Faux conseiller bancaire : obtenir le remboursement

Si un faux conseiller bancaire vous a fait valider des opérations, le remboursement est le principe légal, pas une faveur commerciale. Votre banque doit vous restituer les sommes au plus tard à la fin du premier jour ouvrable suivant votre signalement, sauf à démontrer elle-même votre négligence grave. Vous disposez de treize mois pour contester.

Le spoofing, ou l'art de se faire annoncer par votre propre téléphone

Le terme technique est le spoofing téléphonique, littéralement l'usurpation de l'identité d'appelant. Pour comprendre son efficacité, oubliez l'image du piratage. Le numéro qui s'affiche sur votre écran n'est pas mesuré ni vérifié par votre téléphone : il est simplement déclaré par celui qui appelle, comme l'expéditeur écrit au dos d'une enveloppe. Rien n'oblige cette mention à être exacte, et rien, historiquement, ne la contrôlait.

La conséquence est déroutante. Lorsque le fraudeur déclare le numéro de votre agence, votre répertoire fait le reste du travail à sa place : votre téléphone affiche le nom que vous avez vous-même enregistré. Ce n'est plus un inconnu qui vous appelle, c'est votre banque, présentée comme telle par un appareil auquel vous faites confiance depuis des années. La technique s'accompagne d'un second registre, le vishing, l'hameçonnage par la voix : là où un courriel frauduleux vous laisse le temps de relire, un interlocuteur au téléphone impose son rythme, occupe le silence et vous empêche de vérifier.

Le déroulé type, dans l'ordre où il vous arrive

Les scénarios rapportés aux services d'assistance publics suivent une trame remarquablement stable. La connaître, c'est déjà savoir à quel moment raccrocher.

• L'accroche par l'alarme : un prétendu service anti-fraude vous annonce une opération suspecte, souvent un paiement à l'étranger, parfois un montant précis. L'objectif n'est pas de vous informer, il est de vous placer en position de victime reconnaissante.
• La preuve de légitimité : votre interlocuteur cite votre nom complet, votre agence, parfois les derniers chiffres de votre carte ou une opération réelle du matin. Ces éléments ne viennent pas de votre banque, ils viennent de fichiers en circulation. Nous y revenons plus bas.
• Le geste demandé : il n'est presque jamais formulé comme un paiement. On vous demande de « valider une annulation », de « supprimer puis réinscrire un bénéficiaire », de « confirmer que ce n'est pas vous ». Le vocabulaire est défensif, l'effet est offensif.
• La compression du temps : vous restez en ligne pendant toute l'opération, sous un prétexte de procédure. Ce maintien en communication n'est pas un détail de mise en scène, c'est le cœur du dispositif : il vous empêche d'appeler qui que ce soit pour vérifier.
• La sortie par le haut : l'appel se termine par un remerciement et l'annonce d'un « dossier ouvert ». Beaucoup de victimes ne découvrent le débit que le lendemain, persuadées jusque-là d'avoir bien fait.

Le service public Cybermalveillance.gouv.fr consacre une fiche réflexe à cette fraude et rappelle la règle qui résume tout le reste : un établissement bancaire ne vous demandera jamais de valider une opération que vous n'avez pas initiée, ni de communiquer un code reçu par message.

Pourquoi il en sait autant sur vous

C'est la question que posent presque toutes les victimes, et elle mérite une réponse précise, car elle conditionne la prévention. Dans l'immense majorité des cas, le fraudeur n'a pas accédé à votre compte. Il a assemblé un dossier de contexte à partir de sources qui n'ont rien de confidentiel prises séparément.

Une fuite de données lui fournit le couple identité et numéro de téléphone. Un intermédiaire commercial lui vend l'adresse postale et la tranche d'âge. Une base d'un ancien service en ligne lui indique quelle enseigne bancaire vous utilisez, parce que vous y aviez renseigné un IBAN ou un domiciliation de salaire. Les fuites qui exposent des coordonnées bancaires sont devenues courantes en France, comme nous l'avons documenté lors de l'exposition d'IBAN de clients d'un opérateur télécom. Aucun de ces éléments ne permet, seul, de vider un compte. Réunis dans une fiche, ils permettent de tenir cinq minutes de conversation crédible, et cinq minutes suffisent.

Retenez le renversement : l'escroc ne cherche pas à contourner votre sécurité, il cherche à obtenir que vous la désactiviez vous-même. Sa seule ressource pour cela est ce qu'il sait déjà de vous. Chaque information supplémentaire en circulation augmente mécaniquement sa capacité de persuasion.

Le principe légal : d'abord rembourser, discuter ensuite

Beaucoup de victimes renoncent avant même d'écrire, convaincues d'avoir commis une faute en composant elles-mêmes les manipulations. Le droit applicable ne raisonne pas ainsi, et il est nettement plus favorable que sa réputation. Trois articles du code monétaire et financier structurent la discussion.

