L’article en bref
- Si l'appelant connaît votre nom, votre adresse ou votre IBAN, c'est le plus souvent parce que ces données proviennent d'une fuite : cela ne prouve en rien qu'il est votre banquier.
- Jamais un conseiller de banque ne demande un mot de passe ni un code de confirmation reçu par SMS, rappelle Cybermalveillance.gouv.fr.
- Une banque ne vous fait pas « valider une annulation » d'opérations frauduleuses : cette manœuvre sert au contraire à faire autoriser les virements des escrocs.
- Le numéro affiché peut être le vrai numéro de votre agence : c'est le spoofing, au cœur de l'arrêt de la Cour de cassation du 23 octobre 2024.
- Même si vous avez validé l'opération, le remboursement reste possible : la banque doit prouver votre négligence grave, et la validation obtenue par mise en confiance n'en est pas une.
- Réflexes : raccrocher, rappeler soi-même sa banque, faire opposition, conserver toutes les preuves, déposer plainte.
Un vrai conseiller bancaire ne vous demandera jamais un mot de passe, un code reçu par SMS ni la validation d'une opération dans votre application. Si votre interlocuteur connaît votre nom, votre adresse ou votre IBAN, c'est probablement grâce à une fuite de données : cela ne prouve pas son identité. Raccrochez et rappelez vous-même votre agence à son numéro habituel. Si vous avez déjà validé une opération, faites opposition immédiatement : un remboursement reste possible, même dans ce cas.
Faits et sources vérifiés le 21 août 2026.
D'où le fraudeur tient-il vos vraies informations ?
C'est la question qui désarme les victimes : « il savait tout de moi, ce devait être ma banque ». En réalité, les données qui rendent ces appels crédibles circulent massivement à la suite de fuites. La violation subie par Free en octobre 2024 a concerné 24 millions de contrats, IBAN inclus ; elle a valu à l'opérateur et à sa filiale mobile 42 M€ de sanctions CNIL en janvier 2026. D'autres incidents récents ont exposé des identités, des adresses et des numéros de téléphone, et parfois des IBAN pour une partie des personnes concernées. Notre dossier des entreprises piratées en France en 2026 recense ces incidents et leur statut.
Le fraudeur combine ces fichiers : votre identité vient d'une fuite, votre IBAN d'une autre, votre opérateur téléphonique d'une troisième. Il n'a pas besoin d'accéder à votre compte bancaire pour connaître ces éléments. Renversez donc le raisonnement : plus l'appelant en sait sur vous sans que vous n'ayez rien demandé, plus la prudence s'impose. La connaissance de vos données personnelles n'est pas un gage d'authenticité ; c'est devenu un outil d'escroquerie.
Les signes qui trahissent le faux conseiller
Il demande un code ou un mot de passe
La règle est absolue et fixée par la fiche officielle de Cybermalveillance.gouv.fr : jamais un conseiller de votre banque ne vous demandera de lui communiquer votre mot de passe ou des codes de confirmation. Ces codes servent à authentifier des opérations : celui qui vous le demande cherche à faire exécuter une opération à votre place. Peu importe la qualité de l'appel, le vocabulaire professionnel ou le contexte d'urgence : cette seule demande suffit à qualifier l'arnaque.
Il vous fait « valider pour annuler »
Le scénario type : l'appelant annonce des opérations frauduleuses en cours sur votre compte et vous demande de « valider l'annulation » dans votre application, ou de valider des « opérations test ». Aucune banque ne fonctionne ainsi. Une banque qui détecte une fraude bloque l'opération de son côté ; elle n'a pas besoin de votre validation pour annuler quoi que ce soit. Ce que vous validez en réalité, ce sont les virements de l'escroc. La validation par authentification forte est précisément ce qu'il recherche.
Le numéro affiché semble officiel : c'est peut-être du spoofing
Le spoofing consiste à afficher un numéro qui n'est pas celui de l'appelant. Dans l'affaire jugée par la Cour de cassation le 23 octobre 2024, la victime avait été appelée depuis le numéro de sa conseillère bancaire, tel qu'il s'affichait sur son téléphone ; 54 500 € ont été détournés. Le numéro affiché ne prouve donc rien. Le seul canal sûr reste l'appel que vous passez vous-même, au numéro figurant sur votre carte bancaire, vos relevés ou le site officiel de la banque, jamais à un numéro communiqué par l'appelant.
Il crée l'urgence
« Vos comptes sont en train d'être vidés », « il faut agir dans les cinq minutes » : l'urgence est le moteur de la fraude. Elle vise à court-circuiter votre réflexion et vos vérifications. Une situation bancaire réellement critique ne se traite jamais en vous interdisant de raccrocher. Prendre le temps de rappeler sa banque ne fait courir aucun risque ; céder à la pression, si.
