Il existe un moment de bascule très précis dans une arnaque par SMS. Ce n'est pas celui où le message arrive, ni même celui où l'on clique. C'est celui, quelques secondes ou quelques heures plus tard, où l'on comprend. Le site paraissait juste, la page a « bugué », et puis un doute s'installe. On relit le message. Le numéro d'expéditeur ne ressemble plus du tout à celui de la banque.
Ce qui suit est presque toujours mal vécu et mal géré. Non par manque d'intelligence, mais parce que personne ne nous a jamais expliqué dans quel ordre agir. Faut-il appeler la banque avant ou après avoir porté plainte ? Le 33700 sert-il à quelque chose ? Une plainte a-t-elle une chance d'aboutir ? Et surtout : la banque doit-elle rembourser ?
Voici le parcours complet, tel qu'il existe réellement en France en 2026, avec les délais légaux, les textes applicables et les phrases qui font la différence face à un conseiller.
Les trois premières heures : l'ordre des priorités
La règle est simple : on commence par ce qui saigne. Les démarches déclaratives viennent après, jamais avant.
1. Bloquer les moyens de paiement
Si vous avez saisi un numéro de carte, un code à usage unique, ou vos identifiants bancaires, l'urgence absolue est l'opposition. Trois canaux, dans cet ordre d'efficacité :
- L'application bancaire, qui propose désormais presque toujours un bouton de blocage instantané de la carte ;
- Le numéro d'opposition de votre banque, indiqué au dos de la carte et sur votre espace client ;
- Le serveur interbancaire d'opposition carte bancaire, au 0 892 705 705, joignable 24h/24 si vous n'arrivez pas à joindre votre établissement.
Un point souvent ignoré : bloquer la carte ne suffit pas toujours. Si les fraudeurs ont obtenu vos identifiants de banque en ligne, ils peuvent tenter un virement. Demandez explicitement le blocage de l'accès à l'espace client et la réinitialisation des identifiants.
2. Reprendre la main sur le téléphone
Si vous avez installé une application depuis le lien, ou accordé une autorisation, considérez l'appareil comme compromis. Redémarrez-le, désinstallez ce qui a été ajouté, vérifiez les applications ayant accès aux SMS dans les réglages, et changez les mots de passe depuis un autre appareil — un ordinateur, une tablette. C'est aussi le bon moment pour envisager une clé de sécurité physique FIDO2 pour les comptes les plus sensibles : elle rend inopérante l'interception d'un code par SMS, puisqu'il n'y a plus de code à intercepter.
3. Documenter avant d'effacer
Réflexe contre-intuitif mais décisif : ne supprimez pas le message frauduleux. Faites des captures d'écran du SMS, du numéro d'expéditeur, de l'URL visitée, de l'heure, et des opérations bancaires contestées. Ces éléments constituent votre dossier. Sans eux, la plainte est une déclaration sur l'honneur ; avec eux, c'est un dossier.
Le 33700 : à quoi il sert vraiment (et à quoi il ne sert pas)
Le 33700 est le dispositif national de signalement des SMS et appels indésirables, opéré par les opérateurs français sous l'égide de l'Association Française du Multimédia Mobile. Son fonctionnement est trivial : vous transférez le SMS suspect au 33700, puis vous envoyez dans un second message le numéro de l'expéditeur.
Ce qu'il fait : il alimente une base commune permettant aux opérateurs de couper les numéros et les kits de spam utilisés massivement. Un numéro signalé des centaines de fois est neutralisé rapidement.
Ce qu'il ne fait pas : il ne traite pas votre cas personnel, ne déclenche aucune enquête sur votre préjudice, et ne vous rembourse rien. Le 33700 est un geste collectif, pas un recours individuel. Il vaut la peine d'être fait — trente secondes — mais il ne remplace aucune des étapes suivantes.
À noter également : le signalement au 33700 fonctionne pour les SMS classiques. Pour les messages passant par des applications ou par RCS, le signalement se fait dans l'application elle-même, qui dispose de ses propres mécanismes de remontée.
Signaler à la plateforme officielle : Cybermalveillance et Pharos
Deux dispositifs publics complètent le tableau, et ils ne servent pas la même chose.
Cybermalveillance.gouv.fr est le dispositif national d'assistance aux victimes d'actes de cybermalveillance, piloté par un groupement d'intérêt public associant l'État. Son parcours de diagnostic en ligne vous oriente selon votre situation (hameçonnage, usurpation, piratage de compte) et vous met en relation avec des prestataires de proximité si une intervention technique est nécessaire. C'est le bon point d'entrée si vous ne savez pas par où commencer.
