutenait pourtant que ses données avaient été utilisées à son insu. La Cour de cassation a censuré cet arrêt, qui avait « inversé la charge de la preuve » (Cass. com., 1er juillet 2026, n° 25-13.134, publié au Bulletin).

Le tribunal judiciaire de Lyon raisonne de même pour la victime d’un appel frauduleux. Selon lui, la réalisation du paiement avec une authentification forte « ne permet pas de présumer du consentement donné par l’utilisateur » (TJ Lyon, 30 juin 2026, RG 25/04819, présenté plus bas). Dans les arrêts de faux conseiller bancaire cités ci-dessous, le débat porte d’ailleurs sur la négligence grave, qui ne concerne que les opérations non autorisées. C’est le cas même lorsque la victime a validé elle-même l’opération.

2️⃣ Ce que la loi impose à votre banque après un spoofing

Un remboursement au plus tard le premier jour ouvrable suivant

L’article L. 133-18 du code monétaire et financier pose la règle. La banque rembourse l’opération non autorisée « immédiatement » après en avoir été informée. Elle le fait, en tout état de cause, « au plus tard à la fin du premier jour ouvrable suivant ». Elle rétablit aussi le compte dans l’état où il se serait trouvé sans l’opération.

Une seule exception est prévue. La banque peut différer si elle a de bonnes raisons de soupçonner une fraude de l’utilisateur lui-même. Elle doit alors communiquer ces raisons par écrit à la Banque de France.

La négligence grave ne permet pas de refuser le remboursement immédiat

Il arrive pourtant qu’une banque refuse de rembourser en invoquant d’emblée la négligence grave du client. La Cour de justice de l’Union européenne a jugé cette pratique contraire à la directive sur les services de paiement. Dans l’affaire jugée, une cliente polonaise avait saisi ses données sur un faux site bancaire. Le fraudeur avait ensuite validé un virement avec le code reçu par SMS, obtenu d’elle par tromperie. Sa banque refusait de la rembourser pour négligence grave.

La Cour a dit pour droit que la banque « ne peut pas refuser de rembourser immédiatement à un payeur le montant d’une opération de paiement non autorisée, au motif que ce payeur aurait rendu possible cette opération par une négligence grave » (CJUE, 1re ch., 15 octobre 2026, aff. C-70/25).

Elle précise aussi la mécanique. La banque rembourse d’abord. Vient ensuite, « à un stade ultérieur », la répartition des pertes. La banque peut alors réclamer au payeur celles qui résultent de sa négligence grave, à condition de la prouver. L’article L. 133-18 transpose la même règle, avec la même exception unique. Le juge français doit l’interpréter à la lumière de la directive, et donc de cet arrêt.

Des pénalités de retard qui montent vite

La loi sanctionne elle-même le retard de remboursement. Les sommes dues produisent d’abord intérêt au taux légal majoré de cinq points. La majoration passe ensuite à dix points au-delà de sept jours de retard. Enfin, elle atteint quinze points au-delà de trente jours (article L. 133-18, alinéa 3). Le contrat peut, en outre, prévoir une indemnité complémentaire. Encore faut-il demander ces pénalités au juge, qui ne statue que sur ce qui lui est demandé.

La preuve pèse sur la banque

Lorsque vous niez avoir autorisé l’opération, la banque doit prouver qu’elle a été « authentifiée, dûment enregistrée et comptabilisée », sans déficience technique (article L. 133-23). L’utilisation de l’instrument, telle que la banque l’a enregistrée, « ne suffit pas nécessairement » à prouver votre autorisation ou votre négligence grave. La banque doit donc fournir les éléments prouvant la fraude ou la négligence grave.

Cette preuve technique est un préalable. Pour faire supporter les pertes au client, la banque « doit au préalable prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée » (Cass. com., 20 novembre 2024, n° 23-15.099, publié au Bulletin). Le juge doit vérifier ce point pour chacune des opérations litigieuses.

Sans authentification forte, aucune perte à votre charge

La banque doit appliquer une authentification forte lorsque vous accédez à votre compte en ligne ou initiez un paiement électronique. Pour un paiement à distance, elle doit en outre lier l’opération à son montant et à son bénéficiaire (article L. 133-44). À défaut, et sauf fraude de votre part, vous ne supportez « aucune conséquence financière » (article L. 133-19, V).

