Prélèvement frauduleux sur votre compte : comment le contester et le bloquer

Un prélèvement que vous n'avez jamais autorisé se conteste auprès de votre banque, et non auprès du créancier. Vous disposez de 13 mois après le débit. La banque doit en principe vous rembourser au plus tard à la fin du premier jour ouvrable suivant votre signalement. Bloquez ensuite le créancier (liste noire) ou n'autorisez plus que vos créanciers connus (liste blanche).

Le prélèvement frauduleux est la conséquence la plus concrète d'une fuite d'IBAN, et la plus redoutée en France depuis les piratages successifs d'opérateurs, de mutuelles et d'administrations. Ce guide ne porte pas sur une fuite particulière. Il explique, une fois pour toutes, comment fonctionne le mécanisme, quels sont vos droits, dans quel ordre agir et comment fermer la porte pour la suite.

Comment un fraudeur peut-il vous prélever avec votre seul IBAN ?

Le prélèvement SEPA repose sur un document que vous ne voyez presque jamais : le mandat. C'est l'autorisation que vous signez, souvent en ligne, quand vous souscrivez un abonnement. Il comporte une référence unique de mandat (RUM) et l'identifiant du créancier, appelé ICS.

Le point clé tient en une phrase : ce mandat est conservé par le créancier, pas par votre banque. Comme le rappelle la foire aux questions de la Banque de France sur le prélèvement SEPA, votre banque ne tient plus de liste d'autorisations et exécute en règle générale les prélèvements qui lui sont présentés. Imaginez un videur qui laisserait entrer toute personne affirmant avoir une invitation, sans jamais la lui demander : le contrôle a lieu après coup, quand vous contestez.

Un fraudeur qui dispose de votre nom, de votre adresse postale et de votre IBAN peut donc, en théorie, signer un mandat électronique à votre place chez un commerçant, un service d'abonnement ou une cagnotte, puis faire payer ses achats par votre compte. Le commerçant est souvent lui-même trompé. C'est pourquoi l'IBAN seul inquiète moins que l'IBAN accompagné d'une identité complète : c'est ce trio qui rend le faux mandat crédible.

Ce trio est justement ce que contiennent la plupart des grandes fuites françaises récentes. Lors du piratage de Free, qui a exposé des IBAN d'abonnés, les fichiers associaient déjà identité, adresse et coordonnées bancaires. Et ce qui manque à un fichier volé se complète souvent ailleurs : les courtiers de données revendent des profils de consommateurs avec adresse, âge et habitudes d'achat.

Quels délais pour contester, et qu'est-ce que la banque doit faire ?

Tout dépend d'une question : avez-vous signé un mandat pour ce créancier ? Les règles figurent dans le code monétaire et financier (articles L133-18, L133-24 et L133-25) et sont résumées par la Banque de France. Le tableau ci-dessous les rassemble selon votre situation.

Selon la même source, si la banque refuse de rembourser une opération non autorisée, elle doit justifier son refus et démontrer une négligence grave de votre part dans la conservation de vos données bancaires. Avoir communiqué votre IBAN à un fournisseur qui s'est fait pirater n'est pas, en soi, une négligence : un IBAN est fait pour être transmis.

Comment repérer un prélèvement frauduleux sur votre relevé ?

La difficulté, c'est que le libellé d'un prélèvement est rarement explicite. Un nom de société de paiement, une abréviation, une référence chiffrée : rien ne ressemble à « fraude ». Passez votre dernier relevé au crible de ces questions.

Prenez l'habitude de vérifier vos comptes régulièrement, au moins pendant les mois qui suivent une fuite. C'est d'ailleurs la première consigne de la fiche réflexe de cybermalveillance.gouv.fr sur les fuites de données personnelles lorsque des données bancaires (IBAN, RIB, numéro de compte ou de carte) font partie des informations exposées.

Si vous ignorez encore dans quelles fuites votre adresse e-mail est apparue, vérifiez gratuitement votre adresse dans les fuites connues. Le scan ne cherche pas votre IBAN, mais il vous indique quels services ont perdu vos données, et donc quel fournisseur interroger sur ce qui a été volé.

Plan d'action : que faire, et dans quel ordre ?

