Il n’est pas nécessaire d’être naïf pour tomber dans le piège. Les fraudes modernes ne ressemblent plus aux courriels mal écrits du « prince nigérian ». Ce sont des SMS qui apparaissent dans le même fil que les messages authentiques de votre banque. Des appels d’un prétendu « agent de sécurité » qui connaît votre nom et votre prénom. Des pages identiques à celle de votre banque en ligne. Et lorsque vous saisissez le code à usage unique — parce que « la banque vous l’a demandé » — vous pensez que tout est joué.

Ce n’est pas le cas. C’est ici que commence une histoire juridique que la plupart des gens ignorent et qui, ces dernières années, penche progressivement en faveur du consommateur.

Le grand malentendu : « j’ai donné le code, donc je suis responsable »

Commençons par dissiper le malentendu le plus répandu — et le plus commode pour les banques. Le fait que vous ayez vous-même saisi vos identifiants ou le code OTP ne signifie pas automatiquement que vous avez autorisé l’opération. Dans le langage de la loi, un paiement effectué alors que vous avez été trompé constitue, en principe, une opération de paiement non autorisée.

Le cadre est fixé par la loi n° 4537/2018, qui a transposé en droit grec la directive européenne PSD2. Elle énonce deux règles qu’il vaut la peine de connaître précisément :

  • Article 73 : en cas d’opération non autorisée, la banque doit rembourser immédiatement la somme, sauf si elle a des raisons fondées de soupçonner une fraude commise par le client lui-même.
  • Article 72 : le client ne supporte la perte qu’en cas de fraude intentionnelle ou de négligence grave.

En termes simples : le remboursement est la règle. L’absence de remboursement est l’exception et il appartient, en principe, à la banque de prouver que cette exception s’applique. Ce renversement change tout.

La règle n’est pas « celui qui a donné son code perd ». La règle est « la banque rembourse » — et l’exception doit être démontrée.

Quand êtes-vous réellement « en faute » ?

L’exception porte un nom : la négligence grave. Or les juridictions se montrent plus attentives que ne le souhaiteraient les banques. Il ne suffit pas d’affirmer « mais il a donné son OTP » pour vous imputer l’intégralité de la perte. La négligence grave ne se présume pas du seul fait qu’un code a été saisi ; elle s’apprécie globalement, au regard des circonstances concrètes.

C’est précisément ce qu’a confirmé la Cour de justice de l’Union européenne dans l’arrêt C-665/23 (Veracash), rendu en 2025 : l’évaluation de la « négligence grave » relève d’une appréciation d’ensemble par la juridiction nationale ; elle ne découle pas mécaniquement de l’utilisation, par l’usager, de ses éléments de sécurité.

Où se situe donc la limite ? La jurisprudence grecque fournit notamment les indications suivantes :

  • En faveur du consommateur : lorsque la fraude était sophistiquée, l’environnement convaincant et que la banque ne disposait pas de systèmes suffisants pour détecter les virements suspects. Dans de telles affaires, les juridictions ont mis la perte à la charge de la banque.
  • Au détriment du consommateur : lorsque les signaux d’alerte étaient flagrants — par exemple, lorsqu’une personne a saisi un OTP alors qu’elle n’avait demandé aucune opération et avait reçu un message présentant des caractéristiques manifestement suspectes (voir EirChalk 394/2022, tribunal de paix de Chalcis). Le tribunal a alors retenu une négligence grave.

La responsabilité de la banque s’étend

L’évolution la plus intéressante des deux dernières années tient à ce que les juridictions ont cessé de considérer la banque comme une victime passive et ont commencé à exiger d’elle une protection active. Deux exemples l’illustrent clairement :

  • La décision MPrAth 11632/2025 du tribunal de première instance d’Athènes statuant à juge unique a considéré que la banque devait détecter et bloquer les sites frauduleux imitant son environnement de banque en ligne. Elle a imputé la perte à la faute exclusive de la banque et l’a condamnée à verser 10 150 euros.
  • Le tribunal de première instance de Lassithi statuant à juge unique (Monomeles Protodikeio Lasithioy) a donné raison à un retraité de 71 ans qui avait perdu 5 674 euros prélevés sur son indemnité de départ, jugeant que la perte résultait d’une défaillance des systèmes de sécurité de la banque, et non d’une négligence grave de sa part.

