Fraude à la carte bancaire : opposition, Perceval et remboursement

Vous avez toujours votre carte, et pourtant un paiement que vous n'avez pas fait apparaît sur votre compte. C'est la définition que retient Cybermalveillance.gouv.fr : l'utilisation des coordonnées de la carte à l'insu de son titulaire, alors que celui-ci la détient encore. Dans cette situation, le Code monétaire et financier place la charge sur la banque, pas sur vous, à condition de respecter un ordre et des délais précis.

Cette page suit cet ordre. Si la carte a été perdue ou volée, le régime diffère : avant l'opposition, vous pouvez supporter les pertes dans la limite de 50 € (article L133-19, I).

1. Faire opposition, et garder le numéro d'opposition

La loi vous demande d'informer votre banque « sans tarder, aux fins de blocage de l'instrument », dès que vous avez connaissance de l'utilisation non autorisée (article L133-17). Deux voies existent :

• le numéro d'opposition de votre banque, qui figure sur son site et sur ses distributeurs de billets ;
• le serveur interbancaire d'opposition, au 0 892 705 705, ouvert 7 jours sur 7 et 24 heures sur 24. Le numéro est surtaxé, comme l'indique la fiche de Cybermalveillance.gouv.fr.

Notez le numéro d'enregistrement de l'opposition : il vous sera demandé pour le signalement Perceval. Service-Public.fr signale deux points souvent ignorés. Si votre contrat de carte l'exige, vous devez avertir votre agence de votre opposition par lettre recommandée avec accusé de réception ou au guichet ; la même fiche précise que cette démarche n'est pas nécessaire si vous avez contacté votre banque pour faire opposition. Et l'opposition peut être payante, son coût variant selon les banques.

Ce premier geste conditionne la suite : toujours selon Service-Public.fr, une opposition tardive peut conduire la banque à refuser le remboursement.

2. Contester chaque opération auprès de la banque

Relevez la date et le montant de chaque débit que vous ne reconnaissez pas, puis demandez-en le remboursement à votre banque. Renseignez-vous sur la forme attendue, qui dépend de l'établissement (formulaire de l'espace client, courrier, déclaration sur l'honneur).

Ce que la banque vous doit est fixé par l'article L133-18 du Code monétaire et financier :

• le remboursement du montant de l'opération non autorisée, immédiatement, et au plus tard à la fin du premier jour ouvrable suivant votre signalement ;
• le rétablissement du compte dans l'état où il se serait trouvé sans l'opération. Service-Public.fr précise que cela inclut les agios éventuels ;
• en cas de retard, des intérêts au taux légal majoré de cinq points, de dix points au-delà de sept jours, de quinze points au-delà de trente jours.

Une seule exception figure dans ce texte : la banque qui a « de bonnes raisons de soupçonner une fraude de l'utilisateur » et qui communique ces raisons par écrit à la Banque de France.

3. Signaler sur Perceval

Perceval est la démarche en ligne de signalement des fraudes à la carte bancaire. Elle est gratuite et s'adresse aux personnes qui remplissent quatre conditions à la fois :

• être victime d'une fraude à la carte bancaire sur internet ;
• être toujours en possession de la carte ;
• ne pas être à l'origine des achats en ligne ;
• avoir déjà fait opposition auprès de la banque.

La connexion se fait avec FranceConnect (identifiants Impots.gouv, Ameli, L'Identité Numérique La Poste, France Identité, MSA, Yris ou TrustMe). Préparez trois éléments : le numéro d'enregistrement de l'opposition, le numéro de la carte et vos relevés bancaires. La déclaration est traitée par la gendarmerie nationale, et un courriel d'accusé de réception arrive sous quelques heures. Ce récépissé est à transmettre à la banque avec votre demande de remboursement, comme l'indique Service-Public.fr.

Deux précisions de Cybermalveillance.gouv.fr : le signalement est utile même si la banque vous a déjà remboursé, parce qu'il aide à identifier les auteurs, et il ne se substitue pas au dépôt de plainte.

4. Porter plainte : utile, mais pas un préalable

Si la fraude n'a pas eu lieu sur internet (achat hors ligne, retrait), Perceval ne s'applique pas et la plainte est la voie indiquée par Service-Public.fr. Elle se dépose au commissariat ou à la gendarmerie de votre choix, qui sont tenus de l'enregistrer, ou par courrier au procureur de la République du tribunal judiciaire. L'utilisation frauduleuse de coordonnées de carte relève de l'escroquerie (article 313-1 du Code pénal), punie de cinq ans d'emprisonnement et de 375 000 € d'amende.

En revanche, la plainte ne conditionne pas votre droit. L'Observatoire de la sécurité des moyens de paiement, alors présidé par le gouverneur de la Banque de France (communiqué du 16 mai 2023), le rappelle dans ses recommandations de 2023 : un dépôt de plainte « ne peut pas être exigé par le prestataire de services de paiement comme préalable à l'instruction » de la demande de remboursement.

