Une personne reçoit un appel de son conseiller bancaire. Le numéro affiché correspond à celui de sa banque, l’interlocuteur connaît certaines informations sur son compte et affirme qu’une fraude est en cours. Sous pression, la victime valide des opérations censées sécuriser son compte, avant de découvrir que l’argent a en réalité été envoyé aux escrocs.
Cette arnaque, appelée faux conseiller bancaire ou spoofing téléphonique, soulève une question importante : la banque doit-elle rembourser les sommes perdues lorsque le client a lui-même validé les opérations ?
La réponse n’est pas simplement « oui » ou « non ». Le régime prévu par le Code monétaire et financier distingue les opérations autorisées des opérations non autorisées et prévoit une exception lorsque la banque démontre une négligence grave du client. La jurisprudence récente de la Cour de cassation apporte toutefois une protection importante aux victimes de spoofing.
📞 Faux conseiller bancaire : comment fonctionne l’arnaque ?
Le scénario commence généralement par un appel téléphonique présenté comme provenant de la banque. L’escroc peut utiliser le spoofing, une technique qui permet de faire apparaître sur l’écran du téléphone un numéro correspondant à celui de l’établissement bancaire.
Le fraudeur se présente ensuite comme un conseiller ou un membre du service sécurité. Il explique qu’une opération suspecte vient d’être détectée et qu’une intervention immédiate est nécessaire pour protéger le compte.
La victime peut alors être invitée à :
- valider une notification dans l’application bancaire ;
- communiquer un code reçu par SMS ;
- supprimer ou ajouter un bénéficiaire ;
- effectuer un virement présenté comme une opération de sécurisation ;
- confirmer une prétendue annulation de paiement ;
- communiquer certaines données de sécurité.
L’escroc ne cherche donc pas nécessairement à contourner directement le système de sécurité de la banque. Il manipule le titulaire du compte pour que celui-ci effectue lui-même les actions demandées.
C’est précisément cette particularité qui a longtemps compliqué les demandes de remboursement.
💳 Le client a validé l’opération : est-elle pour autant autorisée ?
La validation d’une opération dans l’application bancaire ne suffit pas, à elle seule, à régler la question.
Dans une véritable opération autorisée, le client sait qu’il effectue un paiement ou un virement et accepte volontairement son exécution. Dans une fraude au faux conseiller, la personne peut au contraire croire qu’elle est en train d’annuler une opération frauduleuse ou de protéger son compte alors qu’elle autorise en réalité un transfert d’argent vers le fraudeur.
La Cour de cassation a précisément retenu cette distinction dans un arrêt du 23 octobre 2024. Elle a considéré que les virements réalisés après manipulation par un faux conseiller constituaient des opérations de paiement non autorisées, même si la victime avait utilisé son dispositif de sécurité personnalisé à la demande de l’escroc.
Cette qualification est déterminante pour le remboursement.
⚖️ La banque doit normalement rembourser une opération non autorisée
L’article L.133-18 du Code monétaire et financier prévoit le remboursement des opérations de paiement non autorisées lorsqu’un client signale la fraude à son établissement bancaire.
La banque peut toutefois refuser de supporter la perte si elle établit que le client a commis une négligence grave dans la conservation ou l’utilisation de ses données de sécurité. La charge de cette preuve revient à l’établissement bancaire.
Autrement dit, le simple fait qu’un code ait été utilisé ou qu’une authentification ait été réalisée ne permet pas automatiquement à la banque de considérer que le client est responsable.
La Cour de cassation rappelle d’ailleurs que l’utilisation de l’instrument de paiement ne suffit pas, à elle seule, à démontrer une négligence grave. Le comportement du client et les circonstances de la fraude doivent être examinés.
🔐 L’authentification forte ne prive pas automatiquement la victime de son remboursement
C’est l’un des points les plus importants dans les dossiers de faux conseillers.
Une banque peut constater qu’une opération a été validée avec un code, une notification dans l’application ou un autre mécanisme d’authentification forte. Elle peut alors considérer que son système de sécurité a correctement fonctionné.
Mais l’authentification forte ne signifie pas automatiquement que le client a volontairement autorisé le paiement frauduleux.
Dans l’affaire jugée en octobre 2024, la victime avait utilisé ses données de sécurité à la demande de la personne qui se faisait passer pour sa conseillère. Le numéro affiché sur son téléphone correspondait à celui de sa véritable conseillère bancaire. La Cour de cassation a estimé que ces circonstances avaient placé le client dans une situation de confiance et diminué sa vigilance.
La Cour a donc validé la décision condamnant la banque à rembourser 54 500 euros de virements frauduleux.
🚨 Le spoofing peut écarter la « négligence grave »
La décision du 23 octobre 2024 constitue une référence importante pour les victimes de faux conseillers.
La Cour de cassation a relevé plusieurs circonstances :
- le fraudeur avait utilisé un numéro identique à celui de la véritable conseillère ;
- la victime pensait être en communication avec sa banque ;
- l’escroc avait présenté les manipulations demandées comme des mesures de sécurité ;
- la victime avait utilisé son dispositif de sécurité pour suivre les instructions.
Dans ces circonstances, la Cour a considéré que la négligence grave du client n’était pas caractérisée.
La décision ne signifie toutefois pas que toutes les victimes de faux conseillers seront automatiquement remboursées. Les juges examinent les circonstances propres à chaque dossier.
