"Fraude Revolut" : quand la banque 100% mobile devient le terrain de jeu des escrocs. Par Virginie Audinot, Avocat.

L’article aborde la multiplication des fraudes liées à Revolut, une banque 100% mobile. Contrairement à une idée reçue, il n’existe pas de « fraude Revolut » en tant que telle, mais des mécanismes frauduleux variés exploitant cette plateforme. Les victimes peuvent être clientes de Revolut ou d’une autre banque, et les fonds détournés transitent parfois par un compte Revolut. Les escrocs utilisent des techniques sophistiquées comme l’ingénierie sociale (manipulation psychologique) ou le spoofing (usurpation d’identité, par exemple en imitant un numéro de téléphone officiel). En 2026, Revolut compte environ 8 millions de clients en France et a obtenu une licence bancaire complète, ce qui renforce son rôle dans ces affaires. Les fraudes sont de plus en plus professionnelles, exploitant la rapidité des transactions numériques et les failles dans les mécanismes d’authentification.

Un scénario récurrent de fraude consiste en un appel téléphonique où l’escroc se fait passer pour un conseiller bancaire, souvent en connaissant des informations personnelles de la victime (nom, numéro de téléphone, opérations récentes). Cette technique, appelée vishing (contraction de voice et phishing), vise à créer un sentiment d’urgence pour pousser la victime à agir sans réfléchir. Par exemple, l’escroc peut prétendre que le compte est piraté ou qu’un virement frauduleux a été détecté, et demander à la victime de transférer ses fonds vers un « compte sécurisé » pour les protéger. Revolut précise qu’elle ne demande jamais ce type d’action. Pourtant, les victimes, trompées par l’apparente légitimité de l’appel, peuvent valider des opérations qu’elles n’auraient jamais acceptées en temps normal.

Les banques comme Revolut invoquent souvent que l’opération a été « authentifiée » ou « validée » pour refuser un remboursement, suggérant que la victime a consenti. Cependant, le droit français distingue clairement trois notions : l’utilisation d’un dispositif (comme un code ou une carte), l’authentification technique (vérification de l’identité) et le consentement juridique à l’opération. Selon les articles L133-6 et L133-7 du Code monétaire et financier, une opération n’est autorisée que si le client a donné son consentement éclairé. En cas de litige, c’est à la banque de prouver que l’opération a été correctement authentifiée et que le client a bien consenti, ce qui n’est pas automatique même si un code a été saisi.

L’authentification forte est une mesure de sécurité imposée par le Code monétaire et financier (article L133-44) pour les opérations à risque. Elle repose sur au moins deux éléments indépendants, comme un mot de passe (connaissance) et un code reçu par SMS (possession). Cependant, une banque ne peut pas se contenter d’affirmer qu’une authentification forte a eu lieu : elle doit prouver quels facteurs ont été utilisés, à quel moment, depuis quel appareil, et si le montant et le bénéficiaire étaient clairement associés à cette validation. Dans une affaire impliquant Revolut, un code OTP (mot de passe à usage unique) a permis à un escroc d’ajouter une carte à Apple Pay et de détourner des fonds. Le tribunal a rappelé que l’authentification forte seule ne suffit pas à dégager la banque de sa responsabilité.

Les banques reprochent souvent aux victimes d’avoir commis une « négligence grave » après une fraude, par exemple en ayant répondu à un appel ou en ayant communiqué un code. Cependant, cette notion juridique doit être démontrée par la banque et ne peut être présumée. La négligence grave dépend des circonstances concrètes de la fraude. Par exemple, une victime trompée par un faux conseiller qui connaît ses données personnelles et utilise un discours crédible ne peut être considérée de la même manière qu’une personne ayant spontanément communiqué ses codes sur Internet. L’analyse doit se faire au moment de l’action, dans le contexte artificiel créé par l’escroc, et non a posteriori.

Un cas emblématique de fraude consiste à convaincre la victime de transférer ses fonds vers un prétendu « compte sécurisé » pour les protéger. Revolut indique clairement qu’elle ne demande jamais ce type de transfert. Pourtant, juridiquement, si la victime effectue elle-même le virement, l’opération peut être considérée comme autorisée, même si elle résulte d’une escroquerie. Une décision du Tribunal judiciaire de Paris du 10 février 2026 a illustré ce cas : une victime ayant consenti au montant et au bénéficiaire du virement, malgré la fraude sous-jacente, n’a pas pu obtenir gain de cause sur le fondement d’une opération non autorisée. Cette distinction est cruciale pour les victimes.

Dans certains cas, la victime n’est pas cliente de Revolut, mais ses fonds sont détournés vers un compte ouvert chez Revolut. L’analyse juridique se concentre alors sur les conditions d’ouverture et de fonctionnement de ce compte bénéficiaire, ainsi que sur l’identification de son titulaire. Revolut n’est pas automatiquement responsable, mais elle n’est pas juridiquement « invisible » non plus. Dans certaines affaires, reconstituer le circuit financier et obtenir des informations sur le compte récepteur est essentiel pour comprendre la fraude et engager des responsabilités. La rapidité des transactions numériques rend ces enquêtes complexes.

Les fraudes aux faux investissements représentent 66 % des signalements de fraudes financières en France en juillet 2026, selon l’ACPR et la Banque de France. Certaines pertes atteignent plusieurs centaines de milliers d’euros. Revolut peut être impliquée à différents niveaux de ces escroqueries, par exemple lorsque des victimes effectuent des virements vers des plateformes frauduleuses. Une décision du Tribunal des activités économiques de Paris du 2 juillet 2026 a mis en cause Revolut au titre de son devoir de vigilance. Ces fraudes s’étalent souvent sur plusieurs semaines ou mois, avec des faux conseillers, des sites internet frauduleux et des gains fictifs affichés pour convaincre les victimes de transférer des sommes importantes.

En cas de fraude impliquant Revolut, les premières heures sont cruciales. Revolut recommande de mettre fin immédiatement aux échanges avec l’escroc, de geler la carte concernée, de contacter le support via l’application et de signaler la transaction frauduleuse. La victime doit conserver toutes les preuves : captures d’écran, SMS, courriels, numéros d’appel, historiques de conversations, notifications de l’application, relevés bancaires, IBAN des bénéficiaires et horaires précis des opérations. Ces éléments permettent de reconstituer le mécanisme de la fraude. Il est important de ne pas s’arrêter au premier refus de remboursement, car une réponse standardisée comme « les opérations ont été authentifiées » ne clôt pas l’analyse juridique.