Remboursement en cas d'arnaque par phishing email : procédures 2026

1. Phishing email : cadre légal et obligations bancaires en 2026

Depuis la transposition de la directive DSP2 (2018) et le renforcement par la loi 2024-364, les banques doivent rembourser immédiatement toute opération non autorisée, sauf en cas de fraude grave imputable au client. En 2026, la notion de « négligence grave » est strictement interprétée.

Maître Renard : « J’ai obtenu le remboursement intégral pour un client qui avait communiqué son mot de passe après un email usurpant sa banque. La cour a estimé que l’absence de double facteur d’authentification (2FA) suffisamment robuste engageait la responsabilité de l’établissement. »

Les banques doivent également justifier de la mise en place de systèmes de détection des anomalies. Si elles ne prouvent pas avoir respecté leurs obligations de sécurité, le remboursement en cas d'arnaque par phishing email est automatique (art. L133-19 CMF).

2. Délai de remboursement : 48h, 30 jours ou 13 mois ?

Le délai varie selon la nature de l’opération et la réaction de la victime. Voici les règles applicables en 2026 :

🔹 Opposition immédiate (T0 à T+48h)

Si vous signalez le phishing à votre banque dans les 48 heures suivant la transaction frauduleuse, le remboursement doit intervenir sous 24 à 48h (art. L133-21).

🔹 Délai standard (30 jours)

Si l’opposition est faite après 48h mais dans les 13 mois, la banque dispose de 30 jours pour enquêter et rembourser, sauf si elle démontre une négligence grave.

🔹 Prescription : 13 mois

Au-delà de 13 mois, le droit au remboursement est prescrit, sauf fraude avérée de la banque. Ne tardez pas.

Attention : certaines banques tentent de repousser le délai en exigeant un dépôt de plainte préalable. Ce n’est pas une condition légale. Exigez le remboursement immédiat, et portez plainte en parallèle.

3. Procédure concrète pour obtenir le remboursement

Étape 1 : Capture et sauvegarde des preuves

Faites des captures d’écran de l’email frauduleux (en-tête, lien), de votre historique de connexion, et de tout échange avec votre banque.

Étape 2 : Opposition immédiate

Appelez le service fraude de votre banque (numéro d’urgence) et confirmez par email avec accusé de réception. Utilisez le formulaire type de la Banque de France si nécessaire.

Étape 3 : Dépôt de plainte

Portez plainte en ligne (THESEE) ou au commissariat. Transmettez le récépissé à votre banque.

Étape 4 : Mise en demeure (si refus)

Adressez une mise en demeure avec AR, en citant les articles L133-18 et L133-19. EscrocAvocat.fr vous fournit un modèle personnalisé.

Cas pratique : un client a reçu un email « Amazon » avec une facture de 89€. Il a cliqué et saisi son RIB. La banque a refusé le remboursement sous prétexte de « négligence ». Après mise en demeure et saisine du médiateur, la banque a remboursé intégralement sous 10 jours.

4. Que faire si la banque refuse ? Recours judiciaire

Si la banque persiste dans son refus, vous disposez de plusieurs voies :

• Médiateur bancaire : gratuit, délai moyen 3 mois. Saisine en ligne.
• Action en justice : Tribunal judiciaire (jusqu’à 10 000€) ou Tribunal de proximité. Avec un avocat, vous pouvez obtenir des dommages et intérêts supplémentaires.
• Injonction de payer : procédure rapide si la créance n’est pas contestée sérieusement.

En 2026, les tribunaux sont particulièrement sensibles à l’absence de sécurisation renforcée (2FA, SMS de confirmation). Si votre banque n’a pas proposé d’authentification forte, le remboursement en cas d'arnaque par phishing email est quasiment automatique.

Jurisprudence : TJ Lyon, 12 janvier 2026, n° 11-25-0004 : « La banque qui n’a pas mis en place de dispositif de détection d’anomalie de connexion engage sa responsabilité contractuelle. » Remboursement intégral + 800€ de dommages.

5. Jurisprudence 2026 : arrêt de la Cour d’appel de Paris (11 février 2026)

Dans un arrêt majeur, la Cour d’appel de Paris (RG 25/07834) a confirmé le droit au remboursement d’une victime de phishing ayant saisi ses codes sur un faux site « Impôts.gouv ». La banque invoquait une négligence grave, mais la cour a retenu que le site frauduleux était quasi identique au site officiel, et que la banque n’avait pas alerté le client par SMS.

Points essentiels de l’arrêt :

• La charge de la preuve de la négligence grave incombe à la banque.
• Le défaut d’alerte en temps réel (absence de notification push) constitue un manquement.
• Le client doit être remboursé sous 48h, peu importe qu’il ait « volontairement » communiqué ses identifiants.

6. Négligence grave : mythe ou réalité ?

Le concept de « négligence grave » est souvent utilisé par les banques pour échapper à leur obligation de remboursement. Mais en 2026, les juges sont stricts :

❌ N’est pas une négligence grave :

• Cliquer sur un lien d’un email bien imité (logo, adresse similaire).
• Saisir son mot de passe sur une page qui ressemble à celle de sa banque.
• Ne pas avoir activé une option de sécurité non obligatoire.

✅ Peut être considéré comme négligence grave :

• Communiquer son code de carte bancaire à un tiers par téléphone après un appel non sollicité.
• Ignorer délibérément plusieurs alertes de sécurité.

Maître Renard : « Dans 90% des dossiers de phishing email que je traite, la banque finit par rembourser après une mise en demeure solide. La négligence grave est rarement retenue. »

7. Textes applicables : le socle juridique

Voici les textes essentiels pour exiger votre remboursement en cas d'arnaque par phishing email :