Tout le monde connaît le réflexe : un SMS douteux arrive, on le transfère au 33700, on le supprime, on passe à autre chose. Ce geste est utile — mais il laisse une question en suspens que personne ne pose jamais : et après ? Où part ce signalement ? Qui le lit ? Débouche-t-il sur quelque chose de concret, ou finit-il dans un puits sans fond ?
Cet article ne parle pas de reconnaître un SMS frauduleux, sujet déjà largement traité. Il s'intéresse à ce qui vient ensuite : l'architecture administrative française du signalement, les guichets qui existent réellement, ce qu'ils font, et surtout la partie que les victimes découvrent trop tard — la procédure de remboursement bancaire, ses délais légaux, et les recours quand l'établissement traîne des pieds. Car en droit français, une victime de fraude au paiement dispose de bien plus de leviers qu'elle ne l'imagine.
Le 33700 : ce que devient vraiment votre transfert
Le 33700 est un dispositif porté par les opérateurs français (Orange, SFR, Bouygues Telecom, Free) sous l'égide de la Fédération française des télécoms, avec le soutien des pouvoirs publics. Il est gratuit, y compris depuis un forfait bloqué.
La procédure officielle tient en deux temps, et c'est le second que beaucoup oublient :
- Transférer le SMS suspect au 33700.
- Attendre le SMS de réponse automatique, puis renvoyer le numéro de l'expéditeur (celui qui apparaissait comme émetteur du message frauduleux).
Sans cette seconde étape, le signalement est largement inexploitable : la plateforme reçoit un texte, mais pas la source. C'est l'erreur la plus fréquente, et elle explique une partie du sentiment d'inutilité qu'éprouvent les utilisateurs.
Une fois le couple message + numéro reçu, les données sont agrégées. Les opérateurs peuvent alors :
- couper la ligne émettrice lorsqu'elle appartient au réseau français ;
- bloquer en amont, au niveau réseau, les messages contenant certaines URL identifiées ;
- transmettre les éléments aux autorités judiciaires dans le cadre d'enquêtes.
Le 33700 est un outil de défense collective, pas de réparation individuelle. Il protège les prochains destinataires, pas vous. C'est précisément pour cela qu'il ne dispense jamais des autres démarches.
Un mot sur la réalité technique : une part croissante des campagnes de smishing repérées depuis 2025 par des équipes comme l'Unit 42 de Palo Alto Networks n'utilise plus du tout de cartes SIM françaises. Les envois passent par des passerelles internationales, des numéros virtuels rotatifs ou du matériel d'émission déplacé en voiture. Couper une ligne devient alors un jeu de taupe. Cela ne rend pas le signalement inutile, mais explique pourquoi il ne suffit pas.
Les autres guichets officiels, et lequel choisir
La France a multiplié les plateformes, au point que les victimes ne savent plus laquelle solliciter. Voici la répartition réelle des compétences.
| Plateforme | Ce qu'elle traite | Ce qu'elle ne fait pas |
|---|---|---|
| 33700 | SMS et appels indésirables, spams vocaux | Ne vous rembourse pas, ne prend pas plainte |
| Cybermalveillance.gouv.fr | Diagnostic, mise en relation avec un prestataire, fiches réflexes | N'enquête pas, ne poursuit pas |
| PHAROS (internet-signalement.gouv.fr) | Contenus illicites en ligne, sites frauduleux | Ne traite pas le préjudice financier individuel |
| Perceval (service-public.fr) | Usage frauduleux de carte bancaire, hors plainte | Ne remplace pas la démarche auprès de la banque |
| THESEE | Plainte en ligne pour escroqueries sur internet | Ne couvre pas tous les types d'infraction |
| Signal Conso | Litiges avec un professionnel, démarchage abusif | Ne traite pas la fraude pénale |
Le bon réflexe dépend de ce que vous avez perdu.
Si vous n'avez rien saisi
Transfert au 33700, suppression du message, et c'est tout. Inutile de déposer plainte pour un SMS reçu : il n'y a pas de préjudice constitué. En revanche, si les messages se répètent de façon massive, conservez-en quelques captures, elles peuvent alimenter un dossier ultérieur.
