Un SMS en apparence anodin. Un lien qui semble provenir de votre banque, de La Poste ou des douanes. Un appel, quelques heures plus tard, d'un prétendu conseiller bancaire qui connaît votre nom, votre numéro de carte et le montant de votre dernier virement. Puis des opérations validées dans l'urgence, et un compte vide. Ce scénario, des millions de Français l'ont vécu. La bonne nouvelle : la jurisprudence récente reconnaît largement le droit au remboursement des victimes.

I. Les différentes formes du smishing

Le smishing (contraction de SMS et phishing) désigne toute tentative d'escroquerie initiée par un message texte frauduleux. Les variantes sont nombreuses, mais leur logique commune est identique : créer une urgence, usurper une identité de confiance et vous conduire à cliquer sur un lien malveillant ou à communiquer vos coordonnées bancaires. Pour mesurer l'ampleur du phénomène, consultez notre article sur la fraude au faux conseiller bancaire : un phénomène de masse.

A. Faux SMS bancaires

Le message simule une alerte sécurité de votre établissement : tentative de connexion suspecte, opération à valider, carte bloquée. Le lien intégré redirige vers un site clone de votre banque, techniquement indiscernable de l'original, où vous êtes invité à saisir vos identifiants. Ces données sont captées en temps réel par les escrocs. Dans les cas les plus sophistiqués, le SMS s'insère directement dans le fil de conversation légitime de votre banque grâce à la technique du spoofing de numéro d'expéditeur. Pour comprendre ce mécanisme, voir notre article sur le spoofing, une menace grandissante.

B. Faux SMS de livraison : Colissimo, Chronopost, DHL

Le message vous informe d'un blocage de colis et vous demande de régler quelques euros de frais de douane ou d'étiquetage via un lien. Le site vers lequel vous êtes redirigé reproduit avec précision l'interface du vrai transporteur. Vous y saisissez vos coordonnées de carte bancaire, convaincu de débloquer votre livraison. Ces données sont immédiatement exploitées pour des achats frauduleux.

C. Faux SMS administratifs : Ameli, impôts, ANTAI

Ces messages usurpent l'identité de l'Assurance Maladie, de la Direction générale des finances publiques ou de l'ANTAI pour les amendes. Ils vous demandent de mettre à jour votre carte Vitale, de renseigner un nouveau RIB pour continuer à percevoir vos remboursements, ou de régulariser une contravention avant une majoration. L'efficacité de ces arnaques repose sur l'anxiété générée par leur objet : santé, obligations fiscales, amendes.

II. Du smishing à l'arnaque au faux conseiller : la fraude en cascade

A. Le mécanisme

Dans les heures ou les jours qui suivent le clic sur le lien frauduleux, la victime reçoit un appel d'un individu se présentant comme son conseiller bancaire. Grâce au spoofing téléphonique, le numéro affiché est parfois même celui de l'agence. L'escroc connaît le nom, le numéro de carte et l'établissement bancaire de la victime. Il l'informe d'une fraude en cours et la convainc de valider des opérations de « mise en sécurité ». La victime, dont la vigilance est neutralisée par la crédibilité de l'interlocuteur, agit en toute confiance.

La Cour de cassation a analysé ce mécanisme dans son arrêt de principe du 23 octobre 2024 (n° 23-16.267, publié au Bulletin) : lorsque le mode opératoire a précisément pour effet de diminuer la vigilance du client (numéro usurpé, données personnelles exactes, urgence simulée), aucune négligence grave ne peut lui être imputée.

B. Votre droit au remboursement

L'article L.133-18 du Code monétaire et financier impose à votre banque de vous rembourser immédiatement les opérations non autorisées que vous lui avez signalées. La banque ne peut écarter cette obligation qu'en prouvant votre négligence grave, c'est-à-dire un comportement manifestement imprudent de votre part.

