Faux conseiller bancaire, compte Revolut utilisé pour recevoir les fonds détournés, carte ajoutée frauduleusement à Apple Pay, virements vers de faux placements : les dossiers dans lesquels apparaît Revolut sont aujourd’hui nombreux et prennent des formes très différentes. Pour les victimes, une question revient systématiquement : la banque peut-elle se contenter d’opposer l’utilisation de l’application, d’un code ou d’une authentification pour refuser tout remboursement ? La réponse est non.

-

Dans les dossiers de fraude bancaire que nous traitons, le nom de Revolut apparaît désormais régulièrement.

Il faut toutefois éviter un raccourci : il n’existe pas à proprement parler une « fraude Revolut ». Les mécanismes frauduleux sont multiples et Revolut peut intervenir à différents endroits de la chaîne.

La victime peut être elle-même cliente de Revolut et découvrir des opérations qu’elle affirme n’avoir jamais autorisées. Dans d’autres dossiers, la victime est cliente d’une banque traditionnelle mais les fonds détournés sont virés vers un compte ouvert auprès de Revolut. Dans d’autres encore, les escrocs parviennent à exploiter les données de la victime, à enregistrer une carte dans un portefeuille numérique ou à obtenir la validation d’une opération sous un faux prétexte.

Derrière la diversité des scénarios apparaît pourtant une constante : des fraudeurs de plus en plus professionnels exploitent la rapidité des outils bancaires numériques, l’ingénierie sociale et les mécanismes d’authentification pour faire exécuter, ou exécuter eux-mêmes, des opérations que la victime n’aurait évidemment jamais acceptées si elle en avait connu la véritable finalité.

Une fraude devenue extrêmement sophistiquée.

Le scénario du faux conseiller bancaire est désormais bien connu.

La victime reçoit un appel d’une personne se présentant comme un membre du service fraude de sa banque. L’interlocuteur connaît parfois son nom, son numéro de téléphone, certaines informations bancaires ou des opérations récemment réalisées.

Ces informations donnent immédiatement de la crédibilité au discours.

L’escroc annonce alors une situation d’urgence : tentative de piratage, paiement suspect, connexion depuis un appareil inconnu, carte compromise ou virements qu’il faudrait impérativement bloquer.

Son objectif est précisément de placer la victime dans une situation dans laquelle elle n’analyse plus les opérations qu’elle effectue comme des paiements, mais comme des mesures de sécurisation de son compte.

Les autorités françaises décrivent aujourd’hui très précisément ce mécanisme. Le ministère de l’Économie rappelle que le spoofing consiste à se faire passer pour un conseiller bancaire afin de récupérer des informations confidentielles et de réaliser des opérations frauduleuses. Cybermalveillance.gouv.fr relève également que les escrocs disposent fréquemment d’informations personnelles leur permettant de crédibiliser leur scénario et peuvent aller jusqu’à usurper le numéro de téléphone de la banque.

Revolut elle-même alerte ses clients sur cette technique. La banque décrit le « vishing », dans lequel le fraudeur se fait notamment passer pour un employé de Revolut et provoque volontairement un sentiment de panique pour conduire la victime à transférer ses fonds, communiquer un code à usage unique ou installer un logiciel permettant de contrôler son appareil à distance. Revolut précise notamment qu’elle ne demandera jamais à un client de transférer son argent vers un prétendu « compte sécurisé ».

Cette précision est fondamentale.

Car lorsqu’une banque connaît parfaitement les méthodes employées par les fraudeurs et alerte elle-même ses clients sur leur sophistication, elle peut difficilement, une fois la fraude réalisée, réduire le dossier à cette affirmation : « vous avez validé l’opération, vous êtes donc responsable ».

Juridiquement, le raisonnement est beaucoup plus complexe.

« Vous avez validé » ne signifie pas nécessairement « vous avez autorisé ».

C’est probablement le point le plus important dans les contentieux actuels.

Dans de nombreux dossiers, la réponse adressée à la victime tient en quelques lignes : l’opération aurait été réalisée depuis son téléphone, un code aurait été saisi, une authentification aurait été enregistrée ou l’application aurait confirmé la transaction.

La banque en déduit que l’opération était autorisée.

Or cette assimilation est juridiquement contestable.

