Le scénario est classique. Vous recevez un courriel, à lentête de votre banque. Il vous signale un problème sur votre compte et vous propose de le régler en cliquant sur un lien contenu dans le message. Il vous amène directement vers la page de connexion de votre espace bancaire en ligne. Vous entrez en toute confiance vos identifiants. Problème : ce site est en fait une copie créée par des pirates. Lhistoire, en général, se termine mal : vous vous apercevez, quelques heures plus tard, que des virements ont été passés à votre insu vers des comptes basés à létranger, ou que votre carte bancaire a été utilisée pour des achats en ligne. Vous venez dêtre victimes dun hameçonnage (ou phishing), une fraude qui consiste à usurper lidentité de votre banque (ou de tout autre institution) pour vous soutirer des informations sensibles. Mais cela aurait tout aussi bien pu être un skimming - un vol de données de carte bancaire au distributeur dargent. Le résultat est malheureusement le même : vous avez subi des débits frauduleux sur votre compte bancaire.
Ces arnaques sont malheureusement légion. En 2018, la fraude aux moyens de paiement a dépassé pour la première fois le milliard deuros, selon la Banque de France, en hausse de 36% sur un an. Et cette année, le site Phishing Initiative France, mis en place à linitiative de lUnion européenne, a déjà recueilli le signalement de plus de 137 000 sites de phishing. Il faut dire que cette technique, qui sappuie avant tout sur la crédulité de ses victimes, ne demande pas de grandes compétences techniques et est à la portée du premier pirate venu.
Une réglementation protectrice des usagers
Heureusement, les choses finissent souvent par sarranger pour les victimes de ces fraudes : le plus souvent, ils vont en effet être indemnisés par leur banque. Car la réglementation, dans le domaine, est clairement de leur côté. En voici le cadre, tel que prévu par le Code monétaire et financier.
En cas de débits frauduleux consécutifs à la perte ou au vol de votre carte bancaire plastique ou de votre chéquier, votre responsabilité est engagée tant que vous navez pas fait opposition. Les pertes restant à votre charge sont toutefois plafonnées à 50 euros. Le reste doit vous être remboursé par votre banque. Lintégralité du préjudice doit même vous être remboursé si le débit frauduleux a été effectué sans utilisation du code secret ; sil a été effectué avant que vous ne puissiez effectivement détecter la perte ou le vol ; ou encore sil est consécutif à une erreur de votre banque : par exemple en cas denvoi dune nouvelle carte à une mauvaise adresse.
Il existe, par ailleurs, des cas de figure dans lesquels votre responsabilité ne peut jamais être engagée : si votre banque ne vous a pas informé clairement sur la manière de faire opposition ; si votre carte bancaire a été contrefaite et que vous êtes toujours en possession de loriginal ; si le paiement frauduleux a été effectué sans quune authentification forte ait été exigée, cest-à-dire sans envoi dun code SMS à usage unique ou sans recours à un capteur biométrique dempreintes digitales. Mais aussi si la fraude est la conséquence du détournement, à votre insu, de vos identifiants de carte bancaire (numéro unique, date de validité, cryptogramme) ou de compte bancaire (numéro de client et code secret). Ce qui est le cas, généralement, avec le phishing.
Deux exceptions
Attention toutefois : la réglementation prévoit deux exceptions . La première paraît logique : pas de remboursement si vous avez intentionnellement fraudé votre banque. La seconde est plus ambigüe : votre banque peut en effet refuser de vous indemniser si elle estime que vous avez fait preuve de négligence grave en ne faisant pas opposition, même après vous être rendus compte de la perte ou du vol, ou en ne prenant pas toutes les mesures raisonnables pour préserver la sécurité de vos données de sécurité personnalisées : en particulier votre code secret de carte bancaire et vos identifiants de connexion à votre banque en ligne.
