Comment savoir si ma carte bancaire est piratée

↑ Ce conseil fait partie du guide : Arnaques et hameçonnage

Comment savoir si ma carte bancaire est piratée ?

Regardez les opérations en attente dans l'application de votre banque, pas le relevé mensuel. Trois indices valent confirmation : un débit de quelques centimes chez un commerçant inconnu, un paiement à l'étranger, un refus de carte alors que le compte est approvisionné. Un SMS qui annonce un piratage n'en est pas un : c'est souvent l'arnaque elle-même.

1. Ouvrez les opérations en attente, pas le relevé.
2. Cherchez un débit de moins de deux euros.
3. Notez les achats à l'étranger ou en ligne.
4. Écartez pré-autorisations, cautions et abonnements oubliés.
5. Faites opposition avant de contester par écrit.
6. Signalez ensuite sur Perceval, carte en main.

Les sept signes qui trahissent une carte utilisée à votre insu

Aucun de ces signes ne se voit sur le relevé papier de fin de mois. Ils se lisent dans l'application ou sur l'espace client, à la ligne « opérations en cours » ou « en attente », un à deux jours avant que l'argent parte réellement. C'est là que se joue l'avance que vous pouvez prendre.

1. Un débit minuscule chez un commerçant inconnu. Entre un centime et deux euros, souvent chez une boutique en ligne étrangère ou une plateforme de dons. Il ne sert pas à voler de l'argent : il vérifie que le numéro, la date d'expiration et le cryptogramme fonctionnent encore. L'achat sérieux suit, parfois dans l'heure.
2. Un paiement à l'étranger ou en devise étrangère alors que vous n'avez rien acheté hors de France. Le libellé porte souvent un nom de société sans rapport avec un commerce identifiable, et le montant tombe rond.
3. Plusieurs petits paiements rapprochés dans la même heure. Recharges de jeux, cartes cadeaux dématérialisées, crédits de plateforme : c'est la façon la plus rapide de transformer un numéro de carte en valeur revendable.
4. Une carte refusée en caisse alors que le compte est approvisionné. Votre plafond de paiement a été consommé ailleurs. C'est le signe qui arrive le plus tard, et souvent le premier que l'on remarque.
5. Une demande de validation que vous n'avez pas déclenchée. Notification dans l'application bancaire, SMS de confirmation, écran 3-D Secure : quelqu'un tente un achat avec votre numéro et bute sur l'authentification. Ne validez rien, et traitez-le comme une fraude en cours — au même titre qu'un code de vérification reçu sans l'avoir demandé.
6. Un abonnement inconnu qui revient chaque mois, au nom d'une société que vous ne trouvez nulle part, avec un montant toujours identique. Les fraudes les plus discrètes ne font pas un gros débit : elles en font un petit, longtemps.
7. Un retrait d'espèces que vous n'avez pas fait. Celui-là est différent des six autres : il suppose la carte physique et le code. Vérifiez immédiatement que la carte est bien dans votre portefeuille, et que ce n'est pas celle d'un proche qui porte le même prénom sur le relevé.

Cinq débits qui font peur et qui sont parfaitement normaux

Sur les appels que je reçois après une alerte bancaire, une bonne moitié se termine par « finalement, ce n'était pas une fraude ». Passez ces cinq explications avant de faire opposition : une opposition inutile vous prive de carte une semaine.

• La pré-autorisation. Station-service, hôtel, location de voiture, borne de recharge : le commerçant réserve une somme supérieure à l'achat, puis la libère quand le montant réel est connu. Vous voyez donc passer un montant que vous n'avez jamais payé. Il disparaît tout seul, généralement en quelques jours.
• Le libellé qui n'est pas le nom de la boutique. C'est la première cause de fausse alerte. Le relevé affiche l'encaisseur, pas l'enseigne : une place de marché, un intermédiaire de paiement, un éditeur de logiciel, parfois une société étrangère du même groupe. Avant de paniquer, tapez le libellé exact dans un moteur de recherche ; s'il désigne une place de marché, l'achat se retrouve dans le compte du site, comme l'explique la fiche une commande que je n'ai pas passée.
• La conversion de devise. Un achat affiché en dollars ou en livres ne donne jamais le même chiffre en euros que l'étiquette, frais de change compris. Un écart de quelques pourcents n'est pas une fraude.
• Le décalage de date. La date d'opération et la date de débit ne sont pas la même chose, et une carte à débit différé regroupe tout en fin de mois. Un achat du vendredi soir peut apparaître le mardi, à côté d'autres, ce qui donne l'impression d'une rafale.
• L'abonnement oublié. Essai gratuit devenu payant, renouvellement annuel d'un antivirus ou d'un stockage en ligne, service souscrit par un adolescent de la maison. Cherchez le libellé dans votre boîte mail avant de conclure : la confirmation d'origine y est presque toujours.

Où regarder exactement, et dans quel ordre

Le réflexe habituel — ouvrir le relevé PDF du mois dernier — est le plus mauvais : c'est le document le moins à jour de toute votre banque en ligne. Voici le parcours qui trouve quelque chose, en une dizaine de minutes.

