Victime de phishing : comment se faire rembourser et porter plainte en 2026

1. Les premiers gestes qui sauvent votre remboursement

Le temps est votre pire ennemi. Les 24 premières heures sont cruciales. Voici la check-list à exécuter immédiatement.

1.1 Faire opposition sans attendre

Composez le 0 800 200 389 (opposition carte bancaire, service gratuit) ou le numéro d’urgence de votre banque. Ne passez pas par le numéro indiqué dans un SMS ou un email : rappelez le numéro officiel. Demandez le blocage de votre carte et de vos accès en ligne. Notez la date, l’heure et le nom de l’opérateur.

1.2 Collecter les preuves numériques

Faites des captures d’écran du message frauduleux (email, SMS, pop-up), de l’URL complète, de l’en-tête de l’email (headers). Conservez les logs de connexion. Si vous avez transféré de l’argent, notez le RIB du destinataire (IBAN). Toute preuve d’authenticité du message (logo, adresse usurpée) renforce votre dossier.

1.3 Déposer un signalement sur cybermalveillance.gouv.fr

Ce signalement officiel fait foi et constitue un premier élément de preuve. Il permet également d’obtenir un numéro de dossier qui sera utile pour la banque et la plainte.

« J’ai vu des banques refuser le remboursement parce que la victime avait attendu 48h pour signaler l’incident. L’opposition immédiate est la preuve de votre diligence. Sans elle, la banque vous opposera une négligence grave. »

— Maître Delphine R., avocate en droit bancaire, EscrocAvocat.fr

2. Pourquoi la banque refuse-t-elle souvent ? (et comment contrer ses arguments)

Les établissements bancaires invoquent systématiquement la « négligence grave » de la victime pour se soustraire à l’obligation de remboursement (art. L133-19 du Code monétaire et financier). En 2026, la jurisprudence a considérablement restreint cette exception.

2.1 Les arguments les plus fréquents des banques

• « Vous avez communiqué vos codes » : la banque estime que vous avez violé l’obligation de confidentialité. Mais la loi exige une négligence « d’une particulière gravité » (Cass. com., 12 janv. 2025, n°24-10.045).
• « Vous n’avez pas vérifié l’URL » : une simple erreur d’inattention ne constitue pas une négligence grave si le site était une copie quasi parfaite.
• « Vous avez validé une transaction avec un code 3D Secure » : la Cour de cassation a jugé en 2025 que le seul fait de valider un SMS ne suffit pas à caractériser la négligence grave, surtout si le SMS lui-même était frauduleux (Cass. com., 5 nov. 2025, n°24-15.678).

2.2 Comment démontrer l’absence de négligence grave

Vous devez prouver que vous avez agi en « consommateur normalement prudent ». Pour cela :

• Montrez que le message frauduleux imitait parfaitement l’identité visuelle de votre banque.
• Prouvez que vous n’avez pas communiqué vos codes à un tiers (mais que le site les a interceptés).
• Faites valoir que la banque elle-même n’a pas sécurisé ses systèmes (absence de filtrage anti-phishing).

« En 2025, j’ai obtenu le remboursement intégral d’un client qui avait pourtant validé un virement de 12 000 € après un faux appel de sa banque. La justice a considéré que la technique de spoofing (usurpation du numéro) était si sophistiquée qu’aucune personne normale n’aurait pu détecter l’arnaque. »

— Maître Jérôme L., avocat spécialisé en cybercriminalité

3. Le cadre légal : quels textes protègent la victime de phishing ?

Le droit français et européen offrent une protection robuste, à condition de connaître les textes précis. Voici les articles à citer dans votre réclamation.

3.1 L’obligation de remboursement de la banque

Article L133-19 du Code monétaire et financier : « En cas d’opération de paiement non autorisée, le payeur a droit à la restitution immédiate du montant de l’opération. » La banque doit rembourser sous 24h, sauf négligence grave. Depuis la transposition de la DSP2, la charge de la preuve pèse sur la banque (elle doit prouver votre négligence).

3.2 L’exception de négligence grave (et sa portée limitée)

Article L133-19-1 : « La négligence grave du payeur le prive du droit à remboursement. » Mais la jurisprudence de 2025-2026 est très stricte : une simple imprudence ne suffit pas. Il faut un comportement « d’une particulière gravité » (Cass. com., 12 janv. 2025, n°24-10.045).

3.3 La protection contre les opérations non autorisées

Directive (UE) 2015/2366 (DSP2) : obligation d’authentification forte (3D Secure). Si la banque n’a pas imposé une authentification forte, elle est automatiquement responsable (CJUE, 11 sept. 2025, aff. C-456/24).

« Beaucoup de victimes ne citent pas les textes dans leur réclamation. Or, une lettre recommandée avec AR qui mentionne précisément l’article L133-19 et la jurisprudence récente a un effet dissuasif sur la banque. Elle sait que vous êtes conseillé. »

— Maître K. S., avocat chez EscrocAvocat.fr

4. La procédure de réclamation bancaire pas à pas

Avant de saisir la justice, vous devez suivre un parcours obligatoire. Voici les étapes clés.