Pharos, la plateforme d'harmonisation, d'analyse, de recoupement et d'orientation des signalements, est gérée par l'Office anti-cybercriminalité. Le signalement se fait sur internet-signalement.gouv.fr. Pharos reçoit les signalements de contenus et comportements illicites en ligne — sites de phishing compris. Là encore : signalement ≠ plainte.
Enfin, Perceval est le service en ligne de signalement des fraudes à la carte bancaire, accessible via FranceConnect sur service-public.fr. Il concerne spécifiquement les débits frauduleux sur une carte restée en votre possession. Le récépissé Perceval est un document utile à joindre au dossier remis à la banque.
Porter plainte : où, comment, et avec quelles chances
Contrairement à une idée tenace, le dépôt de plainte n'est jamais refusable. L'article 15-3 du Code de procédure pénale oblige les officiers et agents de police judiciaire à recevoir les plaintes, y compris hors de leur ressort territorial, et à en délivrer récépissé. Si un agent vous dit « ça ne sert à rien », la réponse est : « je souhaite néanmoins déposer plainte, merci de m'en délivrer récépissé ».
Trois voies possibles :
| Voie | Délai indicatif | Intérêt |
|---|---|---|
| Commissariat ou brigade de gendarmerie | Immédiat à quelques jours | Récépissé remis sur place, dossier constitué avec l'agent |
| Plainte en ligne (dispositif de plainte dématérialisée) | Quelques jours | Pratique, mais parfois requalifiée en main courante si le dossier est mince |
| Courrier au procureur de la République | 1 à 3 semaines | Utile en cas de préjudice important, permet de tout exposer par écrit |
Pour le courrier au procureur, adressez-vous au tribunal judiciaire du lieu de l'infraction ou de votre domicile, en recommandé avec accusé de réception. Le pli doit contenir vos coordonnées complètes, le récit chronologique daté, la qualification envisagée (escroquerie, article 313-1 du Code pénal ; collecte frauduleuse de données personnelles, article 226-18) et les pièces. Un simple classeur à archives pour documents administratifs évite de ressortir le dossier en vrac trois mois plus tard, quand l'assurance ou la banque demande une pièce complémentaire.
Sur les chances d'aboutir : soyons honnêtes. Les campagnes de smishing sont majoritairement pilotées depuis l'étranger, via des infrastructures louées et des numéros jetables. L'identification des auteurs est rare. Mais la plainte n'a pas seulement une fonction répressive : elle est la pièce maîtresse du dossier bancaire et assurantiel. Sans elle, la banque a beau jeu d'invoquer un doute sur la réalité de la fraude.
Le vrai enjeu : obtenir le remboursement
C'est ici que se joue l'essentiel, et c'est ici que la plupart des victimes s'arrêtent trop tôt, découragées par un premier refus.
Ce que dit la loi
Le Code monétaire et financier pose un principe clair. L'article L. 133-18 prévoit que, en cas d'opération de paiement non autorisée signalée par l'utilisateur, le prestataire de services de paiement rembourse immédiatement, et au plus tard à la fin du premier jour ouvrable suivant le signalement, sauf soupçon de fraude de l'utilisateur lui-même communiqué à la Banque de France.
L'article L. 133-19 limite la part supportée par le payeur, et surtout : lorsque l'opération a été réalisée sans authentification forte alors que celle-ci était requise, le payeur ne supporte aucune perte.
L'article L. 133-23 met la charge de la preuve du côté de la banque : c'est à elle de prouver que l'opération a été authentifiée, enregistrée, et n'a pas été affectée d'une déficience technique. Et le texte précise explicitement que l'utilisation de l'instrument de paiement enregistrée par le prestataire ne suffit pas nécessairement à prouver la négligence grave.
La notion de négligence grave, et le tournant de la jurisprudence
La banque n'échappe au remboursement que si elle démontre une négligence grave de votre part (article L. 133-19, IV). Longtemps, les établissements ont considéré que communiquer un code reçu par SMS constituait par nature une négligence grave.
La Cour de cassation a considérablement resserré cette interprétation. Dans une décision remarquée de sa chambre commerciale (arrêt du 12 novembre 2020, pourvoi n° 19-12.112), elle a rappelé qu'il appartient à la banque de rapporter la preuve de la négligence grave, et que celle-ci ne se déduit pas du seul fait que le client a communiqué ses données. La jurisprudence ultérieure a confirmé cette ligne dans les cas de spoofing, c'est-à-dire d'usurpation du numéro ou du nom d'expéditeur de la banque : lorsque le message frauduleux s'insère dans le fil de discussion authentique de l'établissement, la victime ne peut raisonnablement être tenue pour gravement négligente.