Le droit des services de paiement distingue le mécanisme technique d’authentification du consentement du payeur à l’opération de paiement.

Aux termes des articles L133-6 et L133-7 du Code monétaire et financier, une opération n’est autorisée que si le payeur a effectivement donné son consentement à son exécution.

Et lorsque le client nie avoir autorisé une opération, l’article L133-23 du même code organise un régime probatoire particulièrement protecteur : il appartient au prestataire de services de paiement de démontrer que l’opération a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

Surtout, l’utilisation enregistrée de l’instrument de paiement ne suffit pas nécessairement, à elle seule, à démontrer que l’opération a été autorisée.

La jurisprudence récente continue de rappeler cette distinction essentielle. Dans une décision du 5 mai 2026, le Tribunal judiciaire de Paris rappelle ainsi que la seule utilisation des identifiants du client et l’absence alléguée de déficience technique ne suffisent pas nécessairement à établir l’autorisation de l’opération.

La Cour de cassation a elle-même rappelé en 2026 que l’opération est autorisée lorsque le payeur a donné son consentement à son exécution et qu’en l’absence de ce consentement, donné sous la forme convenue entre le payeur et son prestataire, l’opération doit être considérée comme non autorisée. Elle rappelle parallèlement que la charge de la preuve prévue par l’article L133-23 pèse sur le prestataire de services de paiement.

Il faut donc cesser de confondre trois notions : l’utilisation d’un dispositif, son authentification technique et le consentement juridique à une opération déterminée.

L’authentification forte ne constitue pas un blanc-seing donné à la banque.

Un autre argument revient très fréquemment : « l’opération a fait l’objet d’une authentification forte ».

Là encore, l’affirmation mérite d’être vérifiée techniquement et juridiquement.

L’article L133-44 du Code monétaire et financier impose notamment une authentification forte lorsque le payeur accède à son compte en ligne, initie une opération de paiement électronique ou effectue à distance une opération susceptible de comporter un risque de fraude.

Cette authentification doit reposer sur au moins deux éléments indépendants relevant des catégories de la connaissance, de la possession ou de l’inhérence.

Mais affirmer qu’une authentification forte est intervenue ne suffit pas.

Encore faut-il le démontrer.

Quels facteurs ont été utilisés ? À quel moment ? Depuis quel appareil ? Pour quelle opération ? Quelle adresse IP apparaît dans les journaux ? Un nouvel appareil avait-il été enrôlé ? Une carte avait-elle été ajoutée à un portefeuille numérique ? Quelle information était présentée au client au moment de la validation ? Le montant et le bénéficiaire étaient-ils clairement associés à l’authentification ?

Ces questions sont loin d’être accessoires.

Une décision concernant précisément Revolut illustre parfaitement l’enjeu. Dans cette affaire, un code OTP communiqué à un faux conseiller avait permis l’ajout d’une carte à Apple Pay et l’accès ultérieur aux fonds de la victime. La juridiction a examiné le mécanisme d’authentification mis en œuvre mais a également rappelé un principe déterminant : la justification d’une authentification forte ne suffit pas, à elle seule, à dégager la banque de sa responsabilité  ; encore faut-il, lorsqu’elle l’invoque, établir la négligence grave du client.

C’est exactement là que se situe une grande partie du contentieux.

La négligence grave de la victime ne se présume pas.

Face à une demande de remboursement, l’établissement bancaire cherche fréquemment à déplacer le débat.

Puisque le fraudeur connaissait certaines informations, puisque la victime a répondu au téléphone, puisqu’un code a éventuellement été communiqué ou puisqu’une validation a été effectuée, celle-ci aurait nécessairement commis une « négligence grave ».

Le raisonnement est beaucoup trop rapide.

La négligence grave constitue une notion juridique et non un simple reproche adressé après coup à une victime.

Elle doit être démontrée par le prestataire de services de paiement qui entend s’en prévaloir.

Il faut surtout replacer le comportement de la victime dans les circonstances concrètes de la fraude.

Un client qui communique spontanément ses codes bancaires à un inconnu rencontré sur Internet n’est pas dans la même situation qu’une personne appelée par un interlocuteur connaissant ses données personnelles et bancaires, utilisant les codes du secteur bancaire, se présentant comme le service fraude et lui décrivant en temps réel une prétendue attaque de son compte.

