Cet article s’adresse avant tout :
- Aux particuliers ;
- Victimes d’une fraude d’un certain montant ;
- aux victimes d’une fraude réalisée à distance ;
- au victimes d’une fraude réalisée au moyen d’un virement, d’une carte bancaire ou d’un prélèvement.
Toute personne pourra néanmoins y trouver des renseignements utiles, y compris les professionnels. Il conviendra bien sûr de les compléter par une analyse précise de votre situation.
En première partie de l’article, vous trouverez une liste de recommandations génériques à mettre en œuvre en cas de fraude. En seconde partie, sont abordés les suites de la fraude, et notamment les dispositifs permettant de mettre en jeu la responsabilité de la banque.
Quelques précisions sont nécessaires au préalable.
Le terme de fraude bancaire renvoie généralement à ce que le Code pénal qualifie d’escroquerie. Cette infraction est punie de 5 ans d’emprisonnement et de 375 000 euros d’amende (Code pénal art. 313-3).
On peut distinguer deux grandes catégories d’escroqueries :
- Les escrocs vont parvenir à utiliser un moyen de paiement de la victime, pour transférer des fonds depuis son compte bancaire vers celui d’un complice. Ils peuvent agir, par exemple, en se connectant à l’espace en ligne du site internet de la banque, en subtilisant une carte bancaire ou en instaurant un prélèvement automatique ;
- La victime réalise elle-même une opération de paiement sans avoir conscience qu’elle transfère des fonds à un escroc.
Le terme « banque » sera ici employé pour désigner toute entité que la loi qualifie de « prestataire de services de paiement » (Code Monétaire et Financier, ci-après "CMF", art. L521-1). Il comprend notamment les établissements bancaires classiques, les néo-banques ou encore les applications de paiement.
I. Comment réagir ?
A. En permanence, à partir de la découverte de la fraude.
1. Etat d’esprit.
La découverte de la fraude est un choc.
De plus, une victime a généralement commis une ou plusieurs actions qui ont contribué à l’escroquerie. Le choc initial peut donc se doubler d’un sentiment de culpabilité.
Ici, il faut rappeler que la victime est une victime avant d’être une personne fautive. Elle a subi les manoeuvres des escrocs. Ceux-ci profitent des failles des organisations (entreprises, banques ou autre). Ils exploitent les vulnérabilités de chacun, qu’elles soient personnelles (fatigue, ignorance ou âge par ex.) ou communes à tous (ex. : inattention, réactions irréfléchies dans des situations d’urgence ou de peur).
Pour la victime, il est important de ne pas se plonger dans un état de sidération ou de se couper son environnement. Les escroqueries concernent toute la société.
Surtout, les victimes ne sont pas sans protection. C’est en ce sens qu’il faut agir.
2. Rassembler les preuves, les conserver.
Dès le départ, il faut collecter les preuves de l’escroquerie. Tout élément est à enregistrer et conserver : captures d’écran de site internet, de l’historique d’appel, emails échangés avec tout interlocuteur (y compris la banque), relevés, etc.
L’objectif premier sera d’établir une chronologie détaillée des faits, si possible avec un élément de preuve attestant de chaque événement.
Le moment venu, on s’interrogera bien sûr sur l’opportunité de se faire assister par un tiers tel qu’un expert ou un huissier.
B. Etapes à suivre.
1. Signaler les opérations de paiement à la banque.
Il est indispensable de signaler immédiatement à la banque tout débit suspect. Pour reprendre les termes de la loi, il s’agit de « signaler une opération de paiement non autorisée ». Dans les premiers instants de la découverte, on veillera surtout à indiquer à la banque que les opérations n’ont pas été autorisées, et à donner les informations qui permettent d’empêcher les escrocs d’agir à nouveau. La description précise des circonstances de l’escroquerie peut attendre une étape ultérieure.