Si vous avez saisi des identifiants
Changement immédiat des mots de passe concernés, activation de la double authentification là où c'est possible, puis signalement sur Cybermalveillance.gouv.fr, qui délivre un parcours d'assistance personnalisé. Pour les personnes qui gèrent une dizaine de comptes sensibles, un carnet de mots de passe papier rangé hors de vue reste, paradoxalement, une solution plus robuste qu'un fichier texte sur le bureau — à condition qu'il ne quitte jamais le domicile.
Si vous avez communiqué des données bancaires
Là, l'ordre des opérations compte, et chaque heure joue.
La procédure bancaire : ce que dit vraiment la loi
C'est le point le plus mal connu, et le plus favorable aux victimes. Le principe est posé par le code monétaire et financier, aux articles L.133-18 et suivants, transposition de la directive européenne sur les services de paiement (DSP2).
La règle de base est nette : en cas d'opération de paiement non autorisée, la banque rembourse immédiatement le payeur, et au plus tard à la fin du premier jour ouvrable suivant le signalement. Ce n'est pas une faveur commerciale, c'est une obligation légale.
Les nuances à connaître :
- La franchise de 50 € prévue en cas de perte ou vol ne s'applique pas lorsque les données ont été détournées à distance sans que la carte quitte votre possession.
- La banque ne peut refuser qu'en démontrant une négligence grave de votre part. La charge de la preuve lui incombe — et la Cour de cassation a, à plusieurs reprises, rappelé que la seule communication d'un code reçu par SMS, obtenue par manœuvre frauduleuse sophistiquée, ne caractérise pas automatiquement cette négligence.
- Le délai pour contester est de 13 mois à compter du débit (70 jours si le prestataire est situé hors Espace économique européen).
Concrètement, la marche à suivre :
- Faire opposition sans délai (application bancaire, serveur d'opposition interbancaire au 0 892 705 705).
- Contester par écrit, en recommandé avec accusé de réception, en listant les opérations, dates et montants. L'écrit est ce qui fait courir les délais légaux — un appel téléphonique ne laisse aucune trace opposable.
- Déclarer sur Perceval si la carte a été utilisée sans avoir été volée physiquement. Le récépissé est un élément de dossier.
- Déposer plainte en commissariat, gendarmerie, ou via THESEE lorsque les faits relèvent d'une escroquerie en ligne.
Quand la banque refuse : les recours qui fonctionnent
Le refus est fréquent, souvent motivé par la formule passe-partout : « vous avez validé l'opération avec votre dispositif d'authentification forte ». Ce n'est pas une fin de non-recevoir valable en soi.
Étape 1 — Le service réclamations
Chaque établissement dispose d'un service réclamations distinct de l'agence. Écrivez-lui directement, en rappelant l'article L.133-18 et en demandant la production des éléments techniques justifiant l'authentification contestée. Délai de réponse encadré : quinze jours ouvrables en principe, deux mois maximum en cas de complexité.
Étape 2 — Le médiateur bancaire
Gratuit, indépendant, saisissable en ligne. Ses avis ne sont pas contraignants mais sont suivis dans une large majorité de cas. Il faut avoir épuisé le recours interne au préalable. Les coordonnées figurent obligatoirement sur les relevés de compte et les conditions générales.
Étape 3 — Les autorités de contrôle
L'ACPR (Autorité de contrôle prudentiel et de résolution), adossée à la Banque de France, ne tranche pas les litiges individuels mais recueille les signalements et sanctionne les pratiques déviantes des établissements. Un signalement massif sur un même comportement produit des effets — plusieurs banques ont durci leurs procédures de remboursement après des campagnes de contestation coordonnées relayées par les associations de consommateurs (UFC-Que Choisir, CLCV).
Étape 4 — Le juge
Devant le tribunal judiciaire, la procédure pour les petits litiges reste accessible sans avocat en dessous de certains seuils. Les décisions publiées ces dernières années sont majoritairement favorables aux victimes de spoofing bancaire, dès lors que la manœuvre était crédible et que la banque ne démontre pas de faute lourde.
Un dossier gagnant est un dossier daté. Captures d'écran horodatées, courriers recommandés, récépissés de plainte, relevés annotés. La qualité de l'archivage pèse plus que l'éloquence du courrier.
Constituer un dossier qui tient
Beaucoup de recours échouent non par manque de droit, mais par manque de preuves exploitables. Quelques principes concrets.
