SIM swapping : pourquoi l'absence d'authentification forte fait tomber la défense de la banque

Votre téléphone perd soudainement tout réseau, sans raison apparente. Pendant ce temps, des virements quittent discrètement votre compte professionnel, validés par des codes que vous n'avez jamais reçus, parce qu'un fraudeur les a interceptés à votre place. C'est le mécanisme du "SIM swapping", et un arrêt de la cour d'appel d'Amiens du 23 octobre 2025 vient rappeler fermement où se situe, dans ce type de fraude, la responsabilité véritable.

Le mécanisme de la fraude

Le SIM swapping consiste, pour un escroc muni de suffisamment d'informations personnelles sur sa victime, à se faire délivrer par l'opérateur téléphonique une nouvelle carte SIM associée au numéro de celle-ci. Dès l'activation de cette carte, la ligne de la victime bascule vers l'appareil du fraudeur, qui reçoit désormais à sa place l'ensemble des SMS, y compris les codes de validation envoyés par la banque pour sécuriser les opérations en ligne.

Dans l'affaire jugée à Amiens, une société cliente du Crédit Agricole avait ainsi découvert quatre virements frauduleux exécutés le même jour vers un même bénéficiaire, pour un total de 29 865 euros. La banque était parvenue à récupérer 7 400 euros auprès de l'établissement destinataire, mais refusait de rembourser le solde de 22 465 euros, estimant que son dirigeant avait nécessairement communiqué ses identifiants à la suite d'un hameçonnage préalable.

Un principe simple, mais souvent ignoré des banques : l'utilisation des codes ne prouve pas le consentement

Le raisonnement de la cour d'appel repose sur un point que ce blog a déjà eu l'occasion de développer à plusieurs reprises : l'utilisation régulière des identifiants et des codes de sécurité (même reçus par SMS) ne suffit jamais, à elle seule, à établir que le client a personnellement consenti à l'opération contestée. Dans un contexte de SIM swapping, ce principe prend un relief particulier : le code a bien été utilisé, mais c'est le fraudeur, et non la victime, qui l'a reçu et saisi.

Les virements litigieux constituent donc des opérations de paiement non autorisées au sens de l'article L. 133-6 du code monétaire et financier, ouvrant droit, en principe, à un remboursement intégral, sauf à ce que la banque démontre une fraude ou une négligence grave imputable à son client.

L'argument décisif : l'absence d'authentification forte sur les virements eux-mêmes

C'est sur ce terrain que la défense de la banque s'effondre. L'établissement reconnaissait lui-même que seule l'opération d'ajout du bénéficiaire avait été soumise à une authentification forte, les virements exécutés ensuite vers ce bénéficiaire, eux, ne l'avaient pas été. Or l'article L. 133-44 du code monétaire et financier impose au prestataire de services de paiement de recourir à une authentification forte pour toute opération présentant un risque de fraude, notamment lorsqu'elle est réalisée à distance.

La cour d'appel en tire une conséquence sans détour : lorsqu'une banque choisit de prendre le risque de ne pas recourir à cette authentification forte, elle doit en assumer seule les conséquences, sans pouvoir ensuite invoquer la négligence grave de son client pour échapper au remboursement. Ce principe trouve d'ailleurs un fondement textuel précis à l'article L. 133-19, V du même code : sauf agissement frauduleux du client lui-même, celui-ci ne supporte aucune conséquence financière lorsque l'opération contestée a été exécutée sans authentification forte exigée par son prestataire.

Le SIM swapping n'est pas, en soi, une négligence grave

La banque tentait par ailleurs de faire peser sur la victime la responsabilité d'un hameçonnage préalable, supposé avoir permis la collecte des données ayant rendu possible le SIM swapping. La cour écarte cet argument avec fermeté, en posant une exigence de causalité stricte : pour être retenue, la négligence grave du client doit être la cause principale et prépondérante de l'opération frauduleuse elle-même.

Or, dans un scénario de SIM swapping, la cause déterminante de la fraude réside dans le détournement de la ligne téléphonique — une opération réalisée auprès de l'opérateur, hors du contrôle direct du client — et non dans une éventuelle imprudence antérieure et distincte. Être victime d'un hameçonnage ne suffit donc pas à caractériser, par un enchaînement automatique, la négligence grave exigée par la loi pour priver la victime de son droit au remboursement.

Et l'opérateur téléphonique, dans tout cela ?

La banque avait appelé en garantie l'opérateur téléphonique, Free Mobile, dans l'espoir de reporter sur lui la charge finale de l'indemnisation, puisque c'est bien lui qui avait délivré la carte SIM frauduleuse. Cet appel en garantie a été rejeté : l'opérateur avait démontré disposer de ses propres dispositifs de sécurité (identifiant personnel, code secret) pour la gestion de l'espace abonné et la commande d'une nouvelle carte, et la banque ne rapportait aucune preuve concrète d'une défaillance précise dans le processus de délivrance.

Pour la victime, ce point est d'ordre pratique plutôt que juridique : son interlocuteur naturel pour obtenir réparation reste la banque, sur le fondement du régime protecteur des opérations non autorisées — la répartition éventuelle de la charge finale entre banque et opérateur relevant d'un débat distinct, entre professionnels, qui ne doit jamais retarder l'indemnisation du client.

Ce qu'il faut retenir pour votre propre dossier

  • Si votre téléphone perd soudainement et durablement son réseau, contactez immédiatement votre opérateur pour vérifier qu'aucune nouvelle carte SIM n'a été activée sur votre ligne à votre insu.
  • Faites opposition sans délai et contestez par écrit auprès de votre banque toute opération que vous n'avez pas autorisée.
  • Demandez systématiquement à votre banque de préciser, et de prouver, si une authentification forte a bien été exigée pour chacune des opérations contestées — pas seulement pour l'ajout du bénéficiaire.
  • Ne signez jamais un document par lequel vous reconnaîtriez une quelconque négligence : c'est à la banque de prouver votre faute, jamais l'inverse.

CA Amiens, chambre économique, 23 octobre 2025, n° 23/05055.

→ Victime de SIM swapping, votre banque refuse de vous rembourser ?
Un premier échange téléphonique gratuit permet de faire le point sur votre dossier et sur les preuves à réunir face à votre établissement bancaire.
thomas.gauriat@tga-avocat.fr │  07.61.77.20.83