• Article L. 133-18 : en cas d'opération de paiement non autorisée signalée par l'utilisateur, la banque rembourse immédiatement le montant, au plus tard à la fin du premier jour ouvrable suivant, et rétablit le compte dans l'état où il se serait trouvé sans l'opération.
• Article L. 133-24 : vous disposez de treize mois à compter de la date de débit pour signaler l'opération. Passé ce délai, l'action est forclose. Signalez donc sans attendre, mais ne considérez jamais un débit de l'an dernier comme définitivement perdu.
• Article L. 133-23 : c'est à la banque de prouver que l'opération a été authentifiée et enregistrée correctement. L'usage de l'instrument de paiement, à lui seul, ne suffit pas à établir que vous avez autorisé l'opération ou commis une négligence grave.

La seule véritable porte de sortie de l'établissement figure à l'article L. 133-19, IV : la négligence grave de l'utilisateur dans la préservation de ses données de sécurité personnalisées. Ce point est le terrain de tous les refus, et c'est précisément là que la jurisprudence a bougé.

Deux arrêts qui déplacent le rapport de force

Le 23 octobre 2024, la chambre commerciale de la Cour de cassation s'est prononcée sur le cas d'un client dont le téléphone affichait le numéro de sa conseillère. Croyant parler à sa banque, il avait utilisé ses données de sécurité pour supprimer puis réinscrire des bénéficiaires, ce qui avait permis 54 500 euros de virements frauduleux. La banque contestait sa condamnation à rembourser. Son pourvoi a été rejeté : dans l'arrêt n° 23-16.267, publié au bulletin, la Cour retient que le recours au spoofing avait pu mettre le client en confiance et diminuer sa vigilance, de sorte que la négligence grave n'était pas caractérisée.

La solution a été confirmée le 12 juin 2025 dans une affaire voisine (pourvoi n° 24-13.777, également publié au bulletin), où une salariée avait suivi les instructions d'un prétendu technicien bancaire, aboutissant à 98 000 euros de virements. Là encore, la sophistication du procédé, le numéro usurpé et la connaissance d'opérations réelles ont conduit à écarter la négligence grave.

Deux enseignements pratiques, formulés sans excès d'optimisme. D'abord, le fait d'avoir agi vous-même, sous la dictée du fraudeur, ne vous prive pas automatiquement du remboursement : la qualité de la mise en scène s'apprécie en votre faveur. Ensuite, ces décisions statuent sur des situations données et n'établissent aucun automatisme. Une négligence grave reste retenue lorsque, par exemple, un code confidentiel a été communiqué de façon explicite. La frontière est factuelle, et c'est à la banque de la démontrer.

La contestation, dans l'ordre qui vous protège

Chaque étape ci-dessous produit une pièce dont la suivante aura besoin. L'ordre compte davantage que la rapidité brute.

• Bloquez immédiatement : faites opposition sur la carte et demandez le blocage de l'accès en ligne. Si un bénéficiaire inconnu a été ajouté, exigez sa suppression et signalez qu'un virement peut encore être en cours d'exécution. Certains transferts sont récupérables tant qu'ils ne sont pas dénoués.
• Fixez les preuves avant qu'elles ne s'effacent : capturez le journal d'appels avec l'horodatage et le numéro affiché, conservez les messages reçus, notez le nom donné par l'interlocuteur et les phrases employées. Ce relevé d'appel est la pièce qui matérialise l'usurpation.
• Contestez par écrit, pas seulement par téléphone : adressez une lettre recommandée qualifiant expressément les opérations de non autorisées au sens de l'article L. 133-18, listant les montants et les dates. Une contestation orale ne laisse aucune trace du point de départ du délai.
• Déposez plainte : le récépissé est réclamé par la plupart des établissements. Pour une escroquerie en ligne sans violence, la plainte peut être déposée par voie numérique via le dispositif Thésée. En cas de fraude à la carte bancaire, le signalement Perceval complète utilement le dossier.
• Saisissez le médiateur en cas de refus : le médiateur bancaire est gratuit et sa saisine, précédée d'une réclamation écrite restée sans solution, suspend utilement le rapport de force. Les décisions de 2024 et 2025 sont des arguments qui s'invoquent dès ce stade.
• Signalez le numéro au 33700 : ce service officiel centralise les signalements d'appels et de messages frauduleux. Un numéro signalé massivement peut être coupé, ce qui protège les personnes appelées après vous.

Ce que le régulateur change, et ce qu'il ne change pas encore

Un mot sur le maillon technique, car il explique pourquoi cette fraude a prospéré et pourquoi elle recule lentement. La France impose depuis plusieurs années aux opérateurs d'authentifier le numéro de l'appelant et de bloquer les appels dont le numéro ne peut pas l'être. Le dispositif, appelé mécanisme d'authentification des numéros, fonctionne comme une chaîne de confiance : l'opérateur de départ signe l'appel, celui d'arrivée vérifie la signature. Depuis le 1er janvier 2026, un cran supplémentaire s'applique : tout numéro mobile français non authentifié provenant de l'étranger doit être présenté en numéro masqué.