1. Les opérations en attente. Selon l'établissement : « en cours », « à venir », « non comptabilisées ». Elles ne figurent pas au relevé et disparaissent une fois comptabilisées. C'est le seul endroit où une fraude se voit avant que l'argent parte.
2. Treize mois d'historique, pas trois. C'est exactement la durée pendant laquelle une opération se conteste. Un débit mensuel de 4,99 € installé depuis un an représente plus qu'un achat unique de 50 €, et personne ne le voit jamais.
3. La liste des paiements récurrents adossés à la carte. La plupart des banques la proposent désormais dans les réglages de la carte. C'est là qu'apparaissent les abonnements que vous n'avez jamais souscrits.
4. Les cartes virtuelles déjà créées. Si votre banque propose une carte à usage unique, vérifiez qu'aucune n'a été générée sans vous : c'est un signe d'accès à l'espace bancaire, pas seulement au numéro de carte.
5. Votre boîte mail. Cherchez « confirmation de commande », « votre reçu », « merci pour votre achat » sur la période. Et vérifiez qu'une règle de transfert n'écarte pas ces messages avant que vous les voyiez : c'est un réglage qui survit au changement de mot de passe, détaillé dans la fiche je ne reçois plus mes mails depuis le piratage.
6. Le compte du marchand, quand le libellé y mène. Une place de marché ou un portefeuille en ligne garde l'historique complet, y compris les commandes archivées : voir un paiement PayPal que je n'ai pas autorisé.

Le « code pour savoir si on est piraté » n'existe pas

C'est la question qui revient le plus, et elle mérite une réponse franche : aucun code, tapé sur un téléphone, sur un distributeur ou sur un site, ne dit si une carte bancaire a été compromise. Les suites du type ##002# ou *#21# qui circulent interrogent le renvoi d'appel d'une ligne mobile : elles concernent un téléphone, pas un moyen de paiement.

Il n'existe pas davantage de site officiel où saisir son numéro de carte pour « vérifier s'il a fuité ». Les services de ce genre sont des collecteurs : on y entre les seize chiffres, la date et le cryptogramme, c'est-à-dire tout ce qu'il faut pour payer à votre place. Les bases publiques de fuites, comme celles que décrit la fiche comment savoir si mon adresse mail a fuité, portent sur des adresses et des mots de passe, jamais sur des numéros de carte.

Ce qui existe vraiment tient en trois choses : la liste de vos opérations, le numéro d'opposition imprimé au dos de la carte, et le serveur interbancaire d'opposition, le 0 892 705 705, qui fonctionne jour et nuit quelle que soit votre banque.

Carte piratée, compte piraté, prélèvement contesté : trois choses différentes

Ces trois situations se confondent au téléphone, alors qu'elles n'ont ni les mêmes gestes ni les mêmes délais. Identifier la vôtre évite de perdre une semaine sur la mauvaise démarche.

• Le numéro de carte utilisé à distance. La carte est dans votre poche, mais ses données circulent. Vous avez treize mois à compter du débit pour contester, délai ramené à soixante-dix jours si le bénéficiaire est hors de l'Espace économique européen. La banque doit vous rembourser au plus tard à la fin du premier jour ouvrable suivant votre contestation. Point décisif : la franchise de 50 € ne joue que si la carte a été perdue ou volée et le code utilisé — à distance, sans code, il n'y a aucune franchise.
• L'espace bancaire lui-même pris en main. Virement vers un bénéficiaire que vous n'avez pas ajouté, plafond relevé, coordonnées modifiées. L'urgence n'est plus la carte mais l'accès, et la banque peut réagir en suspendant tout : ce qui se passe quand la banque bloque le compte décrit la suite.
• Le prélèvement que vous contestez. Rien à voir avec la carte : un prélèvement se rembourse sur simple demande dans les huit semaines qui suivent le débit, et jusqu'à treize mois s'il n'a jamais été autorisé. C'est le bon cadre pour un abonnement abusif.

Dans les trois cas, le remboursement n'est pas une faveur commerciale mais une obligation encadrée ; la fiche se faire rembourser par sa banque après une arnaque détaille l'argument de la « négligence grave », qui est la seule porte de sortie de l'établissement.

Par où le numéro est parti : quatre chemins, et ce que ça change

La question n'est pas seulement de curiosité. Selon le chemin, une nouvelle carte règle le problème… ou se fait reprendre en quinze jours.

• Un faux site marchand. Prix trop bas, paiement qui aboutit sur une page inhabituelle, pas de mail de confirmation : les données sont saisies par vous, sur une vitrine montée pour ça. Les marqueurs sont dans la fiche reconnaître une fausse boutique en ligne.
• Un formulaire au bout d'un SMS ou d'un mail. Faux frais de livraison, fausse amende, faux remboursement : quelques euros demandés servent surtout à récupérer la carte complète. Voir le faux SMS de livraison et les faux SMS administratifs.
• Une fuite chez un commerçant. Vous n'y êtes pour rien et vous ne l'apprenez jamais. C'est le cas typique où une nouvelle carte suffit.
• Un appareil compromis. Un logiciel espion sur l'ordinateur ou une extension de navigateur vérolée relit tout ce que vous tapez, y compris la nouvelle carte. C'est le seul cas où changer de carte ne sert à rien tant que la machine n'est pas nettoyée — comment détecter un logiciel espion donne la méthode.