La victime doit appeler le service des fraudes de sa banque, joignable à toute heure. Les établissements enregistrent en principe ce type d’appel et peuvent en fournir une retranscription au besoin. Néanmoins, il est recommandé de toujours, juste après l’appel, adresser un court email qui résume l’échange à son conseiller.
Il convient également de demander immédiatement le rappel des fonds. Selon les cas, des procédures bancaires peuvent exister, aux résultats malheureusement souvent décevants.
Attention, les escrocs peuvent reprendre contact avec la victime en se faisant passer pour le service des fraudes de la banque. Ils sont, pour le moment, en mesure d’imiter le numéro de téléphone de la banque (technique du « spoofing »).
On prendra garde :
- À se rendre dès que possible en personne à son agence ;
- Au minimum à être l’interlocuteur qui a initié l’appel, quitte à indiquer à l’employé de banque que vous souhaitez le rappeler au numéro de son service, à retrouver soi-même sur le site internet de la banque.
2. Mesures de protection ("d’endiguement").
Dès le signalement, la banque doit prendre des mesures pour éviter toute autre débit frauduleux. Elle pourra par exemple bloquer l’accès aux comptes pendant un temps. Faire opposition à la carte bancaire bancaire ou désactiver des dispositifs de sécurité compromis peut s’imposer également.
La victime ne négligera pas de modifier ses différents mots de passe. Par précaution, il faudra changer les codes secrets de ses comptes de messagerie électronique, de France connect, etc.
En cas soupçon d’une intrusion informatique, il sera nécessaire d’adopter des mesures de quarantaine. On déconnectera ses appareils et cessera de les utiliser.
3. Faut-il prendre contact avec un avocat et/ou un expert en sécurité informatique ?
La réponse dépendra bien sûr des faits.
Néanmoins, solliciter un premier avis n’est pas forcément coûteux. Un spécialiste pourra a minima vous éclairer sur ce qu’il peut vous apporter.
Un avocat pourra assister sur plusieurs plans.
Dans les premiers instants, il conseille la victime sur la conduite à tenir et le contenu de ses déclarations. Un point important, car ces déclarations peuvent s’avérer déterminantes ultérieurement.
Par la suite, l’avocat renseigne la victime sur ses droits, analyse les chances de succès en cas de procédure, et accompagne dans les démarches.
Enfin, l’avocat recommande les mesures de conservation de preuves. Par exemple, la victime peut avoir été trompée par un faux site internet de banque, sur lequel elle aura inscrit ses codes confidentiels. Plutôt que de se contenter d’une capture d’écran du site, aisément falsifiable, on aura alors recours à un constat d’huissier.
L’avocat examinera votre dossier, pour établir s’il est requis d’investir dans de telles mesures. Ces dernières peuvent d’ailleurs s’avérer inutiles car, dans certains cas, il revient plutôt à la banque d’apporter des preuves.
Le recours à un expert informatique est fortement recommandé en cas de soupçon d’intrusion dans un système informatique.
Il pourra, par exemple :
- Extraire et conserver des preuves ;
- Retracer l’origine d’une intrusion, un enjeu important par exemple lorsque plusieurs personnes ou organisations se trouvent impliquées dans la fraude ;
- S’assurer que l’escroc ne se maintient pas dans le système informatique et ne procèdera pas à d’autres infractions.
On précisera cependant qu’il peut arriver que, contrairement au ressenti de la victime, l’intrusion soit très limitée. Les escrocs peuvent en effet avoir collecté les données dont ils se sont servis sur le web (ou le dark web).
4. Porter plainte.
Il faudra bien sûr porter plainte, au plus vite. La victime pourra se rendre au commissariat, effectuer la démarche en ligne, ou encore en adresser un courrier au Procureur de la République.
Dans un premier temps, il est recommandé de limiter ses déclarations à la description de la découverte de la fraude et aux éléments certains. La plainte pourra être complétée dans un second temps, avec les éléments utiles qui auront été collectés.