La Cour de cassation l’a jugé à propos d’un code 3D Secure communiqué à un faux employé de banque. Le tribunal avait retenu la négligence grave du client, qui avait fait confiance à une histoire « peu crédible ». Il n’avait pas recherché si la banque avait exigé une authentification forte, et son jugement a été cassé (Cass. com., 30 août 2023, n° 22-11.707, publié au Bulletin). En l’absence d’authentification forte, la banque ne peut donc pas opposer au client sa négligence grave.

3️⃣ La négligence grave face au faux conseiller bancaire

La négligence grave est le principal moyen de défense des banques dans ce contentieux. Elle suppose un manquement de l’utilisateur à son obligation de préserver ses données de sécurité, d’utiliser l’instrument selon les conditions convenues ou d’informer sans tarder la banque (articles L. 133-16, L. 133-17 et L. 133-19, IV). La Cour de justice la définit comme une « violation caractérisée d’une obligation de diligence » (CJUE, 1er août 2025, Veracash, aff. C-665/23). La Cour de cassation censure ainsi le juge qui se contente de relever une « imprudence et négligence » sans caractériser la négligence grave (Cass. com., 14 janvier 2026, n° 22-14.822, publié au Bulletin).

Le spoofing peut diminuer la vigilance de la victime

Le 23 octobre 2024, la Cour de cassation a rendu l’arrêt de référence. Un client avait vu s’afficher le numéro de sa conseillère. À la demande de son interlocutrice, il avait validé sur son application l’ajout de cinq bénéficiaires, puis subi 54.500,00 € de virements frauduleux. La cour d’appel avait jugé que ce mode opératoire l’avait mis en confiance et avait diminué sa vigilance. Elle ajoutait qu’un appel laisse moins de temps qu’un courriel pour déceler une anomalie. La Cour de cassation a jugé que la cour d’appel avait « pu déduire » l’absence de négligence grave (Cass. com., 23 octobre 2024, n° 23-16.267, publié au Bulletin).

Le 12 juin 2025, la Cour a confirmé cette ligne pour une entreprise. Une salariée avait reçu l’appel d’un faux technicien, depuis un numéro usurpé de la banque, qui annonçait une panne informatique. Elle avait effectué diverses manipulations sur le service en ligne. Deux virements, de 98.000,00 € au total, étaient ensuite partis vers l’Allemagne. L’usurpation du numéro et l’annonce du code affiché sur son écran étaient « de nature à persuader celle-ci qu’elle était en relation avec un technicien ». Là encore, la cour d’appel avait « pu déduire » l’absence de négligence grave (Cass. com., 12 juin 2025, n° 24-13.777, publié au Bulletin).

Ces deux arrêts se bornent à valider, au cas par cas, l’appréciation des juges du fond.

En 2026, un examen concret exigé du juge

En 2026, la Cour de cassation a précisé les limites de cette jurisprudence. Le 4 mars 2026, elle a cassé un jugement qui avait écarté la négligence grave parce que l’appel venait du numéro officiel de l’agence, pendant ses heures d’ouverture. La banque faisait valoir que son client avait reçu un message explicite. Celui-ci indiquait « vous allez confirmer un paiement. Il ne s’agit ni d’un remboursement, ni d’une annulation ». Le juge devait donc rechercher si, à sa réception, le client pouvait suspecter la fraude (Cass. com., 4 mars 2026, n° 24-19.588, publié au Bulletin).

Le 9 septembre 2026, elle a censuré un arrêt qui posait une règle de principe. Selon cet arrêt, l’appel d’un faux préposé dont le numéro correspondait à celui de la banque excluait toute négligence grave. La Cour y voit un « motif péremptoire ». Le juge doit rechercher « concrètement » si la divulgation volontaire de l’identifiant et du code d’accès et la validation d’opérations que le client n’avait pas initiées constituaient une négligence grave (Cass. com., 9 septembre 2026, n° 25-15.038, non publié).

En pratique, le numéro affiché ne suffit pas, à lui seul, à écarter la négligence grave. Le juge examine l’ensemble du scénario. Il regarde notamment la nature exacte des messages reçus, la durée de l’appel, les alertes données par la banque et ce que la victime pouvait percevoir. Votre récit des faits doit donc être précis et appuyé sur des captures d’écran.

Ce que jugent les juridictions lyonnaises en matière de spoofing

Le 23 juin 2026, le tribunal judiciaire de Lyon a condamné une banque à rembourser 7.043,71 € à un client. L’appel s’affichait sous le numéro de son agence, et le client avait communiqué les codes reçus par SMS. Pour le tribunal, l’usurpation de l’identité d’un agent de la banque était « quasiment indétectable pour un utilisateur normalement attentif ». La banque ne justifiait pas, en outre, d’alertes spécifiques sur le spoofing (TJ Lyon, 23 juin 2026, RG 23/02724, en premier ressort).