Des cas complexes
Les banques invoquent surtout la négligence grave dans deux cas : quand le paiement frauduleux a été effectué avec lutilisation du code secret de la carte bancaire, dans le cas dun paiement de proximité, ou du code unique envoyé par SMS, dans le cas dun paiement à distance par carte ou par virement. En résumé, quand les pirates ont réussi à contourner les dispositifs mis en place pour vérifier lauthentification du payeur.
Certains cas sont relativement simples à instruire. L'exemple typique est celui du consommateur qui se fait voler son portefeuille, contenant à la fois sa carte bancaire et son code secret inscrit sur un bout de papier : ici, difficile de contester la négligence. Mais dautres sont beaucoup plus complexes. Il existe, en effet, des techniques sophistiquées pour détourner les systèmes dauthentification forte des banques. Une dentre elles consiste à détourner la ligne mobile de la victime, en se faisant passer pour elle auprès de son opérateur et en déclarant un vol de carte SIM pour en obtenir une nouvelle : cest ce quon appelle un SIM Swap. La faille permet ainsi au pirate de recevoir les codes à usage unique envoyés par SMS, et dauthentifier des paiements par carte sur internet ou dajouter des bénéficiaires de virement. Pour la mettre en uvre, il doit nécessairement être en possession dun certain nombre dinformations sur sa victime : son état civil, son numéro de téléphone, son adresse email, son numéro de carte bancaire, son identifiant de banque en ligne... Des informations généralement récupérées par le biais dun email de phishing.
La jurisprudence plutôt du côté des victimes
Etre victime de phishing est-il suffisant pour être taxé de négligence grave ? Cest en tout cas un argument très souvent invoqué par les banques. Selon le ministère de lIntérieur, cité par lassociation de consommateurs UFC dans lédition de décembre 2019 de son magazine Que Choisir (1), « la banque refuserait de rembourser les débits frauduleux dans 20% des cas ». Certaines sen sont même fait une spécialité, comme le Crédit Mutuel Nord Europe.
Les clients qui ont les moyens et le courage de porter leur affaire devant les tribunaux obtiennent toutefois très souvent gain de cause. La jurisprudence, en effet, est plutôt du côté des victimes. Dans plusieurs arrêts publiés ces dernières années - en janvier 2017, en novembre 2018, en mai 2019 - la Cour de cassation a confirmé deux principes. Le premier : les clients ne sont pas responsables a priori du piratage de leur compte bancaire, quand bien même les paiements ont donné lieu à une authentification forte. Le second : Cest à la banque quincombe la charge de la preuve. Cest-à-dire que ce nest pas au client de démontrer quil a pris toutes les « mesures raisonnables » pour préserver la sécurité de ses données de sécurité, mais à la banque de prouver quil a été négligent. Et cest rarement évident, en labsence daveux de la victime.
Aller en justice contre sa banque, toutefois, reste une épreuve, même si elle a de bonnes chances dêtre couronnée de succès. Le meilleur moyen reste donc dappliquer certaines bonnes pratiques, pour éviter dêtre piraté : ne pas noter son code secret, ne jamais se connecter à sa banque en cliquant sur un lien dans un courriel ou SMS, consulter régulièrement ses comptes bancaires
De nouvelles règles dauthentification arrivent
Ce ne sera sans doute pas la fin de débits frauduleux, tant les pirates savent se montrer créatifs. Mais vous soutirer de largent va devenir plus compliqué. Les règles de sécurité encadrant laccès à votre compte bancaire et à vos paiements vont en effet être renforcées, avec lentrée en vigueur de la 2e directive européenne sur les services (DSP2). Dici la fin 2020, les banques devront notamment dire au revoir au code à usage unique envoyé par SMS, dont nous avons évoqué les failles, et adopter une nouvelle génération de systèmes dauthentification, passant notamment par lusage de leurs applications mobiles et de la biométrie.
Lire aussi : Compte bancaire, paiements : ce qui change pour votre sécurité
(1) « Débits frauduleux : quand la banque ne veut pas rembourser », Que Choisir, décembre 2019.


