5. Vérifier ses assurances.
Il n’est pas exclu que la victime ait souscrit une assurance qui :
- soit couvre tout ou partie des pertes ;
- soit donne accès à une protection juridique.
Il faut immédiatement dresser l’inventaire de ses assurances et consulter les documents contractuels.
Les particuliers pourront se reporter utilement au document de synthèse fourni par leur assureur. Celui-ci présente de manière pédagogique les garanties sur une ou deux pages.
Les assurances contre les « cyber risques » ne comportent pas toujours de garantie contre les escroqueries bancaires. On vérifiera néanmoins ce point. Pour les professionnels, le dépôt de plainte dans les 72 heures est obligatoire pour en bénéficier.
6. Retracer le cheminement de l’escroquerie.
Cette étape peut être courte. Néanmoins, il subsiste souvent une part d’inconnue.
On n’hésitera pas à passer du temps à rechercher un hameçonnage. Il faudra rechercher un email ou autre message qui aura imité celui d’un interlocuteur de confiance (banque, site grand public, administration, client, ou même famille et amis) et amené à divulguer des informations confidentielles (identifiants bancaires notamment).
Ce travail est important, car il permet d’identifier le degré de complexité des manoeuvres utilisées par les escrocs. Dans certaines affaires, les juges ont pu estimer que les manoeuvres des escrocs ont été telles que la victime n’avait pas commis de négligence.
7. Adresser une réclamation formelle à sa banque.
Cette réclamation va généralement être introduite au moyen du formulaire de la banque. On pourra lui préférer la voie de la lettre recommandée avec accusé de réception.
Il est important de comprendre que la banque peut être désignée responsable de l’opération frauduleuse. Les banques sont en effet soumises à des règles et, en cas de manquement, ont l’obligation de rembourser leur client.
C’est pourquoi il est recommandé de se renseigner avant de rédiger la réclamation.
De plus, il sera nécessaire d’analyser avec attention la réponse de la banque. Les établissements bancaires sont régulièrement accusés de décliner abusivement leur responsabilité. En 2022, l’UFC Que Choisir a déposé une plainte soutenant que 12 établissements bancaires entretiennent des pratiques illégales dans ce domaine.
II. Les suites de la fraude.
A. L’enquête.
A la suite du dépôt de plainte, les autorités judiciaires pourront mener une enquête. Si les escrocs les plus chevronnés échappent souvent à la justice, il peut être intéressant d’effectuer des démarches si vous pensez les avoir identifiés.
Selon le déroulement de l’enquête, la victime a la possibilité de porter plainte avec constitution de partie civile et demander des mesures visant à collecter des preuves. L’assistance d’un avocat peut être particulièrement utile.
B. La responsabilité de la banque en matière d’opération non autorisée.
Le succès de l’escroquerie implique que les mesures de sécurité de la banque ont été contournées. C’est pourquoi la loi prévoit sa responsabilité dans certaines hypothèses.
On se contentera de décrire deux mécanismes conçus pour apporter une protection large et accessible aux victimes. D’autres dispositifs protecteurs existent, tels que l’obligation pour la banque de ne pas enregistrer les opérations présentant une anomalie apparente. Ils ne peuvent être décrits ici, faute d’espace.
La logique de ces deux mécanismes est la suivante : la victime qui signale une opération non autorisée dans les 13 mois a le droit d’en obtenir le remboursement par la banque, sous réserve des conditions énumérées plus loin. Il revient à la banque de prouver que le remboursement n’est pas dû. De plus, afin de contraindre les banques à respecter leurs obligations, la loi n°2022-1158 du 16 août 2022 impose de lourdes pénalités aux établissement qui tardent à rembourser les sommes dues.
1. Le remboursement en cas de défaut d’authentification forte (CMF art. 133-19, V.)
L’authentification forte constitue une méthode d’authentification sécurisée des clients, introduite par la deuxième directive européenne sur les services de paiement (Directive (UE) 2015/2366 dite « DSP2 », art. 97).
