Le SIM swapping, ou fraude à la carte SIM, peut permettre à un escroc de prendre le contrôle du numéro de téléphone d’une victime et d’intercepter les codes de sécurité envoyés par sa banque. Le fraudeur peut alors tenter d’accéder au compte bancaire et d’effectuer des virements sans que le client s’en aperçoive immédiatement.
Se faire passer pour quelqu’un d’autre afin de détourner son compte est déjà la base des arnaques arnaques à la facture et au faux IBAN. ou du vol à l’usurpation de K-Bis .
Mais lorsqu’un fraudeur parvient à détourner une ligne téléphonique, la banque peut-elle simplement reprocher au client d’avoir été victime d’un hameçonnage pour refuser de le rembourser ? Une décision de la cour d’appel d’Amiens du 23 octobre 2025 apporte une réponse particulièrement intéressante : l’absence d’authentification forte des virements peut obliger la banque à rembourser, même lorsque le client a auparavant communiqué certaines informations au fraudeur.
Qu’est-ce que le SIM swapping ?
Le SIM swapping consiste à détourner le numéro de téléphone d’une personne.
Le fraudeur commence généralement par récupérer suffisamment d’informations personnelles sur sa victime. Il se fait ensuite passer pour elle auprès de l’opérateur téléphonique afin d’obtenir l’activation d’une nouvelle carte SIM ou eSIM associée au même numéro.
Lorsque cette nouvelle carte est activée, la carte SIM détenue par la victime peut cesser de fonctionner. Le téléphone perd alors brutalement son réseau.
Le fraudeur peut désormais recevoir les appels et surtout les SMS destinés à la victime. Or de nombreuses banques utilisent encore le téléphone pour sécuriser certaines opérations : codes reçus par SMS, validation d’un nouvel appareil ou confirmation d’une opération bancaire.
Le SIM swapping peut donc devenir un outil particulièrement efficace pour détourner un compte bancaire.
Près de 30 000 euros détournés par quatre virements frauduleux
Dans l’affaire jugée par la cour d’appel d’Amiens, une entreprise cliente du Crédit Agricole avait découvert 4 virements frauduleux effectués le même jour vers le même bénéficiaire.
Le montant total détourné atteignait 29 865 euros.
La banque avait réussi à récupérer 7 400 euros auprès de l’établissement bancaire ayant reçu les fonds. Mais un solde de 22 465 euros restait perdu.
Le Crédit Agricole refusait de prendre cette somme à sa charge.
Selon la banque, le dirigeant de l’entreprise avait été victime d’un hameçonnage et avait lui-même communiqué certaines informations ayant facilité la fraude.
C’est précisément sur ce point que le litige devient intéressant.
Un code de sécurité utilisé ne signifie pas que le client a autorisé le virement
Le droit bancaire établit une distinction essentielle entre l’utilisation d’un moyen d’authentification et le consentement donné à une opération de paiement.
Le simple fait qu’un code de sécurité ait été utilisé ne permet donc pas nécessairement de conclure que le titulaire du compte a volontairement autorisé le virement.
Cette distinction devient particulièrement importante dans une fraude par SIM swapping.
Le code envoyé par SMS peut être récupéré par le fraudeur qui contrôle désormais la ligne téléphonique. Le code est donc techniquement correct, mais ce n’est pas pour autant le client qui l’a utilisé.
En principe, lorsqu’un client conteste un virement qu’il affirme ne pas avoir autorisé, la banque doit restituer les sommes, sauf lorsqu’elle est en mesure de démontrer notamment une fraude du client ou une négligence grave de sa part.
Autrement dit, la banque ne peut pas simplement répondre : « Le bon code a été utilisé, donc vous avez nécessairement validé l’opération. » . Voir ici tous les textes de lois et ce qu’il faut faire quand la banque refuse de rembourser à la suite d’une arnaque.
L’authentification forte doit concerner le virement lui-même
Dans cette affaire, un élément a joué un rôle déterminant.
La banque reconnaissait que l’ajout du bénéficiaire avait bien fait l’objet d’une authentification forte.
En revanche, les virements réalisés ensuite vers ce bénéficiaire n’avaient pas eux-mêmes été soumis à une authentification forte.
Cette différence change considérablement le dossier.
L’authentification d’un bénéficiaire et l’authentification d’un virement sont deux opérations distinctes. Sécuriser l’ajout d’un RIB dans la liste des bénéficiaires ne signifie donc pas nécessairement que les virements effectués ensuite ont eux-mêmes été correctement authentifiés.
Or les règles relatives aux services de paiement imposent aux banques de mettre en œuvre une authentification forte du client dans certaines situations présentant un risque de fraude, notamment pour des opérations réalisées à distance.
La cour d’appel en tire une conséquence sévère pour la banque : lorsqu’un établissement choisit de ne pas appliquer l’authentification forte alors qu’elle est requise, il ne peut pas ensuite utiliser aussi facilement la prétendue négligence du client pour éviter le remboursement.
La banque ne peut pas transférer automatiquement la responsabilité au client
Lorsqu’un compte est victime d’une fraude, la réaction des banques est souvent prévisible : rechercher immédiatement une erreur commise par le client.
Un faux SMS bancaire ? Un lien de phishing ? Une information communiquée au téléphone ? Un code transmis à un tiers ?
Ces éléments peuvent effectivement avoir une importance juridique. Mais ils ne suffisent pas automatiquement à caractériser une négligence grave.
Dans l’affaire jugée à Amiens, la banque soutenait que la victime avait été préalablement victime d’un hameçonnage et que cette imprudence avait permis le SIM swapping.