Le 30 juin 2026, le même tribunal a condamné une banque à rembourser un paiement de 6.661,00 €. Un faux service des oppositions avait fait activer un dispositif de sécurité, relever le plafond de la carte et valider le paiement. L’appel avait duré une demi-heure, après 18 heures, sans possibilité de joindre son conseiller. Pour le tribunal, cette conversation était « de nature à amoindrir la vigilance » de la cliente (TJ Lyon, 30 juin 2026, RG 25/04819, en premier ressort).

Le Cabinet a également obtenu gain de cause devant la cour d’appel de Lyon dans une affaire de faux conseiller bancaire. L’appel s’affichait sous le numéro de la banque en ligne, et la cliente avait communiqué au fraudeur le code reçu par SMS pour activer Apple Pay. Pour la cour, les SMS produits par la banque « ne démontrent pas que [la cliente] a consenti aux différentes opérations de paiement litigieuses ». Communiquer ce code « en pensant qu’elle luttait ainsi contre la fraude ne constitue pas une négligence grave ». La banque a été condamnée à rembourser 7.407,17 € et à verser 6.583,07 € de pénalités de retard, arrêtées au 20 février 2026, au titre de l’article L. 133-18 (CA Lyon, 6e ch., 21 mai 2026, RG 24/04021). Nos décisions sont présentées sur notre page Résultats.

4️⃣ Faux conseiller bancaire : obtenir le remboursement, les démarches dans l’ordre

Faire opposition immédiatement

Dès que vous comprenez la fraude, faites bloquer la carte et l’accès à distance. La loi impose d’informer la banque « sans tarder », aux fins de blocage de l’instrument (article L. 133-17). La banque doit mettre gratuitement à votre disposition un moyen de le faire à tout moment. Elle doit aussi vous fournir, sur demande, les moyens de prouver cette information (article L. 133-15). Demandez-les. Après l’opposition, et sauf fraude de votre part, vous ne supportez plus aucune conséquence financière de l’utilisation de l’instrument (article L. 133-20).

Contester par écrit, sans tarder et dans les treize mois

Signalez ensuite chaque opération par écrit, le jour même si possible. Un courriel et une lettre recommandée avec accusé de réception se complètent utilement. L’article L. 133-24 exige un signalement « sans tarder », et au plus tard dans les treize mois suivant la date de débit, sous peine de forclusion. Ce délai ne joue pas si la banque ne vous a ni fourni ni rendu accessibles les informations relatives à l’opération. Pour une victime professionnelle, le contrat peut par ailleurs prévoir un délai distinct.

Selon la Cour de justice, le respect de ce délai de treize mois ne suffit pas. En cas de perte, de vol, de détournement ou d’utilisation non autorisée de l’instrument de paiement, le retard ne prive toutefois du remboursement que s’il est intentionnel ou résulte d’une négligence grave (arrêt Veracash précité). La Cour de cassation en a déduit que l’obligation de signaler naît au moment où la victime a connaissance de l’opération (arrêt du 14 janvier 2026 précité). Le 4 février 2026, elle a approuvé le rejet d’une demande de remboursement, faute pour les clients de justifier de la date de leur signalement à la banque (Cass. com., 4 février 2026, n° 22-22.609, publié au Bulletin). Gardez donc la trace datée de chaque échange.

Dans votre écrit, décrivez les faits tels qu’ils se sont déroulés. Indiquez l’heure de l’appel, le numéro affiché, ce que l’interlocuteur annonçait et ce que vous pensiez faire. Joignez des captures d’écran du journal d’appels et des SMS. Évitez de qualifier vous-même l’opération d’« autorisée », car cette qualification appartient au juge.

Porter plainte, et signaler sur Perceval pour la carte

Déposez plainte pour escroquerie auprès de la police ou de la gendarmerie. Le code monétaire et financier ne fait pas de la plainte une condition du remboursement. Elle reste toutefois utile, car elle date et fixe votre récit. Votre contrat d’assurance peut aussi l’exiger.

Si votre carte est toujours en votre possession et que ses données ont servi à votre insu, la plateforme Perceval permet de signaler la fraude en ligne. Nous détaillons cette démarche dans notre article Perceval, première étape en cas de fraude bancaire.