Si vous ne savez pas trancher entre « fuite chez un marchand » et « machine infectée », c'est exactement ce qu'un contrôle d'une demi-heure permet de voir : navigateur, extensions, programmes lancés au démarrage, accès distants ouverts. Une assistance à distance de 30 minutes suffit dans la grande majorité des cas, et le diagnostic préalable au téléphone dure 15 minutes sans rien coûter ; tout est affiché sur la page tarifs.

Les six gestes de la première heure

1. Faites opposition depuis l'application, ou au numéro imprimé au dos de la carte, ou au 0 892 705 705. Notez le numéro d'enregistrement de l'opposition : il vous sera redemandé ensuite.
2. Contestez par écrit le jour même, par la messagerie sécurisée de votre espace, en listant chaque opération avec sa date et son montant. L'appel téléphonique ne date rien ; l'écrit, si.
3. Ne supprimez rien. SMS, mails, capture de la page de paiement, heure de l'appel reçu, nom donné par l'interlocuteur. Ce sont vos pièces.
4. Signalez sur Perceval, le téléservice de la gendarmerie, accessible par FranceConnect. Quatre conditions : être victime d'une fraude à la carte, avoir encore la carte, ne pas être à l'origine des achats, et avoir déjà fait opposition. Le récépissé arrive par mail en quelques heures, et la banque peut le demander.
5. Portez plainte si le montant le justifie ou si votre identité a servi : la marche à suivre est ici.
6. Résiliez les abonnements chez le marchand, pas seulement à la banque. Le changement de numéro est transmis automatiquement aux commerçants enregistrés : un prélèvement peut très bien reprendre sur la carte neuve.

Questions fréquentes

Comment savoir si ma carte bancaire est piratée ?

Ouvrez les opérations en attente dans l'application de votre banque, pas le relevé mensuel : la fraude y apparaît un à deux jours plus tôt. Cherchez un débit de moins de deux euros chez un commerçant inconnu, un achat à l'étranger, ou plusieurs petits paiements dans la même heure.

Un débit de 1 euro chez un inconnu, est-ce grave ?

C'est le signe le plus utile. Un montant minuscule sert à vérifier que le numéro fonctionne encore avant l'achat qui compte. Faites opposition sans attendre le débit suivant : la loi ne fixe aucun seuil, un euro non autorisé se conteste comme mille.

Existe-t-il un code pour savoir si sa carte est piratée ?

Non. Aucun code tapé sur un téléphone ou sur un distributeur ne révèle une carte compromise. Les codes du type ##002# interrogent le renvoi d'appel d'une ligne mobile, pas une carte. La seule vérification qui existe est la lecture de vos propres opérations.

Combien de temps ai-je pour contester un paiement frauduleux ?

Treize mois à compter du débit, ramenés à soixante-dix jours si le bénéficiaire est hors de l'Espace économique européen. Passé ce délai, plus aucun remboursement n'est possible. La banque, elle, doit rembourser au plus tard à la fin du premier jour ouvrable suivant votre contestation.

Ma carte est toujours dans mon portefeuille : est-ce possible quand même ?

Oui, et c'est le cas le plus fréquent. Ce n'est pas la carte qui circule, c'est son numéro, sa date d'expiration et son cryptogramme, copiés sur un faux site ou fuités chez un marchand. Sans perte ni vol et sans code tapé, aucune franchise de 50 euros ne s'applique.

Changer de carte suffit-il à tout arrêter ?

Pas toujours. Un abonnement déjà en place peut continuer à être prélevé sur la nouvelle carte, car les réseaux transmettent le changement de numéro aux commerçants enregistrés. Résiliez chez le marchand, et si l'appareil qui a servi est infecté, nettoyez-le avant de saisir la nouvelle carte.

Sources

• Service-public.fr — fraude à la carte bancaire (contestation dans les 13 mois, 70 jours hors Espace économique européen, remboursement au plus tard à la fin du premier jour ouvrable suivant).
• Service-public.fr — vol de la carte bancaire (franchise de 50 € seulement si le code a été utilisé, remboursement intégral sinon).
• Perceval — signaler une fraude à la carte bancaire (quatre conditions, opposition préalable, récépissé par courriel en quelques heures).
• DGCCRF — s'opposer à un prélèvement indu (remboursement de droit sous 8 semaines, 13 mois pour un prélèvement non autorisé).
• Cybermalveillance.gouv.fr — fraude à la carte bancaire (réflexes officiels et signalements).

À lire aussi : se faire rembourser par sa banque · un virement inattendu est arrivé sur mon compte.