Phishing bancaire : votre banque doit-elle vous rembourser ?
Le point sur le droit et la jurisprudence récente
Vous avez reçu un faux SMS de votre banque.
Vous avez cliqué sur le lien et communiqué vos identifiants.
Quelques heures plus tard, votre compte est vidé.
La question est simple : votre banque doit-elle vous rembourser ?
La réponse, en droit français, est en principe oui.
Et la jurisprudence récente de la Cour de cassation renforce considérablement cette protection.
1. Le principe : la banque rembourse immédiatement
Le Code monétaire et financier est très clair sur ce point.
L'article L. 133-18 impose à la banque de vous rembourser dès qu'elle a connaissance d'une opération que vous n'avez pas autorisée. Ce remboursement doit intervenir au plus tard le jour ouvrable suivant.
La banque n'a pas le droit de vous demander de porter plainte avant de vous rembourser. Elle n'a pas non plus le droit d'exiger que vous ayez souscrit une assurance.
À retenir
Seules deux exceptions permettent à la banque de refuser : votre propre fraude, ou votre négligence grave (art. L. 133-19, IV). Mais c'est à elle de le prouver, jamais à vous.
2. La banque doit d'abord prouver que son système a fonctionné
Avant même de parler de votre comportement, la banque a une obligation préalable. Elle doit démontrer que l'opération contestée a été correctement authentifiée, enregistrée, et que son système n'a subi aucune défaillance technique (art. L. 133-23, al. 1er).
C'est ce qu'a posé la Cour de cassation le 12 novembre 2020 (n° 19-12.112). Si la banque ne le prouve pas, elle doit rembourser. Point final.
Cette règle a été réaffirmée par la Cour de cassation le 30 avril 2025 (n° 24-10.149). Dans cette affaire, une société du Finistère avait perdu 139 713 € par phishing. La cour d'appel de Rennes avait retenu la négligence du client. Mais la Cour de cassation a cassé cette décision : la cour d'appel n'avait pas vérifié que la banque avait d'abord prouvé le bon fonctionnement de son système.
3. Pas d'authentification forte = remboursement automatique
Depuis la directive européenne DSP2, les banques doivent sécuriser vos paiements en ligne par un système appelé « authentification forte ». Il s'agit de combiner au moins deux facteurs : un mot de passe, votre téléphone, ou votre empreinte digitale.
La conséquence juridique est radicale. L'article L. 133-19, V du Code monétaire et financier prévoit que si la banque n'a pas exigé cette authentification forte, vous ne supportez aucune perte financière. Même si vous avez commis une erreur. Même si vous avez cliqué sur un lien frauduleux.
C'est ce qu'a jugé la Cour de cassation le 22 octobre 2025 (n° 24-19.749). Le client avait répondu à un courriel frauduleux avec des anomalies grossières. Mais la banque n'avait pas prouvé avoir mis en œuvre l'authentification forte. Résultat : remboursement intégral.
Ce principe avait été posé dès 2023 (Cass. com., 30 août 2023, n° 22-11.707).
4. Faux conseiller bancaire (spoofing) : la banque perd presque toujours
Le spoofing, c'est quand un escroc vous appelle en affichant le vrai numéro de votre banque. Vous croyez parler à votre conseiller. Vous suivez ses instructions. Et votre compte est vidé.
La Cour de cassation, le 23 octobre 2024 (n° 23-16.267), a jugé que dans cette situation, le client n'est pas négligent. Pour la Cour, face à un appel téléphonique, la vigilance est « inférieure à celle d'une personne réceptionnant un courriel ». La BNP Paribas a été condamnée à rembourser 54 500 € plus des dommages et intérêts.
Les cours d'appel ont suivi cette logique :
- ▸La Cour d'appel de Paris, le 22 mai 2025 (RG n° 24/02286), a jugé que le numéro affiché était celui de l'agence bancaire, ce qui excluait toute négligence.
- ▸La Cour d'appel de Douai, le 6 mars 2025 (RG n° 24/00410), a adopté la même solution face à un faux service anti-fraude.
- ▸La Cour d'appel de Paris, le 18 décembre 2025, a précisé que l'authentification forte ne crée pas une présomption de consentement du client.
Et le 12 juin 2025, la Cour de cassation a étendu cette protection aux entreprises (n° 24-13.777 : 98 000 €, société de transport).
5. Les délais pour agir
Beaucoup de victimes hésitent à agir, pensant qu'il est trop tard. En réalité, le droit prévoit deux délais distincts, et il est important de ne pas les confondre.
Le délai de signalement : 13 mois
Vous devez prévenir votre banque dans les 13 mois qui suivent la date du débit frauduleux (art. L. 133-24). Ce délai court à partir du moment où le prélèvement apparaît sur votre relevé, pas à partir du moment où vous découvrez la fraude. Si vous laissez passer ces 13 mois sans rien dire à votre banque, votre droit au remboursement est définitivement perdu.
Le délai d'action en justice : 5 ans
Si vous avez signalé la fraude dans les temps mais que votre banque refuse de rembourser, vous n'êtes pas obligé de saisir le tribunal immédiatement. La Cour de cassation, le 2 juillet 2025 (n° 24-16.590), a précisé que vous disposez ensuite d'un délai de 5 ans pour agir devant le tribunal (art. 2224, Code civil).
En résumé : 13 mois pour écrire à votre banque, puis 5 ans pour l'assigner si elle refuse.
6. Ce qui change en 2025-2026
Le législateur a pris la mesure du problème. La loi du 6 novembre 2025 ne modifie pas directement vos droits au remboursement, mais elle renforce les outils de prévention mis à la disposition des banques.
La mesure principale est la création d'un fichier national des comptes suspects (FNC-RF), géré par la Banque de France. Quand une banque identifie un compte utilisé par des fraudeurs, elle le signale dans ce fichier. Les autres banques peuvent alors être alertées avant d'exécuter un virement vers ce compte. Ce fichier entrera en vigueur le 6 mai 2026.
L'autre mesure importante est déjà en place depuis le 9 octobre 2025. Il s'agit de la Verification of Payee (règlement UE 2024/884) : quand vous faites un virement, la banque vérifie automatiquement que le nom du bénéficiaire correspond bien au titulaire du compte associé à l'IBAN. Si les deux ne correspondent pas, vous êtes prévenu avant la validation du virement.
Cette mesure est particulièrement utile dans les transactions immobilières, où les fraudes au faux RIB de notaire sont fréquentes et portent sur des montants élevés.
— En résumé
La jurisprudence 2020-2025 a complètement renversé le rapport de force entre les banques et leurs clients victimes de phishing. Si vous êtes victime, votre banque doit vous rembourser.
Pour refuser, elle doit franchir trois obstacles cumulés :
- ▸D'abord, elle doit prouver que son système informatique a correctement fonctionné au moment de l'opération contestée.
- ▸Ensuite, elle doit démontrer qu'elle a bien exigé l'authentification forte. Si elle ne le peut pas, votre éventuelle négligence n'a aucune importance : vous êtes remboursé.
- ▸Enfin, même si ces deux conditions sont remplies, elle doit encore prouver que vous avez commis une négligence grave. Or, en cas de faux conseiller bancaire, la Cour de cassation considère que cette négligence ne peut quasiment pas être retenue.
La majorité des banques le savent. Certaines remboursent rapidement quand les textes sont invoqués avec précision. D'autres, en revanche, comptent sur le découragement de leurs clients.
C'est là qu'un accompagnement juridique fait la différence.