Aujourd'hui

• Prévenez votre banque par le canal que vous connaissez déjà : application, messagerie sécurisée de votre espace client ou numéro inscrit au dos de votre carte. Dites clairement que vous contestez une opération non autorisée et que vous n'avez signé aucun mandat.
• Demandez le blocage du créancier (liste noire) pour stopper les débits suivants. Selon la Banque de France, ce blocage est gratuit et possible à tout moment.
• Conservez les preuves : capture du relevé avec le libellé, la RUM et l'ICS, date et heure de votre appel, nom ou référence de votre interlocuteur.
• Méfiez-vous des appels qui suivent. Un faux conseiller qui « a repéré l'opération » et vous demande un code de validation est le scénario classique. Notre article sur le faux conseiller bancaire et l'usurpation du numéro d'agence détaille ses ficelles.

Cette semaine

• Confirmez votre contestation par écrit avec le modèle ci-dessous, par lettre recommandée avec accusé de réception ou par la messagerie sécurisée de votre banque. L'écrit fixe la date de votre signalement.
• Passez à la liste blanche si votre banque la propose : seuls les créanciers que vous désignez (énergie, téléphonie, assurance, impôts) pourront prélever. Tout autre créancier sera refusé d'office.
• Portez plainte si un prélèvement a abouti : au commissariat, à la brigade de gendarmerie ou par écrit au procureur de la République, comme l'indique la fiche réflexe de cybermalveillance.gouv.fr. Joignez vos relevés et la réponse de la banque.
• Identifiez la source probable : quels services connaissent votre IBAN ? Si l'un d'eux a signalé une fuite, lisez attentivement sa notification pour savoir quelles données ont été prises.

Dans les mois qui viennent

• Contrôlez vos relevés chaque mois pendant au moins un an, et mettez la liste blanche à jour à chaque changement de fournisseur, sinon votre nouveau prélèvement légitime sera rejeté.
• Surveillez les signes d'usurpation d'identité : courrier d'un organisme de crédit inconnu, compte ouvert à votre nom, relance pour un achat jamais fait. Si cela arrive, suivez notre plan d'urgence en cas d'usurpation d'identité.
• Réduisez ce qui circule sur vous : supprimez les comptes inutilisés, ne transmettez votre RIB qu'aux organismes qui en ont besoin et exercez votre droit à l'effacement auprès des entreprises avec lesquelles vous n'avez plus de relation.

Ce dernier point est celui qui protège le plus longtemps, et le plus fastidieux à mener seul : chaque courtier a son formulaire, ses délais et sa manière d'ignorer les demandes. Confier à EffaceData les demandes d'effacement auprès de plus de 100 courtiers, relances comprises, c'est priver un futur faux mandat de l'adresse et de l'identité qui le rendraient crédible.

Modèle de lettre pour contester un prélèvement non autorisé

Adaptez les éléments entre crochets. Le courrier s'adresse à votre agence ou au service réclamations de votre banque, jamais au créancier inconnu.

Si la banque ne répond pas ou refuse sans justification, relancez par écrit le service réclamations. Le dernier recours amiable est le médiateur de votre banque, gratuit pour vous, dont les coordonnées figurent sur vos relevés ou dans votre convention de compte.

Liste noire, liste blanche, opposition, révocation : que choisir ?

Ces quatre mots désignent des outils différents, et les confondre fait perdre du temps au guichet.

• Liste noire : vous désignez à votre banque un ou plusieurs créanciers interdits. Réactive et ciblée, elle arrête le fraudeur que vous avez déjà repéré, mais pas le suivant, qui utilisera un autre créancier.
• Liste blanche : vous désignez les seuls créanciers autorisés, identifiés par leur ICS ou la RUM de votre mandat. C'est la protection la plus solide après une fuite d'IBAN, à condition de la tenir à jour.
• Opposition : demande à votre banque de rejeter un prélèvement précis ou tous ceux d'un créancier. Elle ne touche pas au contrat.
• Révocation : fin d'un mandat que vous aviez réellement signé, à adresser au créancier. Elle n'efface pas la dette. Face à une fraude, il n'y a rien à révoquer, puisque vous n'avez rien signé.

Les outils disponibles et leur intitulé varient d'une banque à l'autre. Certaines proposent aussi de plafonner le montant ou la fréquence des prélèvements d'un créancier. Renseignez-vous dans votre espace client ou auprès de votre conseiller.

Pourquoi votre IBAN se retrouve-t-il entre de mauvaises mains ?

Dans la grande majorité des cas, ce n'est pas votre faute. Votre IBAN dort dans les bases de votre opérateur, de votre fournisseur d'énergie, de votre mutuelle, de votre employeur, de votre bailleur. Chacune de ces bases est une cible. Le bilan de la CNIL sur les violations de données notifiées montre l'ampleur du phénomène en France.

