SIM swap et fraude bancaire : quand l'opérateur téléphonique et la banque sont solidairement responsables. Par Virginie Audinot, Avocat.

Le SIM swap est une technique de fraude où un escroc obtient frauduleusement le transfert du numéro de téléphone d’une victime vers une carte SIM sous son contrôle. Dans cette affaire, une cliente de 82 ans, abonnée à SFR et titulaire d’un compte chez BNP Paribas, a subi ce type d’attaque. Son numéro a été transféré vers Free Mobile sans son consentement, via une portabilité non sollicitée. Cette manipulation permet aux fraudeurs d’intercepter les codes de validation envoyés par SMS par la banque, contournant ainsi les dispositifs d’authentification. Quatre virements frauduleux ont été effectués ensuite, totalisant 16 964 €. La victime a signalé l’usurpation à SFR, Free Mobile et sa banque, puis a porté plainte.

En France, le Code monétaire et financier (articles L.133-18 et suivants) impose aux banques de rembourser immédiatement toute opération de paiement non autorisée. L’article L133-19 prévoit une exception : la banque peut refuser le remboursement si elle prouve une fraude ou une négligence grave du client. Cependant, la charge de la preuve repose entièrement sur la banque. Dans cette affaire, BNP Paribas a refusé de rembourser les 16 964 € détournés, arguant que les opérations étaient validées par une authentification forte (comme un code SMS). Le tribunal a rejeté cet argument, car la victime avait signalé la fraude dès sa découverte. La banque a donc été condamnée à rembourser l’intégralité des sommes.

L’opérateur téléphonique Free Mobile a été tenu pour responsable de la fraude car il a accepté une portabilité (transfert de numéro) sans vérifier suffisamment l’identité du demandeur. Le tribunal a établi un lien direct entre cette carence et les virements frauduleux : sans le contrôle du numéro de téléphone, le fraudeur n’aurait pu intercepter les codes SMS. Cette décision marque une avancée majeure, car elle reconnaît que les opérateurs téléphoniques ont un rôle clé dans la sécurité des transactions bancaires. Leur responsabilité peut désormais être engagée aux côtés de celle des banques en cas de faille dans les procédures de vérification d’identité.

L’authentification forte (comme l’envoi d’un code par SMS) est souvent présentée par les banques comme une preuve irréfutable de consentement du client. Cependant, cette décision judiciaire rappelle que cette validation technique ne suffit pas à établir une autorisation libre et éclairée. Dans ce cas, le code SMS a été intercepté après une portabilité frauduleuse, ce qui exclut toute négligence de la victime. Le tribunal a souligné que la sophistication de l’attaque et la réactivité immédiate de la cliente prouvaient l’absence de négligence grave. Les banques ne peuvent donc plus se retrancher derrière l’authentification forte pour refuser tout remboursement.

La négligence grave du client ne se présume pas : elle doit être prouvée par la banque. Dans cette affaire, la victime a signalé la fraude dès sa découverte, ce qui exclut toute négligence. Le tribunal a considéré que l’impossibilité pour elle de détecter une portabilité effectuée à son insu, combinée à la sophistication de l’attaque, rendait tout reproche infondé. Cette décision rappelle que la responsabilité des victimes ne peut être engagée sans preuve concrète de leur implication dans la fraude. Elle renforce ainsi la protection des clients face aux fraudes complexes.

Pour les victimes de fraudes comme le SIM swap, un signalement rapide et écrit à l’opérateur téléphonique et à la banque est essentiel. Dans cette affaire, la cliente a agi immédiatement après avoir découvert l’usurpation, ce qui a joué en sa faveur. Ce signalement doit être conservé comme preuve, car il peut déterminer la responsabilité des acteurs impliqués. La décision encourage les victimes à agir sans délai et à documenter chaque étape, afin de faciliter les recours juridiques et d’élargir les voies de réparation.