Compte bancaire piraté : que faire dans la première heure

↑ Ce conseil fait partie du guide : Démarches, recours, remboursement

Compte bancaire piraté : que faire ?

Appelez immédiatement le numéro d'opposition de votre banque, qui fonctionne jour et nuit, puis faites bloquer l'accès en ligne. Vérifiez ensuite les bénéficiaires enregistrés, les plafonds de virement et le numéro de téléphone de contact : un intrus les modifie avant de sortir l'argent. Contestez par écrit chaque opération.

1. Appelez le numéro d'opposition de la banque.
2. Faites bloquer l'accès à l'espace client.
3. Relevez bénéficiaires, plafonds et coordonnées modifiés.
4. Contestez chaque opération par écrit, datée.
5. Changez le mot de passe depuis un autre appareil.

Cinq signes qu'on s'est connecté à votre espace client

Deux situations très différentes se rangent sous le même mot. Dans la première, seule la carte bancaire a été copiée : des paiements passent, mais personne n'est entré chez vous. Dans la seconde, quelqu'un s'est connecté à votre banque en ligne, avec votre identifiant et votre code secret. C'est la seconde qui fait le plus de dégâts, parce qu'elle ouvre le virement, et le virement n'a pas le plafond d'une carte.

Avant de conclure, cherchez ces cinq traces dans l'application mobile ou sur le site de votre établissement bancaire. Chacune se vérifie en moins de deux minutes, et il suffit pour cela de vos identifiants habituels de banque en ligne.

• Un message de connexion depuis un appareil inconnu. La plupart des banques envoient un mail ou une notification à chaque nouvelle machine. Le libellé type : « Nouvelle connexion à votre espace client », avec une ville et une heure.
• Un bénéficiaire que vous n'avez pas ajouté dans la liste des virements, souvent au nom d'un particulier, parfois avec un IBAN étranger.
• Un plafond de virement relevé sans raison dans votre espace client, ou une carte rouverte au paiement « à l'étranger » alors que vous n'avez rien demandé.
• Vos alertes SMS désactivées, ou le numéro de téléphone de contact remplacé : c'est le geste qui vous rend aveugle à la suite.
• Des petites opérations d'essai de 1 à 5 euros, souvent la nuit, avant un montant plus gros. Le même mécanisme est détaillé dans comment savoir si ma carte bancaire est piratée.

Si rien de tout cela n'apparaît et que seules des opérations par carte posent problème, vous êtes dans le premier cas : une fraude à la carte, plus simple à traiter. Si au moins un de ces cinq signes est présent, considérez l'accès comme compromis et traitez-le comme tel.

La première heure : cinq gestes, dans cet ordre

L'ordre compte plus que la vitesse. Beaucoup de gens commencent par changer leur mot de passe depuis l'ordinateur qu'ils utilisent tous les jours : si cet ordinateur porte un logiciel espion, le nouveau mot de passe part aussitôt. On bloque d'abord, on nettoie ensuite.

1. Appelez le numéro d'opposition. Il figure au dos de votre carte et sur le site de votre banque en ligne. À défaut, le serveur interbancaire du GIE Cartes Bancaires répond vingt-quatre heures sur vingt-quatre au 0 892 705 705 (numéro surtaxé, 0,34 € la minute). Notez le numéro d'enregistrement donné en fin d'appel : c'est la preuve datée de votre opposition, et c'est elle qui fixe la limite entre ce qui vous est opposable et ce qui ne l'est plus.
2. Demandez le blocage de l'accès en ligne, pas seulement celui de la carte. Ce sont deux opérations distinctes, et les conseillers ne la proposent pas toujours. La formule qui marche : « je demande la suspension de mon accès à la banque en ligne et la réinitialisation de mon code secret ».
3. Photographiez l'écran avant toute remise en ordre : la liste des bénéficiaires, les plafonds, la ligne de chaque opération contestée avec sa date et son montant. Plusieurs banques masquent ces détails une fois le compte réinitialisé.
4. Contestez par écrit, par la messagerie sécurisée de l'espace client : elle est horodatée et vous en gardez copie. Employez le mot exact : « opérations de paiement non autorisées ». C'est la formule du code monétaire et financier, pas une « réclamation » ni un « litige ».
5. Changez le mot de passe depuis un autre appareil — le téléphone d'un proche, une tablette qui ne sert qu'à lire. Puis seulement, faites examiner la machine habituelle : un logiciel espion sur l'ordinateur se repère à des signes précis.

Ce que l'intrus modifie avant de sortir l'argent

Un accès bancaire ne se monnaye pas tout de suite. Entre la connexion et le virement, il y a presque toujours une phase de préparation : elle laisse des traces, et elle vous laisse une fenêtre pour agir. C'est le point que ne traitent pas les pages génériques sur le sujet.