Sans entrer dans les exigences techniques, on retiendra que les opérations de paiement et les opérations sensibles en ligne (ex. : ajout d’un bénéficiaire) nécessitent d’être validées au moyen de deux des trois éléments qui suivent :
- un élément de connaissance (ex. : un code secret) ;
- un élément de possession (l’utilisation d’un appareil physique que détient la personne, soit généralement le téléphone mobile sur lequel est installé l’application sécurisée de la banque) ;
- un élément d’inhérence (une caractéristique propre au client, telle que la lecture de son empreinte digitale).
Par exemple, si l’escroc a pu initier sur un ordinateur l’opération de paiement avec les seuls codes secrets de la victime, l’exigence d’authentification forte n’est pas remplie. Une validation avec le téléphone portable de la victime ou un dispositif d’inhérence comme l’empreinte digitale aurait due être demandée. De plus, il est exigé que le message proposant la validation sur le téléphone comporte certaines informations à propos l’opération proposée.
Si l’authentification forte n’a pas eu lieu, ou a été défectueuse, la banque doit immédiatement rembourser la victime. Elle doit apporter elle-même la preuve que cette authentification forte a eu correctement lieu (Code Monétaire et Financier, art. L133-23).
Ce principe est tempéré par deux exceptions conséquentes :
- Le remboursement n’est pas dû si la victime est à l’origine de la fraude ;
- Les opérations jugées moins risquées sont dispensées d’authentification forte (ex. : faibles montants, virements à des bénéficiaires de confiance ou autre). Il conviendra donc de vérifier si le dispositif s’applique bien à votre cas.
2. Le remboursement de la victime qui n’a pas commis de négligence grave ou de fraude (CMF art. L133-19, IV).
Même en cas d’authentification forte, la banque a l’obligation de rembourser le paiement non autorisé, sauf deux cas de figure :
- soit la victime a commis une « négligence grave » ;
- soit la victime est en réalité l’auteur de la fraude.
On s’intéressera à la négligence grave, car les banques s’appuient très souvent sur celle-ci pour refuser aux victimes le remboursement.
On entend par « négligence », une action par laquelle la victime a manqué de l’attention, du soin ou de l’intérêt qu’on pouvait raisonnablement attendre d’elle. L’adjectif « grave » précise que cette action n’est pas banale. Il doit s’agir d’une faute importante.
La négligence grave s’apprécie en fonction des particularités de l’affaire. La notion étant difficile à définir - et variable -, on se référera surtout aux décisions des tribunaux rendues dans des cas similaires.
Les victimes bénéficient de deux protections :
- Il revient à la banque d’apporter la preuve que la victime a commis une négligence grave ;
- L’utilisation d’un instrument de paiement ne suffit pas nécessairement a prouver la négligence grave. Ainsi, la banque ne devrait pas se limiter à indiquer que les codes secrets ont été saisis pour valider une opération. Des supplémentaires éléments de contexte sont à fournir.
Il faudra donc s’interroger : la victime a-t-elle commis une négligence grave ? La banque en a-t-elle apporté la preuve ? Un exercice qui peut s’avérer difficile. En toute hypothèse, on procèdera à une lecture critique de l’avis de la banque, puisque celle-ci a tout intérêt à conclure à la négligence grave.
Pour contester un refus de remboursement, les victimes peuvent saisir le médiateur bancaire, gratuit pour les consommateurs. Enfin, elles peuvent porter l’affaire devant un tribunal.
En conclusion, les victimes disposent de droits trop souvent méconnus. En cas de fraude, elles doivent agir pour se protéger, rassembler des preuves, et faire valoir ces droits. La loi prévoit une responsabilité des banques, certes limitée, mais sur laquelle il convient de s’interroger. En cas de refus de remboursement, les démarches peuvent ensuite être longues et/ou aléatoire, mais bien déboucher sur un remboursement complet.
