Lorsqu’une opération bancaire n’a pas été autorisée par le client, elle doit en principe lui être remboursée. Pour s’y opposer en invoquant une « négligence grave », la banque doit en apporter la preuve. Dans la pratique, cette exception légale tend pourtant à devenir une réponse presque systématique aux victimes de phishing.

Une chronique d’Aurélie Jonkers, avocate en droit bancaire et financier à Bruxelles, publiée initialement dans La Libre Belgique le 5 septembre 2026 et adaptée par l’autrice pour son site.

Cela commence presque toujours de la même manière. Un message reprend le logo, la typographie et le ton de la banque. Un lien ouvre une interface identique à celle que le client utilise depuis des années. Parfois, un appel s’affiche sous le véritable numéro de l’établissement. Une voix calme connaît déjà les dernières opérations du compte et explique qu’un incident technique est en cours.

Rien ne cloche, précisément parce que tout a été construit pour que rien ne cloche.

Le premier choc arrive ensuite, lorsque la victime ouvre son application ou reçoit une notification : son compte a été vidé. En quelques minutes, ou par virements successifs étalés sur une nuit, l’épargne d’une vie, la trésorerie d’un indépendant ou l’argent réuni pour un logement disparaît.

Après le phishing, le second choc : le refus de remboursement de la banque

La victime fait alors tout ce qu’elle est censée faire. Elle bloque ses cartes et ses accès, avertit sa banque sans délai, dépose plainte, rassemble les pièces disponibles et introduit une demande de remboursement. Puis elle attend, parfois durant des semaines.

Le second choc survient lorsqu’elle reçoit enfin une réponse : un courrier bref, souvent standardisé, refuse tout remboursement au motif d’une « négligence grave » du client. Deux mots, et le dossier paraît clos.

« Une exception légale, conçue comme étroite, est devenue en pratique la réponse par défaut. »

C’est cette seconde violence qu’il faut dénoncer. Non pas la fraude elle-même, qui relève d’une criminalité organisée et sophistiquée, mais la manière dont une exception légale tend à être opposée automatiquement aux victimes.

Opération bancaire non autorisée : quel est le principe ?

Le principe est pourtant clair : lorsqu’une opération de paiement n’a pas été autorisée par le client, la banque doit, en règle générale, lui en rembourser le montant.

Une opération n’est pas nécessairement autorisée parce qu’elle a été techniquement authentifiée au moyen d’une application bancaire, d’un code ou d’un autre instrument de paiement. L’utilisation de cet instrument ne suffit pas, à elle seule, à démontrer que le client a réellement consenti à l’opération.

Le Code de droit économique encadre ces situations, notamment dans ses articles VII.38 à VII.45. Il impose également des obligations au client : utiliser ses moyens de paiement conformément aux conditions applicables, protéger ses données de sécurité et signaler sans délai toute perte, tout détournement ou toute utilisation non autorisée.

Chaque dossier doit néanmoins être examiné en fonction de ses circonstances précises. Toutes les escroqueries ne relèvent pas nécessairement du même régime juridique, notamment lorsque la victime a elle-même effectué un virement en pensant payer une personne ou une entreprise légitime.

La « négligence grave » ne se présume pas

La négligence grave constitue une exception au principe de remboursement. Or, une exception ne se présume pas : c’est à la banque qui l’invoque de l’établir, faits à l’appui et au regard du dossier concerné.

Le simple fait que l’opération ait été réalisée depuis l’application bancaire du client, ou que ses données de sécurité aient été utilisées, ne suffit pas en soi à prouver qu’il a voulu l’opération ni qu’il a gravement manqué à son obligation de vigilance.

Il faut examiner concrètement le scénario de fraude : le contenu des messages reçus, l’usurpation éventuelle du numéro de téléphone de la banque, la reproduction de son interface, les informations que l’escroc possédait déjà, les validations demandées, la rapidité de la réaction du client et le caractère inhabituel des opérations.

« Reprocher à quelqu’un de ne pas avoir vu ce qui a été conçu pour être invisible, c’est déplacer sur la cible la responsabilité d’une industrie de la fraude. »

Dans les faits, l’exception est trop souvent traitée comme la règle. Les victimes reçoivent une décision de refus sans toujours disposer d’une analyse individualisée ni des éléments techniques détenus par la banque.

Pourquoi tant de victimes de phishing renoncent-elles à agir ?

Face au refus de remboursement, la victime doit contester la position de la banque et, si aucune solution n’est trouvée, envisager une procédure. Elle doit avancer des honoraires, accepter un aléa, patienter plusieurs mois et parfois affronter une expertise technique portant sur des informations qu’elle ne détient pas : journaux de connexion, données d’authentification ou historique détaillé des opérations.