Les réglages à rouvrir un par un

Le réglage	Ce qu'il permet	Où le vérifier
Bénéficiaires de virement	Envoyer l'argent vers un compte tiers	Virements → Gérer mes bénéficiaires
Plafond de virement	Dépasser la limite quotidienne habituelle	Paramètres → Plafonds et limites
Numéro de téléphone de contact	Détourner le code de validation	Mon profil → Coordonnées
Adresse électronique	Intercepter les confirmations d'opération	Mon profil → Coordonnées
Alertes SMS et notifications	Vous rendre aveugle aux débits	Paramètres → Alertes
Paiement à l'étranger, sans contact	Faire passer la carte là où elle était bloquée	Mes cartes → Réglages

Le changement de numéro de téléphone est le plus sérieux. Il déplace le code de validation — le SMS, ou la notification à valider dans l'application — vers l'appareil de l'escroc. Tant qu'il n'est pas remis d'aplomb, chaque opération lancée paraîtra régulière aux yeux de la banque. Si votre téléphone a perdu le réseau au même moment, lisez mon téléphone n'a plus de réseau : une carte SIM remplacée à votre insu produit exactement cet effet.

Un nouveau bénéficiaire est rarement utilisable dans la seconde : beaucoup d'établissements imposent encore un délai d'activation, souvent de l'ordre de la journée. Ce délai est votre marge. Ne supprimez pas le bénéficiaire avant de l'avoir photographié : son IBAN est une pièce du dossier de plainte, et la banque ne vous le redonnera pas.

Treize mois pour contester, un jour ouvrable pour être remboursé

Les chiffres qui comptent sont inscrits au code monétaire et financier, et ils sont peu connus des victimes comme des guichets. Ils valent pour toute opération non autorisée sur un compte bancaire de particulier tenu en France : un paiement par carte, mais aussi un virement parti de l'espace client, un retrait ou un prélèvement.

Les trois délais légaux

Ce dont il s'agit	Le délai	Le texte
Signaler une opération non autorisée	Sans tarder, 13 mois au plus après le débit	article L. 133-24
Remboursement par la banque	Fin du premier jour ouvrable suivant le signalement	article L. 133-18
Franchise laissée à votre charge	50 € au maximum, et carte perdue ou volée seulement	article L. 133-19

Le délai de remboursement est le plus ignoré. L'article L. 133-18 ne dit pas « après enquête » : il impose à la banque de rembourser immédiatement, et au plus tard à la fin du premier jour ouvrable qui suit le signalement, puis de rétablir le compte dans l'état où il se serait trouvé — frais de rejet et agios compris. Elle enquête ensuite, et peut reprendre l'argent si elle prouve une fraude de votre part.

La franchise de 50 € est l'autre source de malentendus. Elle ne vaut que pour une carte perdue ou volée, utilisée avant l'opposition. Elle ne s'applique pas quand les données ont été copiées sans que la carte quitte votre poche, ni à un virement parti de votre espace client. Et elle tombe entièrement si l'opération a été exécutée sans authentification forte. Pour une somme partie par mandat plutôt que par virement, le régime est différent : voyez prélèvement frauduleux sur mon compte.

Si la banque parle de « négligence grave »

C'est le mot qui arrive quand le remboursement se fait attendre : « vous avez communiqué votre code, il y a négligence grave, nous ne rembourserons pas ». Trois choses à opposer, posément et par écrit.

Un : la preuve ne vous incombe pas. L'article L. 133-23 met la charge sur la banque. Elle doit établir que l'opération a été authentifiée et correctement enregistrée, et le texte précise que le seul relevé d'utilisation de l'instrument de paiement « ne suffit pas nécessairement » à prouver votre négligence. Autrement dit, ce n'est pas à vous de démontrer votre innocence.

Deux : sans authentification forte, le débat est clos. L'article L. 133-19 prévoit que le payeur ne supporte aucune conséquence financière, sauf agissement frauduleux de sa part, lorsque l'opération a été réalisée sans que la banque exige l'authentification forte prévue à l'article L. 133-44. La Cour de cassation l'a appliqué le 30 août 2023, dans une affaire où le numéro de la banque avait été usurpé au téléphone : les juges devaient d'abord rechercher si l'authentification forte avait été mise en œuvre, avant même de discuter la négligence du client.

Trois : la médiation est gratuite. Après une réponse écrite du service réclamations, ou faute de réponse, le médiateur bancaire se saisit sans frais et sans avocat. Les étapes et les délais figurent dans saisir le médiateur bancaire, et se faire rembourser après une arnaque détaille les arguments que les établissements opposent le plus souvent.

Quatre réflexes qui aggravent la situation

Ce sont ceux que l'on entend le plus souvent au téléphone, et ils coûtent cher.