L'écart entre la règle et la réalité reste toutefois documenté. Le 29 janvier 2026, l'Arcep a ouvert une enquête administrative visant les opérateurs, après plus de 19 000 signalements reçus en 2025, afin de vérifier le respect de ces obligations et d'identifier les acteurs qui laissent passer les appels frauduleux. Traduction pour vous : la protection existe, elle progresse, mais elle n'est pas encore une garantie. Continuez de considérer le numéro affiché comme une information déclarative, jamais comme une preuve d'identité. C'est le même raisonnement qui s'applique aux appels commerciaux, dont le régime bascule ce mois-ci vers le consentement préalable, comme nous l'avons détaillé dans notre analyse de la fin du démarchage téléphonique en août 2026.

Les cinq phrases qui doivent vous faire raccrocher

Inutile de mémoriser des dizaines de scénarios. Les variantes changent, les demandes finales non. Si l'une de ces formulations apparaît, la conversation est terminée.

• « Confirmez le code que vous venez de recevoir » : ce code valide une opération en cours, il ne l'annule jamais. Aucun conseiller n'en a besoin.
• « Supprimez puis réenregistrez ce bénéficiaire » : la manipulation paraît neutre. Elle installe en réalité le compte de destination des fonds.
• « Mettez vos fonds à l'abri sur un compte sécurisé » : aucun établissement ni service de l'État ne dispose d'un compte tampon de ce type.
• « Installez cette application pour que je vous guide » : il s'agit d'un outil de prise en main à distance, qui donne à l'appelant la vue et le contrôle de votre écran.
• « Ne raccrochez surtout pas » : la phrase la plus révélatrice. Raccrochez, patientez une minute, puis rappelez le numéro figurant au dos de votre carte.

Traiter la cause : réduire ce qu'un inconnu peut apprendre de vous

Toutes les démarches précédentes interviennent après coup. Elles réparent, elles ne préviennent pas. La prévention se joue en amont, sur un terrain que peu de gens associent spontanément à la fraude bancaire : la disponibilité commerciale de vos informations.

Les courtiers de données (data brokers) sont des sociétés dont l'activité consiste à collecter, recouper et revendre des profils de consommateurs. Votre nom, votre numéro, votre adresse, votre âge, votre situation de logement et vos centres d'intérêt y sont assemblés sur une même ligne, achetés par des annonceurs, mais aussi accessibles à des acheteurs dont personne ne vérifie sérieusement les intentions. Un profil complet ne rend pas un compte piratable. Il rend un appel crédible, et c'est exactement ce dont vit cette arnaque. Le mécanisme d'agrégation est le même que celui qui alimente les ouvertures de compte frauduleuses, décrit dans notre guide sur les 48 heures qui suivent une usurpation d'identité.

Trois leviers réduisent concrètement cette exposition :

• Exiger l'effacement, pas seulement la consultation : l'article 17 du RGPD ouvre un droit à l'effacement opposable aux organismes qui détiennent vos données. Notre lettre type RGPD de suppression en fournit le formalisme, et notre récapitulatif de vos droits précise les délais de réponse et les recours.
• Cloisonner vos identifiants : une adresse alias réservée aux inscriptions commerciales évite qu'une fuite chez un marchand ne relie votre nom à votre messagerie principale, celle qui commande vos réinitialisations bancaires.
• Être averti plutôt que surpris : une surveillance continue du darknet vous signale la réapparition de vos identifiants dans un nouveau lot. Savoir qu'une base vous concernant vient de circuler change radicalement votre lecture d'un appel reçu la semaine suivante.

EffaceData intervient précisément sur ce périmètre. Nous cartographions les courtiers qui détiennent votre profil, nous exigeons sa destruction sur le fondement de l'article 17 du RGPD, et nous surveillons ensuite la réapparition de vos informations dans les fuites publiées. Vous ne pouvez pas empêcher un escroc de déclarer le numéro de votre agence. Vous pouvez faire en sorte qu'il n'ait rien de crédible à raconter une fois que vous décrochez.

Avertissement : Ceci n'est pas un conseil juridique. Cet article est fourni à titre d'information en cybersécurité et reflète l'état des textes et des décisions publiées connu au 6 août 2026. Les arrêts cités statuent sur des espèces particulières et ne garantissent aucune issue dans une situation individuelle, l'appréciation de la négligence grave relevant des circonstances de fait. Pour votre dossier, rapprochez-vous d'un professionnel du droit, du médiateur de votre établissement ou des services officiels compétents.