Les délais qui font perdre le droit

• Treize mois à compter de la date de débit pour signaler l'opération, « sous peine de forclusion » (article L133-24). Passé ce délai, la demande n'est plus recevable.
• 70 jours si le paiement a été effectué en dehors de l'Espace économique européen, selon Service-Public.fr.
• Sans tarder pour l'opposition : c'est le terme de la loi, et Service-Public.fr rappelle qu'une opposition tardive peut conduire la banque à refuser le remboursement.

Qui doit prouver quoi

C'est le point que la plupart des victimes ignorent, et celui sur lequel se jouent les refus.

La preuve incombe à la banque. Lorsque vous niez avoir autorisé une opération, c'est à elle de prouver que l'opération a été authentifiée, dûment enregistrée et comptabilisée, et qu'elle n'a pas été affectée par une déficience technique. Et l'utilisation de la carte telle qu'enregistrée par la banque « ne suffit pas nécessairement » à prouver que vous avez autorisé le paiement ou commis une négligence grave (article L133-23).

Votre responsabilité n'est pas engagée dans plusieurs cas prévus par l'article L133-19 : lorsque l'opération a été effectuée en détournant, à votre insu, la carte ou les données qui lui sont liées ; en cas de contrefaçon alors que vous étiez en possession de la carte ; et, sauf fraude de votre part, lorsque la banque n'a pas exigé d'authentification forte.

Vous supportez toutes les pertes dans un seul cas de figure : un agissement frauduleux de votre part, ou un manquement intentionnel ou par négligence grave à vos obligations, c'est-à-dire préserver la sécurité de vos données de sécurité personnalisées (article L133-16) et informer la banque sans tarder.

La loi ne définit pas la négligence grave. L'Observatoire le relève dans ses recommandations de 2023 et précise que la jurisprudence s'appuie sur la notion d'utilisateur « normalement attentif ». Ses recommandations encadrent donc le traitement des dossiers :

• paiement sans authentification forte : la banque rembourse sans délai, et la négligence, « même grave », ne peut pas fonder un refus (recommandation n° 4) ;
• paiement avec authentification forte (validation dans l'application, code) : la banque procède à une première analyse dans le délai d'un jour ouvré. Si elle constate que l'opération n'a pas été autorisée, ou si elle a un doute sur le consentement, elle rembourse sans délai. Elle peut refuser le remboursement si elle a suffisamment d'éléments de preuve pour considérer que vous avez autorisé l'opération, que vous avez été gravement négligent ou que vous n'avez pas satisfait intentionnellement à vos obligations, et elle peut refuser de rembourser immédiatement si elle a de bonnes raisons de soupçonner une fraude de votre part et qu'elle communique ses raisons à la Banque de France (recommandation n° 6) ;
• les investigations ne devraient pas dépasser 30 jours, sauf situation exceptionnelle (recommandation n° 1) ;
• un refus doit être motivé, accompagné des éléments qui le justifient et des modalités de réclamation (recommandation n° 3).

Ces recommandations ne sont pas la loi, mais elles expriment la lecture qu'en fait une instance aujourd'hui présidée par le premier sous-gouverneur de la Banque de France. Les citer dans une réclamation est légitime.

Si la banque refuse de rembourser

1. Réclamation écrite au service client, en joignant le récépissé Perceval ou la plainte et la liste des opérations. Pour un service de paiement, la banque doit répondre dans les 15 jours ouvrables, 35 au maximum dans des cas exceptionnels, d'après ABE Info Service.
2. Médiateur de la banque, gratuit. Il ne peut être saisi qu'après une réclamation écrite, et dans un délai d'un an à compter de celle-ci. Ses coordonnées figurent sur la réponse à votre réclamation, sur le site de la banque et sur vos relevés. Il propose une solution dans un délai maximal de 90 jours (Service-Public.fr).
3. Tribunal. Jusqu'à 5 000 € inclus, une tentative de règlement amiable (conciliation, médiation ou procédure participative) est obligatoire avant de saisir le juge. Le tribunal de proximité ou le tribunal judiciaire est compétent jusqu'à 10 000 €, le tribunal judiciaire au-delà.

Fermer la brèche

Un débit frauduleux signifie que vos coordonnées de carte ont fui quelque part. Cybermalveillance.gouv.fr liste les origines possibles : un message d'hameçonnage, le piratage d'un compte en ligne où la carte était enregistrée, un appareil infecté, une fuite de données chez un site marchand, un distributeur piégé ou un commerçant malhonnête. L'origine exacte est souvent difficile à établir, d'où trois vérifications à faire dans tous les cas :

• mettre à jour vos appareils et lancer une analyse antivirale complète ;
• changer les mots de passe des comptes où la carte était enregistrée, et y supprimer la carte ;
• activer la double authentification là où elle existe.

Selon l'origine probable, poursuivez avec la page qui correspond : le faux site marchand si vous avez payé sur une boutique inconnue, que faire après une fuite de données si un site vous a notifié une fuite, le faux mail de banque si vous avez saisi votre carte après un message. Si un appel se présentant comme votre banque a précédé les débits, le cas relève du faux conseiller bancaire.

Avant un prochain paiement sur un site que vous ne connaissez pas, vous pouvez soumettre son adresse à notre vérificateur de lien. Les autres fraudes touchant les comptes sont présentées dans le dossier Arnaques bancaires.