• Rappeler le numéro affiché dans le SMS d'alerte. Le numéro d'un expéditeur se falsifie ; celui du dos de la carte, non. On rappelle toujours le second.
• Valider la notification de l'application « pour bloquer ». Une validation ne bloque rien : elle autorise. C'est la signature électronique de l'opération, et elle rend la contestation beaucoup plus difficile.
• Changer le mot de passe depuis la machine suspecte. Si un programme enregistre les frappes du clavier, le nouveau code est connu dans la minute. Il faut un autre appareil, puis un nettoyage : la méthode est dans mon ordinateur est piraté, que faire.
• Attendre le lendemain pour appeler. Le service d'opposition fonctionne la nuit et le dimanche. Chaque heure de retard, c'est une opération de plus avant l'heure inscrite sur votre numéro d'enregistrement.

Par où ils sont entrés, et ce qu'il faut refermer

Un espace bancaire ne se force pas : il s'ouvre avec des identifiants obtenus ailleurs. Dans la pratique, quatre portes reviennent.

1. La boîte mail. C'est la clé du reste : qui la tient peut demander la réinitialisation du code bancaire. Elle se traite en premier, avec un mot de passe neuf et la double authentification activée.
2. Un mot de passe réutilisé, récupéré dans la fuite d'un autre site. Un coup d'œil à comment savoir si mon adresse mail a fuité prend deux minutes et tranche souvent la question.
3. Un faux message de la banque ou des impôts, avec un formulaire de connexion très ressemblant. Le réflexe à garder : on ne se connecte jamais depuis un lien reçu, on tape l'adresse soi-même dans le navigateur.
4. Une machine infectée : logiciel espion, extension de navigateur malveillante, programme téléchargé hors du site de l'éditeur. Le compte n'est vraiment refermé qu'une fois l'ordinateur propre.

Une fois le remboursement obtenu, il reste trois démarches utiles : le signalement sur cybermalveillance.gouv.fr ou par 17Cyber, la plainte au commissariat ou à la gendarmerie quand un bénéficiaire a été créé en votre nom — la marche à suivre est dans porter plainte et signaler un piratage —, et la surveillance du compte pendant quelques semaines. Si l'intrusion a servi à souscrire quelque chose, un crédit ouvert à mon nom explique les fichiers de la Banque de France à consulter.

Si l'ordinateur ou le téléphone restent suspects après tout cela, une assistance à distance de trente minutes suffit en général à passer en revue la boîte mail, les sessions ouvertes et les extensions ; les tarifs sont affichés en clair.

Questions fréquentes

La banque peut-elle refuser de rembourser un virement frauduleux ?

Oui, dans deux cas seulement : si elle prouve que vous avez agi frauduleusement, ou que vous avez manqué à vos obligations par négligence grave. C'est à elle d'en apporter la preuve, et le simple fait que l'opération ait été enregistrée ne suffit pas. En cas de refus écrit, le médiateur bancaire est gratuit.

Faut-il porter plainte avant de demander le remboursement ?

Non. Le remboursement d'une opération non autorisée n'est pas conditionné au dépôt de plainte, et aucune banque ne peut l'exiger. Signalez d'abord, par écrit, dans la journée. La plainte reste utile ensuite, surtout si un bénéficiaire a été créé en votre nom ou si des pièces d'identité ont circulé.

Dois-je changer de compte bancaire après l'intrusion ?

Rarement. Un identifiant de connexion et un code secret se changent ; l'IBAN, lui, n'est pas un secret et figure sur chaque facture que vous payez. Changer de compte casse les virements de salaire et les prélèvements sans rien résoudre, sauf si l'IBAN sert déjà à des mandats frauduleux.

Perceval sert-il dans ce cas ?

Seulement pour la fraude à la carte bancaire, lorsque vous avez toujours la carte en votre possession. Le téléservice se remplit sur service-public.gouv.fr avec FranceConnect. Pour un virement parti de l'espace client, il ne s'applique pas : c'est la contestation écrite auprès de la banque qui compte.

Combien de temps la banque garde-t-elle les traces de connexion ?

Les journaux d'authentification sont conservés par l'établissement, et vous pouvez en demander copie ; à défaut, la CNIL rappelle votre droit d'accès à vos données personnelles. Demandez-les tôt et par écrit : plus la demande est tardive, plus la réponse est lente et imprécise.

Sources

• Légifrance — article L. 133-24 du code monétaire et financier (signalement sans tarder, et au plus tard treize mois après le débit, sous peine de forclusion).
• Légifrance — article L. 133-18 (remboursement immédiat et au plus tard à la fin du premier jour ouvrable suivant, rétablissement du compte).
• Légifrance — article L. 133-19 (plafond de 50 €, ses exceptions, et absence de conséquence financière sans authentification forte).
• Légifrance — article L. 133-23 (charge de la preuve sur le prestataire de services de paiement).
• Cour de cassation, chambre commerciale, 30 août 2023, n° 22-11.707 (authentification forte et négligence grave).
• Cybermalveillance.gouv.fr — piratage de compte en ligne (fiche réflexe et dispositif 17Cyber).

À lire aussi : quelqu'un a mon RIB, que peut-il faire · un virement instantané parti chez un escroc.