Quelques habitudes réduisent toutefois le nombre de copies en circulation. La fiche réflexe de cybermalveillance.gouv.fr recommande de ne pas communiquer de documents d'identité ou de RIB de manière inconsidérée, et de ne transmettre que le minimum d'informations aux services en ligne. Concrètement : refusez d'envoyer un RIB par e-mail à un vendeur de particulier à particulier, ne l'ajoutez pas à un dossier de location avant d'avoir visité le logement, et fermez les comptes clients que vous n'utilisez plus.

Reste ce que vous ne contrôlez pas : les fichiers déjà copiés. Une fuite ancienne peut ressurgir longtemps après, recoupée avec d'autres. Le bon réflexe consiste donc à relire vos relevés avec une attention particulière chaque fois qu'un service que vous utilisez annonce un incident, même ancien.

Et si la banque traîne ou refuse ?

Le remboursement d'une opération non autorisée n'est pas une faveur commerciale : c'est une obligation légale, à laquelle la banque ne peut déroger que dans des cas précis (soupçon de fraude de votre part, communiqué par écrit à la Banque de France, ou négligence grave démontrée). Si vous essuyez un refus oral, demandez-le par écrit, avec sa motivation. Gardez une trace de chaque échange.

Si vos données personnelles continuent de circuler après une fuite, ou si une entreprise ne répond pas à votre demande d'effacement dans le délai d'un mois, vous pouvez adresser une plainte à la CNIL. La CNIL ne traite pas les litiges bancaires, en revanche : pour le remboursement, la voie reste la banque, puis son médiateur. Pour faire valoir votre droit à l'effacement vous-même, notre lettre type de suppression RGPD peut servir de base. Ceci n'est pas un conseil juridique.

Questions fréquentes

Quelqu'un peut-il vraiment me prélever avec mon seul IBAN ?

Oui, c'est possible en pratique. Avec le prélèvement SEPA, le mandat signé est conservé par le créancier, pas par votre banque, qui exécute en général les prélèvements présentés sans vérifier le mandat. Un fraudeur qui dispose de votre nom, de votre adresse et de votre IBAN peut donc enregistrer un faux mandat chez un commerçant ou un prestataire. En revanche, sans mandat valable, l'opération est non autorisée et vous pouvez la contester pendant 13 mois.

Combien de temps ai-je pour contester un prélèvement frauduleux ?

Selon la Banque de France, un prélèvement non autorisé, c'est-à-dire sans mandat signé, peut être contesté au plus tard dans les 13 mois suivant la date de débit. Ce délai est ramené à 70 jours lorsque la banque du bénéficiaire se trouve hors de l'Union européenne. Pour un prélèvement que vous aviez autorisé mais que vous contestez, le délai est de 8 semaines après le débit. N'attendez pas la fin du délai : plus vous signalez tôt, plus vite le créancier frauduleux est bloqué.

Ma banque peut-elle refuser de me rembourser ?

Pour une opération non autorisée, la banque doit rembourser au plus tard à la fin du premier jour ouvrable suivant votre signalement, frais et agios compris, d'après la Banque de France. Si elle refuse, elle doit justifier sa décision et prouver une négligence grave de votre part. En cas de désaccord persistant, vous pouvez saisir gratuitement le médiateur de votre banque, dont les coordonnées figurent sur vos relevés ou votre convention de compte.

Faut-il changer de compte bancaire après une fuite d'IBAN ?

Ce n'est pas systématique. Un IBAN n'est pas un code secret : vous le communiquez à votre employeur, à votre bailleur ou à vos fournisseurs. La parade la plus simple consiste à demander à votre banque une liste blanche, qui n'autorise que les créanciers que vous avez choisis. Changer de compte devient pertinent si les prélèvements frauduleux se répètent malgré ces mesures, ou si d'autres données sensibles ont été volées en même temps.

Quelle différence entre opposition et révocation d'un prélèvement ?

La révocation met fin à un mandat que vous aviez signé : elle se fait auprès du créancier, au plus tard la veille de l'échéance, de préférence par lettre recommandée, et elle n'efface pas la dette éventuelle. L'opposition se fait auprès de votre banque, qui bloque un prélèvement précis ou tous les prélèvements d'un créancier. Face à un prélèvement frauduleux, il n'y a pas de mandat valable à révoquer : vous contestez l'opération et vous bloquez le créancier auprès de votre banque.