Ne supprimez rien avant d'avoir archivé. Le SMS frauduleux lui-même est une pièce : il montre l'expéditeur affiché, l'heure, le contenu. Photographiez l'écran plutôt que de vous contenter d'une capture, car la photo intègre parfois des métadonnées utiles.
Documentez la chronologie. Un simple tableau à trois colonnes — heure, événement, preuve associée — vaut mieux qu'un récit. Les services de réclamations traitent des centaines de dossiers ; celui qui se lit en deux minutes est celui qui avance.
Conservez les originaux hors de l'appareil. Si le téléphone a été compromis, il peut être réinitialisé, saisi, ou simplement défaillant. Une clé USB chiffrée conservée à part, ou un disque dur externe dédié aux documents sensibles, évite de tout perdre au pire moment. Le nuage n'est pas une mauvaise idée, à condition que le compte associé n'ait pas été lui-même touché par la fraude.
Faites constater l'état de l'appareil si une application a été installée. Un prestataire référencé par Cybermalveillance.gouv.fr peut établir un rapport technique. C'est un élément de poids face à un assureur ou un juge.
Le volet assurance, souvent ignoré
De nombreux contrats bancaires haut de gamme, ainsi que certaines assurances habitation multirisques ou garanties « protection juridique », incluent un volet cyberprotection. Les garanties couvrent selon les cas l'assistance à la reconstitution de comptes, la surveillance de l'usurpation d'identité, voire la prise en charge de frais de procédure.
Relisez vos conditions générales avant de payer quoi que ce soit à un prestataire privé. Le délai de déclaration à l'assureur est généralement court — cinq jours ouvrés dans beaucoup de contrats — et il court à compter de la découverte des faits, pas de la fraude elle-même.
Ce qu'il faut faire avant pour que tout soit plus simple
Le meilleur dossier est celui qu'on n'a pas à monter. Trois habitudes changent la donne.
Cloisonner les usages. Une carte bancaire virtuelle à plafond réduit pour les achats en ligne limite mécaniquement le préjudice. La plupart des banques la proposent gratuitement, il suffit de l'activer.
Filtrer en amont. Les systèmes récents proposent un tri automatique des expéditeurs inconnus. Sur les appareils plus anciens ou pour les personnes moins à l'aise, une application de filtrage des SMS indésirables installée depuis la boutique officielle réduit sensiblement le volume qui atteint réellement l'utilisateur.
Sécuriser l'accès physique. Un téléphone dont l'écran est fissuré finit souvent chez un réparateur avec ses données intactes, et un appareil qui s'éteint faute d'autonomie ne permet pas de faire opposition à temps. Un verre trempé de protection et une batterie externe compacte relèvent moins du gadget que de la continuité opérationnelle le jour où il faut agir vite.
Enfin, pour les foyers où l'on accompagne un proche âgé, l'expérience montre que la connaissance des démarches vaut mieux que la peur. Un guide pratique de cybersécurité pour particuliers laissé à disposition, consulté tranquillement, produit des réflexes plus durables qu'une mise en garde répétée dans l'urgence.
En résumé
| Situation | Démarche prioritaire | Délai à respecter |
|---|---|---|
| SMS reçu, non cliqué | 33700 (message + numéro) | Immédiat |
| Identifiants saisis | Changement de mots de passe, Cybermalveillance.gouv.fr | Dans l'heure |
| Données bancaires transmises | Opposition, contestation écrite, Perceval, plainte | 13 mois maximum pour contester |
| Banque qui refuse | Service réclamations → médiateur → ACPR → juge | 15 jours à 2 mois par étape |
| Application installée | Isolement de l'appareil, expertise, plainte | Immédiat |
Signaler un SMS frauduleux, c'est participer à un effort collectif. Faire valoir ses droits, c'est autre chose : une démarche individuelle, écrite, documentée, et beaucoup plus efficace qu'on ne le croit. La loi française et européenne protège les victimes de fraude au paiement bien mieux que ne le laissent entendre les premiers refus des services clients. Encore faut-il savoir où frapper, et dans quel ordre.
Et quand vous devez prévenir rapidement un proche qu'une campagne de faux SMS circule au nom d'un transporteur ou d'une banque, un message court envoyé depuis un navigateur, sans installer quoi que ce soit, reste le moyen le plus direct de faire passer l'information — surtout si l'appareil concerné est justement celui dont on doute.
