Quelqu'un se disant du service anti-fraude de votre banque vous a appelé. Le numéro affiché était le bon. Il connaissait votre nom, parfois vos dernières opérations. Il vous a annoncé une tentative de fraude en cours, et vous a demandé de lui communiquer « le code de confirmation » reçu par SMS pour bloquer l'opération.
Vous l'avez donné. Et c'est ce code qui a validé le paiement.
Ne laissez pas ce détail vous faire renoncer. Il est au contraire le cœur de votre dossier.
Ce que ce code est réellement
Le code envoyé par SMS — l'authentification forte, souvent appelée 3D Secure — n'est pas un mot de passe général. Il valide une opération précise, avec un bénéficiaire et un montant déterminés.
C'est pour cette raison que votre banque vous dira que l'opération était « autorisée ». Et c'est aussi pour cette raison que la question devient : le message vous permettait-il de comprendre ce que vous validiez ?
Le point décisif : le libellé du message
C'est l'évolution la plus importante pour les victimes ces dernières années.
Depuis un arrêt du 4 mars 2026, la qualification de la négligence grave se joue sur le contenu des messages de confirmation. La banque doit produire leur libellé intégral — pas un relevé d'opérations, pas une capture partielle.
Pourquoi c'est déterminant : si le SMS que vous avez reçu disait simplement « Votre code est 483920 » ou « Confirmez l'opération », sans nommer le bénéficiaire ni indiquer le montant, alors on ne pouvait pas raisonnablement attendre de vous que vous compreniez ce que vous validiez. L'argument de la négligence grave s'effondre.
Exigez donc systématiquement, par écrit :
« Merci de me communiquer le libellé intégral des messages de confirmation qui m'ont été adressés, conformément à votre obligation de preuve. »
Qui doit prouver quoi
Deuxième point que la plupart des victimes ignorent : la charge de la preuve pèse sur la banque.
La Cour de cassation l'a rappelé en mars 2025 : c'est au prestataire de services de paiement de rapporter la preuve que l'utilisateur qui nie avoir autorisé une opération a agi frauduleusement, ou a manqué intentionnellement ou par négligence grave à son obligation de préserver la sécurité de ses dispositifs.
Vous n'avez donc rien à démontrer. Si la banque se contente d'affirmer que « l'opération a été validée par code », elle n'a pas rapporté cette preuve.
Le spoofing joue pour vous
Si le vrai numéro de votre agence s'affichait sur votre écran, dites-le et écrivez-le. Les juridictions retiennent que cela place légitimement le client en situation de confiance.
Une cour d'appel a ainsi condamné une banque au remboursement intégral en constatant la parfaite manipulation de la cliente : l'interlocuteur était parfaitement informé de sa situation personnelle et avait présenté sa demande comme la simple suggestion bienveillante d'un agent du service des fraudes.
Ce qu'il faut faire maintenant
- Opposition immédiate, et signalement à la banque le jour même.
- Écrivez tout pendant que c'est frais : heure de l'appel, numéro affiché, ce que l'interlocuteur savait de vous, ses phrases exactes, le texte du SMS reçu. Faites une capture d'écran du SMS — c'est votre pièce la plus précieuse.
- Réclamation écrite, citant l'article L133-18 et demandant le libellé intégral des messages.
- Médiateur bancaire si le refus persiste — gratuit, après deux mois sans réponse satisfaisante.
- [17Cyber.gouv.fr](https://www.17cyber.gouv.fr) pour être orienté, et une plainte.
Le détail de la procédure et des recours est dans notre article sur le remboursement après une fraude bancaire.
Le réflexe à garder
Un code de confirmation sert à autoriser une opération, jamais à en annuler une.
C'est le renversement exact que l'escroc exploite : il vous présente comme un geste de protection ce qui est en réalité un geste de validation. Aucune banque ne bloque quoi que ce soit en vous demandant un code.
Et prenez cinq secondes pour lire le SMS en entier avant de faire quoi que ce soit. Le nom du bénéficiaire et le montant y figurent souvent — c'est la seule information de l'échange que l'escroc ne contrôle pas.
Vous seriez-vous méfié ? Notre test anti-phishing gratuit vous met face à 5 messages réels, dont un scénario de faux conseiller. Une minute, sans compte.