L'essentiel en bref

•  Un malware (logiciel malveillant) qui prend le contrôle de vos paiements bancaires crée des opérations non autorisées au sens de la loi.

•  L'article L133-18 CMF impose à votre banque de rembourser sans délai les paiements que vous n'avez pas approuvés.

•  La banque doit prouver votre faute grave — le simple fait d'avoir un virus sur votre appareil ne suffit pas.

•  Les banques ont l'obligation de mettre en place des dispositifs de sécurité robustes (DSP2) : si elles ont failli, leur responsabilité est engagée.

•  Délai de contestation : 13 mois (art. L133-24 CMF). Médiation bancaire gratuite en cas de refus.

Le problème

Vous constatez des opérations bancaires que vous n'avez jamais initiées : des paiements, des virements, des achats en ligne. Votre appareil avait été infecté par un logiciel malveillant à votre insu — et les fraudeurs ont exploité vos accès bancaires.

Votre banque vous répond que des authentifications ont eu lieu depuis votre appareil, et refuse de rembourser. Elle laisse entendre que vous avez été imprudent. Mais un malware sophistiqué contourne précisément les dispositifs de sécurité — comment auriez-vous pu le détecter ?

Que dit la loi sur les fraudes par malware ?

Un malware bancaire crée des opérations de paiement sans votre accord réel. Il s'agit d'opérations non autorisées au sens de l'article L133-7 CMF. Votre banque est donc tenue de les rembourser immédiatement (art. L133-18 CMF), sauf si elle prouve votre faute grave.

Or, être infecté par un malware — même sophistiqué — ne constitue pas nécessairement une négligence grave. La charge de la preuve appartient à la banque, qui doit démontrer que vous avez manqué à vos obligations de sécurité de façon caractérisée (art. L133-23 CMF).

Par ailleurs, les banques ont l'obligation légale (directive DSP2) de mettre en place des systèmes d'authentification forte et de détection des transactions anormales. Si un malware a pu opérer sans déclencher d'alerte, leur dispositif de sécurité était peut-être insuffisant — et leur responsabilité peut alors être engagée.

Que faire concrètement ?

1.  Déconnectez immédiatement l'appareil infecté d'internet. Changez vos mots de passe bancaires depuis un autre appareil sain.

2.  Signalez les opérations frauduleuses à votre banque par téléphone et par écrit sans délai.

3.  Faites analyser votre appareil par un professionnel informatique pour confirmer la présence du malware — ce rapport sera une preuve précieuse.

4.  Déposez plainte pour accès frauduleux à un système informatique et utilisation frauduleuse de données bancaires.

5.  Adressez une réclamation écrite formelle à votre banque en citant l'article L133-18 CMF et en indiquant que les opérations contestées ont été initiées par un logiciel malveillant à votre insu.

En cas de blocage

Si votre banque refuse de rembourser en invoquant votre faute sans en apporter la preuve, saisissez le médiateur bancaire. Les dossiers de fraude par malware sont régulièrement examinés par la médiation, et les refus de remboursement insuffisamment justifiés sont sanctionnés.

Votre compte a été vidé par des criminels. La loi vous protège — faites-la valoir.