Vous avez été victime d'une fraude. Vous l'avez signalée à votre banque. On vous a répondu que vous aviez « validé l'opération », ou commis une « négligence grave », et que rien ne pouvait être fait.
Beaucoup de gens s'arrêtent là. C'est l'effet recherché.
Voici ce que dit réellement le droit français.
La règle : le remboursement est immédiat
L'article L133-18 du code monétaire et financier est sans ambiguïté. En cas d'opération de paiement non autorisée signalée par l'utilisateur, la banque rembourse immédiatement le montant, et au plus tard à la fin du premier jour ouvrable suivant. Elle doit également rétablir le compte dans l'état où il se serait trouvé si l'opération n'avait pas eu lieu.
Une seule échappatoire : si elle a de bonnes raisons de soupçonner une fraude de votre part, elle peut suspendre le remboursement — mais elle doit alors communiquer ces raisons par écrit à la Banque de France. Ce n'est pas une formalité qu'on invoque à la légère au guichet.
Autrement dit : rembourser d'abord, discuter ensuite. L'ordre compte, et il est inscrit dans la loi.
Le délai : treize mois
Vous disposez de treize mois à compter de la date de débit pour signaler l'opération, sous peine de forclusion. Ce délai court à partir du débit, pas du jour où vous vous en apercevez — d'où l'intérêt de regarder ses relevés.
Ce délai encadre aussi l'action en justice, pas seulement le signalement à la banque.
L'exception : la « négligence grave », et qui doit la prouver
C'est l'argument que votre banque va employer. Il est prévu par la loi. Mais il est bien plus encadré qu'on ne le croit.
La charge de la preuve pèse sur la banque, pas sur vous. La Cour de cassation l'a rappelé en mars 2025 : c'est au prestataire de services de paiement de rapporter la preuve que l'utilisateur qui nie avoir autorisé une opération a agi frauduleusement, ou a manqué intentionnellement ou par négligence grave à son obligation de préserver la sécurité de ses dispositifs.
Vous n'avez donc pas à démontrer votre bonne foi. C'est à la banque de démontrer votre faute. Si elle se contente d'affirmer que « l'opération a été validée », elle n'a rien prouvé du tout.
Ce que la banque doit désormais produire
C'est l'évolution la plus utile de ces dernières années. Depuis un arrêt du 4 mars 2026, la qualification de la négligence grave se joue sur le contenu des messages de confirmation. La banque doit produire leur libellé intégral — pas un relevé d'opérations, pas une capture partielle.
Pourquoi c'est décisif : si le message que vous avez reçu disait simplement « Confirmez l'opération » ou « Saisissez votre code », sans nommer le bénéficiaire ni indiquer le montant, alors on ne pouvait pas raisonnablement attendre de vous que vous compreniez ce que vous validiez. L'argument de la négligence tombe.
Demandez donc systématiquement, par écrit : « Merci de me communiquer le libellé intégral des messages de confirmation qui m'ont été adressés. »
Le spoofing joue en votre faveur
Si l'escroc a fait apparaître le vrai numéro de votre agence sur votre écran, les juridictions retiennent que cela vous a légitimement placé en situation de confiance. Un tribunal a ainsi condamné une banque à rembourser intégralement une cliente, en constatant que l'interlocuteur était parfaitement informé de sa situation personnelle et avait présenté sa demande comme la suggestion bienveillante d'un agent du service des fraudes.
Le simple fait d'avoir enrôlé un dispositif d'authentification sur un appareil tiers ne caractérise pas, à lui seul, une négligence grave.
Une distinction importante à connaître
Le droit ne traite pas de la même façon :
- L'opération non autorisée — on vous a volé vos données et on s'en est servi sans vous. Le régime protecteur ci-dessus s'applique pleinement.
- Le virement que vous avez effectué vous-même, sous manipulation. Juridiquement plus délicat, parce que l'opération a techniquement été autorisée. Mais la jurisprudence récente est nettement plus favorable qu'auparavant lorsque la manipulation est caractérisée — spoofing, connaissance précise de votre dossier, mise en scène d'un service anti-fraude.
Dans le second cas, ne renoncez pas d'avance. Documentez la manipulation : heure de l'appel, numéro affiché, ce que l'interlocuteur savait de vous, ce qu'il a dit exactement.
La marche à suivre, dans l'ordre
- Opposition immédiate, puis signalement écrit à la banque. Gardez une trace datée de tout.
- Signalement sur [Perceval](https://www.service-public.gouv.fr/particuliers/vosdroits/R46526) et plainte au commissariat ou à la gendarmerie. Votre banque peut réclamer la plainte.
- Réclamation écrite au service réclamations de la banque, en citant l'article L133-18 et en demandant le libellé intégral des messages de confirmation.
- Médiateur bancaire — gratuit, saisissable après deux mois sans réponse satisfaisante. Beaucoup de dossiers se règlent à ce stade.
- ACPR ou tribunal, en dernier recours. Pour un montant significatif, consultez un avocat : la jurisprudence 2025-2026 est largement favorable aux victimes manipulées.
Et à toute étape, [17Cyber.gouv.fr](https://www.17cyber.gouv.fr) vous oriente gratuitement.
Ce qu'il faut retenir
Un refus au guichet n'est pas une décision de justice. C'est une position de négociation.
Écrivez, citez le texte, demandez les preuves que la banque doit produire, et saisissez le médiateur. La plupart des dossiers qui aboutissent sont simplement ceux où la victime n'a pas abandonné après le premier « non ».
Cet article décrit le cadre légal applicable et ne remplace pas l'avis d'un professionnel du droit sur votre situation particulière.
Le meilleur remboursement reste celui dont on n'a pas besoin. Notre test anti-phishing gratuit vous confronte à 5 messages réels en une minute, sans compte. Vous verrez lesquels vous auriez laissés passer.