L'essentiel en bref

•  Le phishing (hameçonnage) consiste à vous faire saisir vos identifiants sur un faux site imitant votre banque — c'est une fraude de tiers, pas une faute de votre part.

•  L'article L133-18 CMF impose à votre banque de rembourser les opérations non autorisées réalisées avec vos identifiants volés.

•  Cliquer sur un lien frauduleux dans un email qui imite parfaitement votre banque ne constitue pas automatiquement une négligence grave.

•  La banque doit prouver que vous avez manqué à vos obligations de façon caractérisée — la charge de la preuve lui appartient.

•  Délai de contestation : 13 mois (art. L133-24 CMF). Recours gratuit via le médiateur bancaire.

Le problème

Un email vous alerte d'un problème sur votre compte. Il ressemble trait pour trait aux communications de votre banque. Vous cliquez, vous saisissez vos identifiants sur ce qui semble être le site de votre banque — et des jours plus tard, vous découvrez des opérations frauduleuses.

Votre banque vous répond que vous avez "communiqué vos identifiants" et refuse tout remboursement. Elle sous-entend que vous avez été imprudent. Mais les sites de phishing sont conçus par des experts en tromperie visuelle. Des millions de personnes en sont victimes chaque année.

Que dit la loi sur le phishing bancaire ?

Les opérations réalisées par un tiers qui a obtenu vos identifiants par phishing sont des opérations non autorisées au sens de l'article L133-7 CMF. Votre banque est tenue de les rembourser sans délai (art. L133-18 CMF).

La banque invoquera souvent votre négligence grave. Mais la simple réponse à un email frauduleux, aussi convaincant soit-il, ne constitue pas nécessairement une faute grave au sens de la loi. La jurisprudence exige que la banque prouve un comportement manifestement imprudent — pas seulement le fait d'avoir été trompé.

Par ailleurs, les banques ont l'obligation de mettre en place des systèmes d'authentification forte (directive DSP2). Si elles ont failli à cette obligation, leur responsabilité est engagée.

Que faire concrètement ?

1.  Changez immédiatement vos mots de passe bancaires et signalez la fraude à votre banque par téléphone, puis par écrit.

2.  Conservez l'email frauduleux (sans cliquer sur ses liens) comme preuve. Notez la date et l'heure de réception.

3.  Déposez plainte pour escroquerie et usurpation d'identité auprès des autorités.

4.  Signalez le site frauduleux sur signal.spam.fr et Phishing Initiative (phishing-initiative.fr).

5.  Envoyez une réclamation écrite à votre banque en citant l'article L133-18 CMF et en demandant le remboursement de toutes les opérations frauduleuses.

En cas de blocage

Le refus de votre banque n'est pas une fin de parcours. Le médiateur bancaire examine régulièrement des dossiers de phishing et sanctionne les banques qui refusent de rembourser sans preuve suffisante de faute grave du client.

La sophistication croissante des techniques de phishing est reconnue par les juges et les médiateurs. Ne renoncez pas : votre recours est gratuit et peut aboutir rapidement.

‍