Elle doit accomplir toutes ces démarches juste après avoir perdu 3 000, 8 000, 20 000 euros ou davantage.

« On demande à quelqu’un qui vient d’être dépouillé de payer une seconde fois pour espérer récupérer la première. »

En face, la disproportion des moyens est évidente. Une banque dispose d’un service juridique, de conseils permanents et d’équipes habituées à traiter ces dossiers. Le coût d’une procédure n’a pas, pour elle, le même poids que pour un particulier ou un indépendant qui vient de subir une perte importante.

Le refus de la banque risque ainsi de devenir, dans les faits, une décision définitive prise par une partie dans sa propre cause, sans qu’aucun juge n’ait examiné le dossier.

Remboursement d’abord, contestation ensuite

C’est cette charge qu’il faut renverser. Lorsqu’une opération n’a pas été autorisée, la banque doit rembourser dans le délai prévu par la loi, sans subordonner ce remboursement à sa propre appréciation du comportement de son client.

Si elle considère ensuite que le client a commis une négligence grave, il lui appartient d’en apporter la preuve et, le cas échéant, de réclamer la restitution des sommes devant le tribunal. Le risque du procès, son coût et sa durée pèsent alors sur celui qui invoque l’exception et qui dispose des moyens de l’établir.

Un juge des référés a récemment suivi cette logique dans le dossier d’un couple âgé victime d’une fraude de 50 000 euros : remboursement d’abord, contestation ensuite. Il ne s’agit pas d’une faveur accordée aux victimes, mais de l’ordre logique des choses lorsque l’exception doit être prouvée par celui qui l’invoque.

Le phishing ne touche pas uniquement les personnes âgées

Il faut également en finir avec l’idée rassurante selon laquelle le phishing ne concernerait que les personnes âgées. Celles-ci sont effectivement ciblées et les conséquences peuvent être dramatiques lorsqu’une épargne constituée pendant toute une vie disparaît.

Mais les dossiers ne révèlent aucun profil unique. Les victimes peuvent être des indépendants pressés, des employés qui valident une opération entre deux réunions, des trentenaires parfaitement à l’aise avec le numérique, mais aussi des juristes ou des informaticiens.

L’usurpation du numéro de la banque, la reproduction fidèle d’une interface et la connaissance par l’escroc des dernières opérations rendent certaines fraudes extrêmement difficiles à détecter. La sophistication du procédé doit faire partie de l’analyse du comportement de la victime.

Rien de cela ne revient à demander aux banques de rembourser indistinctement toute opération contestée. La fraude commise par un client existe, tout comme la négligence grave. Il s’agit simplement d’exiger que l’exception redevienne une exception : motivée dossier par dossier, prouvée par celui qui s’en prévaut et tranchée par un juge lorsqu’elle est contestée.

La vraie question n’est pas de savoir si le phishing peut vous arriver. Il peut arriver à n’importe qui, et il arrive tous les jours. La question est de savoir ce qui se passe le lendemain.

Victime de phishing : que faire immédiatement ?

Si vous constatez une opération bancaire suspecte ou non autorisée :

1. Contactez immédiatement votre banque pour signaler la fraude et demander le blocage de vos accès bancaires.
2. Appelez Card Stop au 078 170 170 si une carte bancaire est concernée. Vérifiez séparément auprès de votre banque que l’application et les autres instruments de paiement sont également bloqués.
3. Déposez plainte auprès de la police et conservez le numéro du procès-verbal.
4. Contestez les opérations par écrit auprès de votre banque et conservez la preuve de cet envoi.
5. Rassemblez toutes les pièces utiles : SMS, courriels, captures d’écran, numéros de téléphone, historique des appels, relevés bancaires et courriers de la banque.
6. Ne supprimez aucun message, même s’il vous semble désormais évident qu’il était frauduleux.
7. Faites analyser rapidement votre dossier si la banque refuse le remboursement ou invoque une négligence grave.

Votre banque refuse de vous rembourser après un phishing ?

Un refus de remboursement ne signifie pas nécessairement que la position de la banque est juridiquement fondée. La qualification d’opération non autorisée, la preuve d’une éventuelle négligence grave et le respect des obligations de chaque partie nécessitent une analyse individualisée.

Maître Aurélie Jonkers accompagne les particuliers et les professionnels confrontés à une fraude bancaire, à une opération non autorisée ou au refus de remboursement de leur banque. Elle peut examiner les circonstances de la fraude, les échanges avec l’établissement bancaire et les recours envisageables.

Bouton : Prendre rendez-vous

Les informations figurant sur cette page sont générales et ne constituent pas un avis juridique adapté à une situation particulière. Chaque dossier doit être examiné au regard de ses faits et des pièces disponibles.