La cour n’a pas retenu ce raisonnement.
Être victime de phishing ne suffit pas à supprimer le droit au remboursement
Pour que la banque puisse invoquer une négligence grave du client, encore faut-il établir un lien direct entre cette faute et l’opération frauduleuse contestée.
Or dans une fraude par SIM swapping, plusieurs événements peuvent se succéder.
La victime peut d’abord communiquer certaines informations lors d’une attaque de phishing. Le fraudeur peut ensuite utiliser ces données pour obtenir une nouvelle carte SIM auprès de l’opérateur. Il peut enfin exploiter le contrôle du numéro de téléphone pour accéder aux services bancaires ou intercepter certains mécanismes d’authentification.
Dans ce scénario, l’origine immédiate des virements frauduleux n’est plus nécessairement le comportement initial du client.
Elle peut être le détournement de la ligne téléphonique et surtout l’insuffisance du dispositif d’authentification appliqué aux virements.
La banque ne peut donc pas considérer qu’une victime ayant communiqué des informations à un fraudeur perd automatiquement tout droit au remboursement.
Une négligence grave doit être prouvée par la banque
Autre point important : ce n’est pas au client de démontrer qu’il a été parfaitement prudent.
Lorsque la banque souhaite refuser le remboursement en invoquant une négligence grave, elle doit être capable de la caractériser.
Le client doit donc être particulièrement prudent lorsqu’une banque lui demande de signer un document dans lequel il reconnaîtrait avoir communiqué ses identifiants, ses codes ou d’autres informations confidentielles.
Un tel document pourrait ensuite être utilisé pour tenter de démontrer une faute du titulaire du compte.
Après une fraude bancaire, mieux vaut décrire précisément les faits sans accepter une formulation préparée par la banque qui reviendrait à reconnaître une responsabilité juridique.
La responsabilité de l’opérateur téléphonique n’est pas automatique
La banque avait également tenté de mettre en cause Free Mobile, l’opérateur téléphonique impliqué dans le changement de carte SIM.
Elle espérait ainsi pouvoir reporter tout ou partie de la responsabilité financière sur l’opérateur.
Cette demande a été rejetée.
L’opérateur avait présenté les dispositifs de sécurité utilisés pour vérifier l’identité de l’abonné, notamment un système reposant sur un code secret permettant la gestion de l’espace abonné et la commande d’une nouvelle carte SIM.
De son côté, la banque n’apportait pas d’élément suffisamment précis permettant de démontrer une défaillance particulière dans la procédure utilisée pour délivrer la nouvelle SIM.
Pour la victime, cette bataille entre banque et opérateur reste de toute façon secondaire. Son interlocuteur concernant les virements frauduleux reste d’abord sa banque.
À charge ensuite pour les professionnels concernés de déterminer entre eux si l’un d’eux doit finalement supporter tout ou partie du préjudice.
Que faire immédiatement en cas de SIM swapping ?
Le premier signal d’alerte est souvent extrêmement simple : le téléphone perd soudainement son réseau mobile sans raison apparente.
Si la panne persiste alors que d’autres téléphones fonctionnent normalement, il faut réagir immédiatement.
Contactez l’opérateur téléphonique pour vérifier si une nouvelle carte SIM ou une eSIM a été activée sur votre numéro.
Parallèlement, contactez votre banque et vérifiez les opérations récentes sur vos comptes.
Si des virements ou paiements inconnus apparaissent, faites immédiatement opposition lorsque cela est possible et contestez par écrit les opérations non autorisées.
Conservez également toutes les preuves : SMS, courriels, captures d’écran, horaires de perte du réseau, échanges avec l’opérateur et communications avec la banque.
Demandez à la banque de prouver l’authentification forte
En cas de virement frauduleux, ne vous contentez pas de demander à la banque si « le paiement a été sécurisé ».
Demandez précisément quelle authentification a été appliquée à chacune des opérations contestées.
Il faut notamment distinguer :
- l’authentification lors de la connexion au compte ;
- l’authentification utilisée pour ajouter un bénéficiaire ;
- l’authentification utilisée pour effectuer chaque virement.
Une banque peut très bien avoir fortement authentifié l’ajout du bénéficiaire tout en utilisant ensuite un mécanisme insuffisant pour les virements eux-mêmes.
C’est exactement le type de distinction qui peut déterminer si la banque doit ou non rembourser.
SIM swapping : ce qu’il faut retenir face à la banque
Une fraude par SIM swapping ne donne pas automatiquement raison à la banque sous prétexte qu’un code envoyé sur le téléphone du client a été correctement utilisé.
Le point central reste l’autorisation réelle de l’opération et le niveau d’authentification mis en place par la banque.
Dans l’affaire jugée par la cour d’appel d’Amiens le 23 octobre 2025, l’ajout du bénéficiaire avait été authentifié fortement, mais pas les virements litigieux eux-mêmes. Cette absence d’authentification forte a lourdement pesé contre la banque.
La décision rappelle surtout une règle que les établissements bancaires préfèrent parfois faire oublier : être victime d’un phishing ou d’un SIM swapping ne signifie pas automatiquement être responsable des virements réalisés par l’escroc.
La banque doit démontrer les conditions dans lesquelles les opérations ont été authentifiées et, si elle invoque une négligence grave, apporter les éléments permettant réellement de l’établir.
Pour un client victime de SIM swapping, la bonne réaction consiste donc à contester rapidement les virements, à réclamer les preuves techniques d’authentification et à ne pas accepter sans discussion l’argument classique selon lequel « vos codes ont été utilisés, donc vous êtes responsable ».