L’analyse ne peut pas être faite rétrospectivement, une fois la fraude connue.

Elle doit être menée au moment précis où la victime agit, dans l’environnement artificiellement construit par l’escroc.

C’est précisément toute l’efficacité de l’ingénierie sociale : faire accomplir à une personne une action technique dont elle ne comprend pas la véritable portée juridique et économique.

Le paradoxe du « faux compte sécurisé ».

Le cas du transfert vers un prétendu compte sécurisé est particulièrement révélateur.

Le fraudeur explique à la victime que son argent est menacé et qu’il faut le déplacer temporairement.

La victime pense donc protéger son patrimoine alors qu’elle est en train de le remettre aux escrocs.

Revolut indique elle-même sans ambiguïté qu’un « compte sécurisé » proposé par téléphone constitue une arnaque et qu’elle ne demandera jamais à ses clients de déplacer ainsi leurs fonds.

Mais juridiquement, une difficulté majeure apparaît lorsque la victime effectue elle-même le virement.

Le contentieux quitte alors souvent le terrain classique de l’opération non autorisée.

Une décision du Tribunal judiciaire de Paris du 10 février 2026 concernant Revolut en fournit une bonne illustration : la juridiction a considéré comme autorisés des ordres de paiement que la victime avait elle-même initiés dans le cadre d’une escroquerie à l’investissement, dès lors qu’elle avait consenti au montant et au compte bénéficiaire, malgré la fraude affectant l’opération économique sous-jacente.

Cette distinction est essentielle pour les victimes.

Toutes les fraudes bancaires ne doivent pas être poursuivies sur le même fondement juridique.

Lorsqu’un tiers exécute l’opération à l’insu du client, le régime des opérations non autorisées des articles L133-18 et suivants du Code monétaire et financier peut être central.

Lorsque la victime a matériellement ordonné elle-même les virements sous l’emprise d’un faux conseiller ou d’un faux courtier, l’analyse doit être différente et peut notamment conduire à examiner les obligations de vigilance de l’établissement, les anomalies entourant les opérations, les alertes éventuellement déclenchées et, plus généralement, les circonstances précises dans lesquelles les paiements ont été exécutés.

Quand Revolut est la banque du bénéficiaire.

Il existe enfin une situation différente mais de plus en plus importante dans les dossiers : la victime n’est pas cliente de Revolut.

Son argent y arrive.

Les escrocs ont ouvert ou utilisent un compte bénéficiaire vers lequel les fonds détournés sont dirigés, parfois avant d’être immédiatement transférés ailleurs.

Dans ce cas, l’analyse juridique ne porte plus principalement sur les obligations du prestataire de services de paiement du payeur. Elle conduit à s’intéresser aux conditions d’ouverture et de fonctionnement du compte bénéficiaire, à l’identification de son titulaire, aux mouvements constatés, à la rapidité de circulation des fonds et aux éventuelles anomalies affectant son fonctionnement.

Il ne suffit évidemment pas qu’un compte bénéficiaire soit tenu par Revolut pour engager automatiquement sa responsabilité.

Mais il ne faut pas davantage considérer la banque bénéficiaire comme juridiquement invisible.

Dans certaines affaires, la reconstitution du circuit financier et l’obtention des informations relatives au compte récepteur peuvent être déterminantes pour comprendre la fraude et rechercher les responsabilités susceptibles d’être engagées.

Faux investissements : un autre contentieux dans lequel Revolut apparaît.

Les faux placements représentent aujourd’hui une part considérable des escroqueries financières signalées aux autorités.

En juillet 2026, l’ACPR et la Banque de France indiquaient que 66 % des signalements reçus concernant les fraudes financières portaient sur de faux placements. Certaines pertes atteignent plusieurs centaines de milliers d’euros.

Là encore, Revolut peut apparaître à différents niveaux du circuit.

Une décision du Tribunal des activités économiques de Paris du 2 juillet 2026 concernait ainsi un investisseur qui indiquait avoir effectué vingt virements pour un montant total de 641 003 euros dans le cadre d’investissements réalisés par l’intermédiaire d’une plateforme frauduleuse. Le litige mettait notamment en cause Revolut au titre du devoir de vigilance invoqué par la victime.