Que faire pendant et après l'appel ?
Pendant l'appel, une seule conduite : ne rien communiquer, ne rien valider, raccrocher. Rappelez ensuite votre banque à son numéro officiel pour vérifier. Ne rappelez jamais le numéro qui vient de vous appeler et ne suivez aucun lien reçu par SMS dans la foulée.
Si vous avez communiqué un code ou validé une opération, chaque minute compte :
- Faites opposition sans délai auprès de votre banque ou via le serveur interbancaire d'opposition à carte bancaire (0 892 705 705, ouvert 24 h/24), réflexe rappelé par Cybermalveillance.gouv.fr.
- Changez immédiatement le mot de passe de votre banque en ligne, et celui de votre messagerie s'il est identique.
- Signalez les opérations non autorisées à votre banque sans tarder ; le signalement doit intervenir au plus tard dans les 13 mois suivant le débit (article L. 133-24 du Code monétaire et financier).
- Conservez toutes les preuves : numéro appelant, date et heure, SMS, courriels, captures d'écran, relevés. Notre guide détaille les preuves à conserver pour demander réparation.
- Signalez et déposez plainte : signalement des faits liés à la carte bancaire via la plateforme Perceval, plainte au commissariat ou à la gendarmerie. France Victimes (116 006) et Info Escroqueries (0 805 805 817) peuvent vous accompagner.
Remboursement : ce que disent la loi et la Cour de cassation
Le principe : remboursement immédiat des opérations non autorisées
L'article L. 133-18 du Code monétaire et financier impose à la banque de rembourser l'opération non autorisée « immédiatement » et au plus tard à la fin du premier jour ouvrable suivant le signalement, puis de rétablir le compte dans l'état où il se serait trouvé sans l'opération. La banque ne peut s'en dispenser que si elle soupçonne une fraude de l'utilisateur lui-même, avec motivation écrite à la Banque de France, ou si elle prouve une négligence grave. Et la charge de cette preuve pèse sur elle : l'article L. 133-23 précise que l'utilisation enregistrée de l'instrument de paiement « ne suffit pas nécessairement » à démontrer que vous avez autorisé l'opération ou commis une négligence grave.
L'arrêt du 23 octobre 2024 : valider sous manipulation n'est pas une négligence grave
L'idée reçue veut que la banque ne rembourse jamais un virement que le client a lui-même validé. La Cour de cassation l'a écartée dans un arrêt publié au bulletin (Cass. com., 23 octobre 2024, n° 23-16.267). Les faits : un client appelé depuis le numéro de sa conseillère, mis en confiance par ce procédé, valide des opérations ; 54 500 € sont détournés. La banque refusait de rembourser en invoquant la négligence grave du client. La Cour rejette son pourvoi : c'est à la banque de prouver la négligence grave, et le fait de valider une opération alors que l'on a été mis en confiance par un numéro usurpé ne caractérise pas une telle négligence. BNP Paribas a été condamnée à rembourser.
Cet arrêt n'assure pas un remboursement dans tous les cas : chaque dossier s'apprécie selon ses circonstances, et la banque peut établir une négligence grave dans d'autres configurations. Il fixe néanmoins un cadre protecteur : face à un spoofing sophistiqué, la victime manipulée n'est pas automatiquement fautive. En cas de refus de votre banque, un courrier motivé s'appuyant sur les articles L. 133-18 et L. 133-23 et sur cette jurisprudence constitue la première étape ; un avocat en contentieux cyber peut ensuite évaluer l'opportunité d'une action. Les recours contre la banque, du courrier à l'assignation, sont détaillés par notre avocat fraude bancaire. Chaque situation est particulière.
Quelles infractions pénales pour le faux conseiller ?
| Infraction | Texte | Peines encourues |
|---|---|---|
| Escroquerie (manœuvres frauduleuses pour obtenir la remise de fonds) | Article 313-1 du Code pénal | 5 ans d'emprisonnement et 375 000 € d'amende (jusqu'à 10 ans et 1 000 000 € en bande organisée) |
| Accès frauduleux au compte bancaire en ligne | Article 323-1 du Code pénal | 3 ans d'emprisonnement et 100 000 € d'amende |
| Collecte de données personnelles par un moyen frauduleux | Article 226-18 du Code pénal | 5 ans d'emprisonnement et 300 000 € d'amende |
La plainte pénale vise l'auteur de la fraude ; la demande de remboursement vise votre banque. Ces deux démarches sont indépendantes et cumulables. Pour savoir laquelle engager en premier selon votre situation, consultez notre guide : fuite de données : plainte, CNIL ou police ?
Et si vos données ont fuité sans fraude à ce stade ?