Or, un SMS nominatif sans anomalie grossière apparente ne présente pas de tels indices. Surtout, dans son arrêt du 23 octobre 2024 (n° 23-16.267), la chambre commerciale a expressément jugé qu'aucune négligence grave ne peut être imputée au titulaire d'un compte contacté téléphoniquement par une personne se faisant passer pour un préposé de sa banque dont le numéro s'affichait.

La procédure pour obtenir remboursement se déroule en quatre étapes.

• Étape 1 : Opposition immédiate. Contactez sans délai votre banque via le numéro officiel inscrit sur votre carte bancaire (et non celui du SMS) pour faire opposition sur votre compte et vos cartes.

• Étape 2 : Dépôt de plainte. Rendez-vous au commissariat ou à la brigade de gendarmerie pour déposer une plainte pour escroquerie (art. 313-1 C. pén.) et usurpation d'identité (art. 226-4-1 C. pén.). Conservez précisément le SMS comme pièce à conviction.

• Étape 3 : Contestation écrite auprès de la banque. Adressez une lettre recommandée avec accusé de réception à votre banque, en invoquant l'article L.133-18 du Code monétaire et financier et en demandant le remboursement immédiat des sommes débitées.

• Étape 4 : Recours en cas de refus. Si la banque refuse de rembourser en invoquant votre négligence grave, consultez sans attendre un avocat expert pour engager une action en justice.

Vous avez été victime d'un smishing ou d'une arnaque au faux conseiller ? Agissez sans attendre.

Chez Avofraudes, Maître Lyron Nataf et Maître Benjamin Taïeb accompagnent les victimes de fraude bancaire dans leurs démarches amiables et contentieuses face aux établissements bancaires.

Nos domaines d'intervention :

• Analyse de votre dossier et identification des fautes de la banque

• Mise en demeure et négociation amiable avec l'établissement bancaire

• Procédure judiciaire devant le tribunal judiciaire ou en appel

• Constitution du dossier de plainte pénale

Consultez-nous pour évaluer vos chances d'obtenir remboursement.

Pour approfondir, consultez nos articles sur la fraude au faux conseiller bancaire : un phénomène de masse, l'arnaque à la fausse carte bancaire livrée à domicile et l'arnaque au faux RIB.

Questions fréquentes

• Le SMS contenait mon nom : est-ce que cela signifie que ma banque a été piratée ?

Pas nécessairement. Les escrocs obtiennent vos données personnelles via des fuites de bases tierces (e-commerce, transporteurs, mutuelles) ou via des logiciels malveillants installés sur votre appareil. La présence de votre nom dans le SMS ne prouve pas une faille de votre banque, mais elle renforce l'argument selon lequel votre vigilance a été normalement exercée.

• La banque invoque ma négligence grave pour refuser le remboursement : que faire ?

C'est la réponse type des établissements bancaires. Mais depuis l'arrêt Cass. com. 23 octobre 2024 (n° 23-16.267), la jurisprudence encadre strictement cette notion. Si le SMS ne présentait pas d'anomalie grossière (fautes manifestes, expéditeur inconnu) et que l'appel du prétendu conseiller affichait un numéro officiel de votre banque, le refus est très probablement contestable. Un avocat expert peut analyser votre dossier et engager les démarches appropriées.

• Quel est le délai pour contester une opération issue d'un smishing ?

L'article L.133-24 du Code monétaire et financier fixe un délai de 13 mois à compter de la date de débit pour contester une opération non autorisée auprès de votre banque. Passé ce délai, toute demande de remboursement est irrecevable. N'attendez pas : agissez dès la découverte de la fraude.

• Dois-je porter plainte avant de contacter ma banque ?

Non. La contestation auprès de votre banque (art. L.133-18 CMF) est indépendante du dépôt de plainte pénale. Vous pouvez et devez effectuer les deux démarches en parallèle. Le récépissé de plainte constitue cependant une pièce utile au soutien de votre dossier de remboursement.