4.1 La lettre de réclamation recommandée avec AR

Adressez-la au service client de votre banque, puis copie au service juridique. Incluez :

• Vos coordonnées, numéro de compte, date et montant des opérations contestées.
• Le récit chronologique des faits.
• Les preuves (captures d’écran, signalement cybermalveillance, opposition).
• La citation des textes (L133-19, etc.) et de la jurisprudence.
• La demande explicite de remboursement sous 8 jours.

4.2 Le délai de réponse et le refus implicite

La banque a 15 jours pour répondre. Si elle refuse ou ne répond pas, saisissez le médiateur bancaire. Attention : le délai pour agir en justice est de 13 mois à compter de l’opération (art. L133-24 CMF). Passé ce délai, vous perdez tout droit.

5. Porter plainte : quand, où et avec quelles chances ?

La plainte pénale n’est pas une condition préalable au remboursement, mais elle renforce considérablement votre dossier civil.

5.1 Plainte simple ou plainte avec constitution de partie civile

Vous pouvez déposer plainte auprès du commissariat de police ou de la gendarmerie. En 2026, la plupart des services ont une brigade spécialisée cyber. Si vous voulez obtenir des dommages et intérêts en plus du remboursement, optez pour une plainte avec constitution de partie civile (via un avocat).

5.2 Les chances d’aboutir

Les enquêtes pour phishing aboutissent rarement à l’identification des fraudeurs (souvent basés à l’étranger). Mais la plainte sert à :

• Prouver que vous avez dénoncé les faits rapidement (bonne foi).
• Permettre au juge civil de condamner la banque même sans auteur identifié.
• Ouvrir droit à l’indemnisation par le FGTI (Fonds de Garantie des Victimes) si l’auteur est inconnu.

« En 2025, une victime a obtenu 15 000 € de dommages et intérêts en plus du remboursement, car la banque avait refusé de prendre en compte sa plainte. Le juge a considéré que la banque avait manqué à son devoir de vigilance. »

— Maître A. M., avocat pénaliste

6. Les recours après un refus : médiation, action en justice, EscrocAvocat.fr

Si la banque persiste dans son refus, vous avez plusieurs options.

6.1 La médiation bancaire (gratuite)

Saisissez le médiateur de votre banque (obligatoire avant tout procès). Délai : 3 mois. En 2025, le médiateur a donné raison aux victimes dans 68 % des cas de phishing (rapport annuel 2025).

6.2 L’action en justice (tribunal judiciaire)

Si le montant est inférieur à 10 000 €, vous pouvez saisir le tribunal de proximité sans avocat. Au-delà, l’avocat est obligatoire. Les délais sont de 6 à 12 mois. Les frais d’avocat sont souvent récupérables sur la banque si vous gagnez.

6.3 L’accompagnement par EscrocAvocat.fr

Notre cabinet propose une première consultation gratuite pour évaluer vos chances. Nous gérons l’intégralité de la procédure : lettre de mise en demeure, médiation, assignation. Nous travaillons au forfait ou au pourcentage des sommes récupérées. Contactez-nous dès maintenant.

« La médiation est une étape obligatoire, mais elle n’est pas toujours suffisante. Si la banque est de mauvaise foi, il faut aller au tribunal. Nous avons un taux de succès de 92 % en première instance. »

— Maître C. B., fondateur d’EscrocAvocat.fr

7. Cas pratiques : phishing SMS, faux conseiller, usurpation de site

Chaque type de phishing a ses particularités. Voici trois scénarios réels avec les solutions appliquées.

7.1 Phishing par SMS (smishing)

Un faux SMS « Votre compte est bloqué » avec un lien. Vous cliquez, entrez vos codes, et un virement de 500 € est effectué. Solution : Opposition immédiate, signalement, lettre à la banque. En 2026, la jurisprudence considère que le SMS frauduleux est une technique de plus en plus sophistiquée, et la négligence grave est rarement retenue (TGI Paris, 5 fév. 2026, n°25-01234).

7.2 Faux conseiller bancaire (vishing)

Un appel avec spoofing du numéro de votre banque. Le faux conseiller vous demande de valider un virement « de sécurité ». Solution : Ne jamais valider. Si vous l’avez fait, prouvez que le numéro était usurpé (demandez l’enregistrement à la banque). La banque doit rembourser si elle n’a pas mis en garde contre cette technique (Cass. com., 12 janv. 2025).

7.3 Usurpation de site de banque

Un site clone parfait de votre banque. Vous entrez vos identifiants. Solution : Capture d’écran du site frauduleux, comparaison avec le site officiel. Faites constater l’usurpation par un huissier (preuve irréfutable). La banque est responsable si elle n’a pas sécurisé son nom de domaine (CJUE, 11 sept. 2025).

« Dans l’affaire du faux conseiller, la banque a été condamnée à rembourser 18 000 € avec intérêts, car elle n’avait pas formé ses employés à détecter le spoofing. La négligence grave était du côté de la banque, pas du client. »

— Maître E. F., avocat chez EscrocAvocat.fr

8. FAQ : toutes vos questions sur le remboursement après phishing