Ces dossiers rappellent une réalité : les fraudes contemporaines ne se résument plus au vol d’une carte bancaire et à quelques paiements frauduleux.

Elles peuvent s’étaler sur plusieurs semaines ou plusieurs mois, mettre en scène de faux conseillers extrêmement convaincants, utiliser de faux sites internet, de faux espaces d’investissement affichant des gains fictifs et conduire progressivement une victime à transférer des dizaines, voire des centaines de milliers d’euros.

Le sujet prend d’autant plus d’importance que Revolut n’est plus un acteur marginal de la banque mobile.

La société indique compter environ huit millions de clients en France et a annoncé, le 10 août 2026, avoir obtenu une licence bancaire complète en France. La nouvelle banque française est placée sous la supervision de l’ACPR et de la Banque centrale européenne, les clients français devant progressivement être transférés vers cette structure.

Cette évolution est importante.

La simplicité d’utilisation, l’instantanéité des paiements et l’ouverture entièrement numérique des services bancaires ont profondément transformé les usages.

Mais la rapidité constitue également une difficulté majeure lorsqu’une fraude survient : en quelques minutes, les fonds peuvent être transférés puis dispersés.

La banque numérique ne peut donc pas être seulement instantanée lorsqu’il s’agit d’exécuter un paiement. Elle doit également être efficace lorsqu’il s’agit de détecter une fraude, de traiter une alerte et de tenter de récupérer les fonds.

Victime d’une fraude impliquant Revolut : il faut agir immédiatement. Les premières heures sont essentielles.

Revolut recommande elle-même de mettre immédiatement fin aux échanges avec l’escroc, de geler la carte concernée, de contacter son support par la messagerie de l’application et de signaler directement la transaction frauduleuse.

Mais la victime doit également conserver l’ensemble des preuves : captures d’écran, SMS, courriels, numéro affiché lors de l’appel, historique des communications, conversations WhatsApp ou Telegram, notifications de l’application, relevés bancaires, IBAN bénéficiaires, horaires précis des opérations : ces éléments permettront ensuite de reconstituer exactement le mécanisme de la fraude. Et surtout, il ne faut pas s’arrêter au premier refus de remboursement.

Une réponse standardisée indiquant que « les opérations ont été authentifiées » ou qu’elles ont été « validées depuis l’application » ne clôt absolument pas l’analyse juridique.

Il faut obtenir et examiner les éléments techniques.

Derrière les écrans, il y a des victimes. C’est probablement ce que les réponses automatisées ou standardisées des établissements bancaires font parfois oublier. Une fraude bancaire n’est pas seulement une ligne comptable litigieuse. Derrière un virement de 5 000, 20 000 ou 100 000 euros se trouve parfois l’épargne constituée pendant des années, le produit de la vente d’un bien immobilier, l’argent destiné aux études d’un enfant ou l’ensemble des économies d’une personne retraitée. Et à la perte financière s’ajoute presque systématiquement une violence psychologique considérable. Les victimes se reprochent d’avoir répondu au téléphone, d’avoir cru leur interlocuteur, d’avoir communiqué un code ou d’avoir appuyé sur un bouton.

Cette culpabilité constitue précisément l’une des armes les plus efficaces des fraudeurs.

Elle ne doit pas devenir celle des banques.

Les escrocs professionnels construisent des scénarios spécifiquement destinés à contourner la vigilance humaine. Ils connaissent les procédures bancaires, les mécanismes d’authentification et les discours des services antifraude. Ils exploitent la peur, l’urgence et la confiance que le client place naturellement dans son établissement bancaire.

La question juridique n’est donc pas simplement de savoir si la victime a « cliqué ».

Elle est de déterminer ce qu’elle croyait valider, ce qu’elle a réellement autorisé, comment l’opération a été authentifiée, quelles informations lui ont été présentées, quelles anomalies étaient détectables et si l’établissement bancaire a effectivement respecté l’ensemble des obligations que la loi met à sa charge.

C’est sur ces questions, et non sur une culpabilisation sommaire de la victime, que doit se construire l’analyse d’un dossier de fraude bancaire.

Virginie Audinot, Avocat
Barreau de Paris
Audinot Avocat
www.fraude-bancaire.fr