Hameçonnage : la banque doit rembourser d'abord, même si elle invoque une négligence grave

Vous avez cliqué sur un faux lien, saisi vos identifiants sur un site qui imitait celui de votre banque, et de l'argent a quitté votre compte sans votre accord ? Votre banque ne peut pas vous opposer d'emblée une « négligence grave » pour refuser de vous rembourser : elle doit d'abord rendre l'argent, quitte à vous réclamer les pertes plus tard si elle prouve cette négligence. C'est ce qu'a jugé la Cour de justice de l'Union européenne (CJUE) dans un arrêt du 15 octobre 2026 (affaire C-70/25), que le site officiel Service-Public.fr a relayé ce lundi 2 novembre.

Une vente en ligne, un faux lien, 700 euros envolés

L'affaire vient de Pologne. Une cliente vendait un objet sur une plateforme en ligne. Un prétendu acheteur lui a envoyé un lien présenté comme venant de la plateforme, pour « confirmer la vente ». Le lien menait vers une copie du site de sa banque, où elle a saisi ses codes de connexion. Le fraudeur s'en est servi pour virer l'équivalent d'environ 700 euros vers son propre compte.

La cliente a signalé l'opération à sa banque dès le lendemain. La banque a refusé de rembourser : selon elle, sa cliente avait commis une négligence grave en ne protégeant pas ses données de sécurité. Saisie, une juridiction polonaise a demandé à la Cour de justice comment lire sur ce point la directive européenne sur les services de paiement (2015/2366).

Rembourser d'abord, discuter ensuite

La réponse de la Cour tient en deux temps. D'abord, face à une opération non autorisée, la banque doit rembourser immédiatement, et au plus tard à la fin du premier jour ouvrable suivant celui où elle en a été informée, à condition que le client l'ait prévenue sans retard injustifié. Le fait qu'elle juge son client gravement négligent ne lui permet pas de refuser ce remboursement.

Ensuite, et seulement ensuite, la banque peut réclamer au client les pertes subies si elle prouve qu'elles résultent d'une négligence grave ou d'un manquement intentionnel de sa part. La charge de la preuve pèse sur elle. Pour la Cour, laisser la banque refuser d'emblée obligerait le client à engager lui-même une procédure, « avec les coûts et les inconvénients que cela peut entraîner ».

Une seule exception subsiste : la banque peut ne pas rembourser tout de suite si elle a de bonnes raisons de soupçonner une fraude du client lui-même, et qu'elle les communique par écrit à l'autorité nationale. En France, cette règle correspond à l'article L133-18 du Code monétaire et financier : les raisons sont adressées à la Banque de France. Le même article prévoit des pénalités pour la banque qui tarde : les sommes dues portent intérêt au taux légal majoré de 5 points, puis de 10 points au-delà de sept jours de retard et de 15 points au-delà de trente jours.

L'arrêt interprète le droit européen : il lie les juridictions des États membres saisies d'un litige semblable, y compris en France. C'est toutefois au juge national de trancher chaque litige, au vu de ses circonstances.

Ce que l'arrêt ne couvre pas

Service-Public.fr le souligne : la décision porte sur les opérations non autorisées, effectuées par le fraudeur à l'insu de la victime. Elle ne tranche pas le cas des virements que la victime ordonne elle-même sous la pression d'un escroc, par exemple un faux conseiller bancaire au téléphone.

Les bons réflexes en cas de fraude

Selon la fiche officielle de Service-Public.fr, il faut d'abord faire opposition sans attendre, auprès de sa banque ou du serveur interbancaire d'opposition au 0 892 705 705 (ouvert jour et nuit). Une fraude à la carte sur internet se signale en ligne avec le service Perceval ; dans les autres cas, on dépose plainte. On demande ensuite le remboursement à sa banque, qui doit rendre les sommes débitées et les éventuels agios.

Le délai pour contester est de 13 mois après le débit, ramené à 70 jours pour un paiement effectué hors de l'Espace économique européen. En cas de refus, le médiateur de la banque peut être saisi, puis la justice.

Pour éviter d'en arriver là, nous avions détaillé comment repérer les faux SMS et liens frauduleux, ainsi que la vérification du bénéficiaire avant un virement, une protection utile mais incomplète.