Mettre en demeure, puis saisir le médiateur

Si la banque refuse, ou ne rembourse pas dans le délai légal, mettez-la en demeure par lettre recommandée. Rappelez l’article L. 133-18, les pénalités de retard et l’arrêt de la Cour de justice du 15 octobre 2026. Le consommateur peut ensuite saisir gratuitement le médiateur de sa banque (article L. 316-1 du code monétaire et financier). Il doit d’abord justifier d’une réclamation écrite auprès de la banque. Il dispose ensuite d’un an à compter de cette réclamation pour saisir le médiateur (article L. 612-2 du code de la consommation).

Assigner la banque

À défaut d’accord, le particulier assigne en principe sa banque devant le tribunal judiciaire. La société commerçante saisit en principe la juridiction commerciale. Jusqu’à 10.000,00 €, la représentation par avocat n’est pas obligatoire devant le tribunal judiciaire (article 761 du code de procédure civile). Nous l’expliquons dans notre article sur la représentation obligatoire par avocat. L’assignation réclame le montant des opérations, les pénalités de l’article L. 133-18 et les frais de procédure.

Le virement exécuté vers un IBAN que vous avez vous-même transmis obéit à d’autres règles. Nous les traitons dans notre article sur le faux RIB et le remboursement du virement. Les escroqueries aux faux placements en cryptomonnaies font l’objet d’un article distinct.

Faux conseiller bancaire : vos questions, nos réponses

Ma banque doit-elle me rembourser après une arnaque au faux conseiller bancaire ?

En principe, oui, si l’opération n’a pas été autorisée et si vous l’avez signalée à temps. La banque doit rembourser au plus tard à la fin du premier jour ouvrable suivant le signalement (article L. 133-18 du code monétaire et financier). Elle ne peut différer qu’en cas de soupçon de fraude de votre part, déclaré par écrit à la Banque de France. Elle peut ensuite vous réclamer les pertes, si elle prouve votre négligence grave.

Quel est le délai pour contester une opération après un spoofing ?

Vous devez signaler l’opération à votre banque sans tarder, dès que vous en avez connaissance. Le délai maximal est de treize mois à compter de la date de débit, sous peine de forclusion, sauf si la banque ne vous a pas fourni les informations relatives à l’opération (article L. 133-24 du code monétaire et financier). Même dans ce délai, un retard intentionnel ou gravement négligent peut vous priver du remboursement. Écrivez donc le jour même et conservez la preuve de la date.

La banque peut-elle refuser le remboursement pour négligence grave ?

Elle ne peut pas refuser le remboursement immédiat pour ce motif. La Cour de justice de l’Union européenne l’a jugé le 15 octobre 2026 (aff. C-70/25). La banque doit d’abord rembourser, puis elle peut vous réclamer les pertes si elle prouve votre négligence grave. Cette preuve lui incombe, et la seule utilisation de vos codes ne suffit pas.

Le numéro de ma banque s’affichait, suis-je forcément remboursé ?

Pas forcément. Depuis 2024, la Cour de cassation admet que le spoofing puisse diminuer la vigilance de la victime et exclure la négligence grave. En 2026, elle exige toutefois du juge un examen concret des circonstances, notamment des messages de confirmation reçus. Le numéro affiché est un élément important, sans suffire à lui seul.

J’ai validé moi-même l’opération sur mon application, puis-je être remboursé ?

Oui, c’est possible. L’authentification de l’opération ne suffit pas, à elle seule, à prouver votre consentement, et la banque ne peut le déduire du seul usage de vos moyens d’authentification. Dans les affaires de faux conseiller bancaire jugées par la Cour de cassation, le débat porte sur la négligence grave, que la banque doit prouver. Le juge apprécie alors ce que vous pouviez comprendre au moment de la validation.

Faut-il porter plainte pour être remboursé après une arnaque au faux conseiller bancaire ?

La loi ne fait pas de la plainte une condition du remboursement par la banque. La plainte pour escroquerie reste toutefois recommandée, car elle date et fixe votre récit. Elle peut aussi être exigée par votre assurance. Si votre carte est restée en votre possession, vous pouvez en outre signaler la fraude sur la plateforme Perceval.

Que faire si la banque refuse de me rembourser ?

Mettez-la en demeure par lettre recommandée, en rappelant l’article L. 133-18 du code monétaire et financier et les pénalités de retard. Si vous êtes consommateur, vous pouvez saisir gratuitement le médiateur de la banque, dans l’année qui suit votre réclamation écrite. À défaut d’accord, l’action se porte devant le tribunal. Sans remboursement à temps, les sommes portent intérêt au taux légal majoré de cinq à quinze points selon la durée du retard.