La différence peut notamment se jouer sur les alertes reçues, les informations communiquées, les actions réalisées par le client et la manière dont l’escroc a procédé.
🏦 Que doit prouver la banque pour refuser le remboursement ?
Lorsqu’une banque invoque une négligence grave, elle doit pouvoir l’établir.
Elle ne peut donc pas simplement répondre que :
le code a été utilisé ;
l’authentification forte a été réalisée ;
le client a validé une notification ;
ou l’application bancaire n’a rencontré aucun problème technique.
Ces éléments peuvent faire partie du dossier, mais ils ne suffisent pas nécessairement à démontrer une négligence grave.
La Cour de cassation rappelle que la charge de la preuve repose sur le prestataire de services de paiement.
L’examen porte donc sur l’ensemble des circonstances de la fraude.
📱 Un numéro de banque affiché sur le téléphone change-t-il la situation ?
Oui, cela peut avoir une importance considérable.
Le spoofing téléphonique permet précisément à l’escroc de faire apparaître le numéro d’une banque ou d’un conseiller connu. Pour la victime, l’appel semble alors provenir de son établissement bancaire.
Dans son arrêt de 2024, la Cour de cassation a expressément retenu que l’affichage du numéro de la véritable conseillère avait contribué à mettre la victime en confiance.
Cette circonstance peut donc être déterminante pour apprécier l’existence ou non d’une négligence grave.
Elle doit cependant être replacée dans l’ensemble des faits. Un appel frauduleux provenant d’un numéro usurpé ne garantit pas, à lui seul, le remboursement de toutes les sommes perdues.
🧾 Que faire immédiatement après une arnaque au faux conseiller ?
La rapidité de réaction reste importante.
Dès que la fraude est découverte, il faut contacter immédiatement la banque afin de signaler les opérations litigieuses et demander les mesures nécessaires sur le compte.
Il est également recommandé de conserver tous les éléments disponibles :
- numéro de téléphone affiché lors de l’appel ;
- heure et durée des appels ;
- SMS reçus ;
- notifications de l’application bancaire ;
- captures d’écran ;
- relevés de compte ;
- coordonnées communiquées par l’escroc ;
- échanges avec la banque ;
- copie de la plainte.
Une réclamation écrite auprès de la banque permet également de formaliser la demande de remboursement et de conserver une trace du dossier.
Si la banque refuse, le client peut contester cette décision et, selon la situation, saisir le médiateur bancaire puis envisager une action judiciaire.
🚔 Faut-il déposer plainte après un spoofing bancaire ?
Oui. Le dépôt de plainte permet de formaliser la fraude et de conserver une preuve officielle des faits.
La plainte doit décrire précisément le scénario : appel du faux conseiller, numéro affiché, informations utilisées par l’escroc, instructions données, validations effectuées et opérations finalement constatées sur le compte.
Il faut également expliquer que les opérations ont été réalisées à la suite d’une manipulation frauduleuse, et non dans le cadre d’un achat ou d’un virement volontaire vers les bénéficiaires concernés.
Si une carte bancaire a été utilisée dans la fraude, les démarches de signalement adaptées doivent également être effectuées.
A lire aussi: Spearphishing : définition, exemples et techniques pour s’en protéger
⚖️ Faux conseiller bancaire : la justice protège-t-elle davantage les victimes ?
La jurisprudence récente montre une appréciation plus nuancée de la responsabilité du client.
L’arrêt du 23 octobre 2024 est particulièrement important puisqu’il reconnaît qu’une victime manipulée par un faux conseiller utilisant le numéro de sa banque peut ne pas avoir commis de négligence grave, malgré l’utilisation de ses dispositifs de sécurité.
Des décisions plus récentes continuent également à reprendre ce raisonnement : la seule utilisation d’un moyen de paiement ou de données de sécurité ne suffit pas à établir une négligence grave. Les tribunaux examinent le comportement du client et les circonstances précises de la fraude.
La Cour de cassation a par ailleurs encore précisé sa jurisprudence en 2026 dans une affaire de faux conseiller utilisant le numéro de téléphone de la banque, en distinguant notamment les questions liées au régime des opérations de paiement de celles relatives aux obligations générales de vigilance des établissements bancaires.
💰 Alors, la banque doit-elle rembourser les sommes volées ?
Dans une arnaque au faux conseiller, le remboursement peut être dû même lorsque la victime a utilisé son code ou validé une opération.
La banque doit normalement rembourser une opération de paiement non autorisée, sauf si elle démontre notamment une négligence grave du client dans les conditions prévues par le Code monétaire et financier.
La jurisprudence de la Cour de cassation est particulièrement favorable aux victimes lorsque le fraudeur a utilisé un spoofing du numéro bancaire et une manipulation destinée à faire croire au client qu’il échangeait avec son véritable conseiller.
Mais chaque dossier doit être examiné séparément. La présence d’une authentification forte, la communication d’informations confidentielles ou la validation d’une opération ne suffisent pas automatiquement à priver le client de son droit au remboursement. Inversement, une banque peut contester le remboursement lorsqu’elle dispose d’éléments permettant d’établir une véritable négligence grave.
Le point décisif est donc moins de savoir si un code a été validé que de déterminer dans quelles circonstances cette validation a été obtenue et si la banque peut démontrer une négligence grave du client.
En cas de fraude, il est donc préférable de prévenir immédiatement la banque, conserver toutes les preuves, déposer plainte et formaliser une demande de remboursement par écrit.