C'est l'argument central à faire valoir par écrit :
Le message litigieux s'est affiché dans le fil de conversation habituel de votre établissement, sous le même nom d'expéditeur, ce qui rendait toute distinction impossible pour un utilisateur normalement vigilant. En application des articles L. 133-18 et L. 133-23 du Code monétaire et financier, il vous appartient d'établir ma négligence grave, laquelle ne saurait résulter de la seule communication des données.
La procédure, étape par étape
- Contestation écrite auprès de votre agence, en recommandé avec accusé de réception, dans les meilleurs délais. Le délai légal maximum pour contester une opération non autorisée est de treize mois à compter du débit (article L. 133-24), mais n'attendez pas : la réactivité pèse dans l'appréciation.
- Saisine du service réclamations de la banque si le refus est maintenu, avec les mêmes pièces plus la copie du refus.
- Médiateur bancaire : gratuit, saisissable en ligne, il dispose de quatre-vingt-dix jours pour rendre un avis. Ses coordonnées figurent obligatoirement sur vos relevés et le site de la banque. Une part significative des litiges de fraude se règle à ce stade.
- Tribunal judiciaire en dernier recours. Pour les montants modestes, la procédure simplifiée devant le juge des contentieux de la protection est accessible sans avocat. Vérifiez au passage votre contrat d'assurance protection juridique : beaucoup de contrats habitation ou de cartes haut de gamme en incluent une, et elle prend en charge les frais.
Pour rédiger vos courriers sans y passer la soirée, un guide pratique du droit de la consommation actualisé fournit des modèles de mise en demeure directement transposables.
Les préjudices qu'on oublie de traiter
Le remboursement bancaire ne referme pas tout. Trois angles morts méritent une action distincte.
L'usurpation d'identité. Si vous avez transmis une copie de pièce d'identité, un justificatif de domicile ou un RIB, le risque de souscription frauduleuse de crédit existe. Vous pouvez demander votre inscription au Fichier national des incidents de remboursement des crédits aux particuliers en tant que victime d'usurpation, via la Banque de France, et exercer votre droit d'accès aux fichiers d'incidents.
Les données personnelles. Si vos données ont été collectées frauduleusement via un faux site imitant un organisme, un signalement à la CNIL est pertinent, notamment lorsque l'organisme réel a subi une fuite de données à l'origine du ciblage. La CNIL ne vous indemnise pas, mais son action peut déclencher un contrôle.
La sécurisation durable des comptes. Après l'incident, remplacez les codes reçus par SMS par une application d'authentification à double facteur partout où c'est possible, et centralisez vos mots de passe dans un gestionnaire dédié. Un carnet chiffré de mots de passe au format papier, rangé chez soi, reste une solution de secours acceptable pour les personnes réfractaires aux applications — à condition qu'il ne quitte jamais le domicile.
Le calendrier à retenir
| Moment | Action |
|---|---|
| H+0 | Opposition carte et blocage de l'accès en ligne |
| H+0 | Captures d'écran du SMS, de l'URL et des opérations |
| H+1 | Changement des mots de passe depuis un autre appareil |
| J+0 à J+1 | Contestation écrite à la banque (recommandé AR) |
| J+0 à J+2 | Plainte au commissariat ou en ligne, récépissé conservé |
| J+0 à J+2 | Signalement Perceval, transfert du SMS au 33700 |
| J+30 | Relance et saisine du service réclamations si silence |
| J+60 | Médiateur bancaire |
| J+395 max | Limite légale de contestation (13 mois) |
Ce qu'il faut retenir
Le smishing prospère sur un ressort simple : la victime a honte, donc elle tarde, donc les délais se referment. Or la loi française est, sur ce terrain, plutôt favorable au consommateur. La charge de la preuve pèse sur la banque, la négligence grave doit être démontrée et non supposée, et la jurisprudence a explicitement pris acte du fait qu'un message usurpant l'identité d'un établissement est techniquement indétectable par un utilisateur ordinaire.
Le seul comportement réellement pénalisant, c'est l'attente. Un signalement fait dans l'heure, un dossier de captures d'écran, un recommandé argumenté : voilà ce qui distingue un dossier remboursé d'un dossier classé.
Et pour la suite : le meilleur réflexe reste de ne jamais utiliser un lien reçu par message, même parfaitement crédible. On ferme le SMS, on ouvre l'application officielle, on vérifie. Trois secondes de plus, et l'histoire n'a pas lieu.
Sources principales : Code monétaire et financier (articles L. 133-18, L. 133-19, L. 133-23, L. 133-24), Code de procédure pénale (article 15-3), Code pénal (articles 313-1 et 226-18), Cour de cassation chambre commerciale (arrêt du 12 novembre 2020, n° 19-12.112), Cybermalveillance.gouv.fr, service-public.fr (Perceval), Banque de France, CNIL.