Recevoir un appel suspect révèle souvent que vos données circulent. Sans opération frauduleuse, il n'y a rien à rembourser, mais des précautions s'imposent : surveillance des comptes, vérification des mandats de prélèvement, vigilance sur les messages invoquant votre banque ou des organismes officiels. Si l'entreprise à l'origine de la fuite est identifiée, vous pouvez exercer vos droits contre elle et, en cas de préjudice démontré, demander réparation : notre guide sur l'indemnisation après une fuite de données personnelles détaille les conditions posées par l'article 82 du RGPD.
Questions fréquentes sur la fraude au faux conseiller bancaire
Comment le faux conseiller connaît-il mon nom, mon adresse ou mon IBAN ?
Ces données proviennent le plus souvent de fuites de données, revendues puis combinées entre elles. Les connaître ne prouve pas que l'appelant travaille pour votre banque. C'est même l'inverse : les fraudeurs utilisent ces vraies données précisément pour vous mettre en confiance.
Ma banque peut-elle me demander un code reçu par SMS ?
Non, jamais. Jamais un conseiller de votre banque ne vous demandera de communiquer votre mot de passe ou des codes de confirmation, rappelle Cybermalveillance.gouv.fr. Ces codes valident des opérations : les communiquer revient à autoriser une opération que vous ne contrôlez pas.
Une banque demande-t-elle de « valider une annulation » d'opérations frauduleuses ?
Non. Une banque qui détecte une fraude bloque les opérations elle-même, sans validation du client. Le scénario « validez pour annuler » sert à vous faire authentifier les virements des escrocs. Toute demande de validation formulée lors d'un appel entrant doit être refusée.
Le numéro qui s'affiche est celui de mon agence : puis-je me fier à l'appel ?
Non. Le spoofing permet d'afficher le numéro officiel de votre banque. Dans l'affaire jugée le 23 octobre 2024 par la Cour de cassation, la victime était appelée depuis le numéro de sa conseillère. Raccrochez et rappelez vous-même votre agence à son numéro habituel.
J'ai donné un code au fraudeur : que faire immédiatement ?
Faites opposition sans délai (votre banque ou le 0 892 705 705, 24 h/24), changez le mot de passe de votre banque en ligne, signalez les opérations non autorisées, conservez toutes les preuves et déposez plainte. Le signalement à la banque doit intervenir au plus tard dans les 13 mois suivant le débit.
Serai-je remboursé si j'ai validé le virement moi-même ?
Un remboursement reste possible. La banque doit rembourser les opérations non autorisées (article L. 133-18 du Code monétaire et financier), sauf à prouver votre négligence grave. La Cour de cassation a jugé le 23 octobre 2024 que valider une opération après avoir été mis en confiance par un numéro usurpé n'est pas une négligence grave. Chaque dossier s'apprécie toutefois selon ses circonstances.
Quelles preuves conserver pour obtenir un remboursement ?
Le numéro appelant, la date et l'heure de l'appel, les SMS et courriels reçus, des captures d'écran datées, vos relevés montrant les opérations litigieuses, vos échanges écrits avec la banque et le récépissé de plainte. Un dossier daté et complet pèse dans la discussion avec la banque comme devant le juge.
Que risque l'auteur de la fraude ?
L'escroquerie est punie de 5 ans d'emprisonnement et 375 000 € d'amende (article 313-1 du Code pénal), l'accès frauduleux à un système informatique de 3 ans et 100 000 € (article 323-1), la collecte frauduleuse de données de 5 ans et 300 000 € (article 226-18). Les peines sont aggravées en bande organisée.
Sources officielles
- Cybermalveillance.gouv.fr, fiche réflexe « Fraude au faux conseiller bancaire » – cybermalveillance.gouv.fr
- Cass. com., 23 octobre 2024, n° 23-16.267, publié au bulletin (spoofing bancaire et négligence grave) – Légifrance
- Article L. 133-18 du Code monétaire et financier (remboursement des opérations non autorisées) – Légifrance
- Article L. 133-23 du Code monétaire et financier (charge de la preuve) – Légifrance
- Article L. 133-24 du Code monétaire et financier (délai de signalement de 13 mois) – Légifrance
- Articles 313-1, 323-1 et 226-18 du Code pénal – Légifrance
- CNIL, sanctions Free et Free Mobile rendues publiques le 13 janvier 2026 (violation d'octobre 2024, IBAN) – cnil.fr
Cet article présente l'état du droit et des faits publics à titre d'information générale, tels que vérifiés le 21 août 2026. Il ne constitue pas une consultation juridique. Chaque situation est particulière et mérite une analyse dédiée. Contenu conforme aux règles déontologiques de la profession d'avocat.