Parallèlement, le législateur est intervenu avec la loi n° 5019/2023, qui comporte une disposition particulière sur la responsabilité du payeur dans les opérations de paiement non autorisées (« phishing »). Le cadre n’est donc pas figé : il évolue, et dans le sens d’une protection accrue de l’usager.

Les 60 premières minutes — que faire, dans l’ordre

En matière de fraude électronique, le temps est littéralement de l’argent. Plus vous agissez vite, plus vous avez de chances que le virement soit « gelé » ou rappelé :

  1. Appelez immédiatement la banque à son numéro officiel et demandez le blocage de la carte ou du compte, ainsi que le rappel du virement. Notez l’heure et le nom de l’agent.
  2. Déposez un signalement ou une contestation écrite pour opération non autorisée — ne vous contentez pas d’un appel. Demandez un numéro d’enregistrement.
  3. Signalez les faits à la Direction grecque de la lutte contre la cybercriminalité (Dieythynsi Dioxis Ilektronikoy Egklimatos) et déposez plainte contre X.
  4. Réunissez les preuves : captures d’écran du message, du lien et de l’heure ; chaque trace peut servir d’élément probant.
  5. Ne supprimez rien et ne « nettoyez » pas votre téléphone avant que les données aient été copiées.

Si la banque refuse

Très souvent, la première réponse de la banque est : « nous refusons, car l’opération a été effectuée avec vos codes personnels ». Ne la prenez pas pour un verdict définitif : c’est une position, non une décision de justice. À ce stade :

  • Demandez que le refus soit écrit et motivé. Vous devez savoir précisément ce qui vous est reproché.
  • Demandez les journaux de l’opération (logs, heure, adresse IP, données d’authentification). Vous disposez d’un droit d’accès aux données qui vous concernent.
  • Saisissez le Médiateur du consommateur (mediateur du consommateur) et le Médiateur financier hellénique (Ellinikos Chrimatooikonomikos Mesolavitis) : ces voies extrajudiciaires sont gratuites.
  • Si nécessaire, engagez une action en justice : comme nous l’avons vu, la jurisprudence ne se range plus automatiquement du côté de la banque.

Et, bien sûr, la meilleure défense : ne pas mordre à l’hameçon

Aucune protection juridique n’est aussi indolore que le fait de ne pas devenir victime. Retenez trois règles :

  • Votre banque ne vous demande jamais vos codes, votre PIN ou votre OTP — ni par SMS, ni par téléphone, ni par courriel. Quiconque les réclame est un fraudeur.
  • Ne cliquez pas sur les liens reçus par message. Accédez à votre banque en ligne uniquement en saisissant vous-même l’adresse ou au moyen de l’application officielle.
  • Si l’on vous presse ou vous effraie (« votre compte sera fermé dans 10 minutes »), il s’agit presque certainement d’une fraude. Raccrochez et appelez vous-même le numéro officiel.

Questions fréquentes

J’ai moi-même communiqué l’OTP. Ai-je réellement une chance ?

Oui, et elle est réelle. L’OTP ne « scelle » pas automatiquement votre responsabilité. Il faut déterminer, au regard de toutes les circonstances, s’il y a eu négligence grave. Si la fraude était sophistiquée et que la banque n’a pas détecté l’opération suspecte, vos chances d’obtenir gain de cause augmentent.

Dans quel délai dois-je signaler les faits ?

Immédiatement, idéalement dans les minutes qui suivent. La rapidité favorise à la fois le gel des fonds et votre position juridique, puisqu’elle montre que vous n’avez pas autorisé l’opération. Un retard injustifié peut être invoqué contre vous.

La banque affirme n’avoir aucune responsabilité. Est-ce exact ?

C’est sa position, pas la règle de droit. La loi n° 4537/2018 pose le remboursement comme principe et la responsabilité du client pour fraude ou négligence grave comme exception, laquelle doit être prouvée. Demandez une réponse écrite et motivée, puis consultez un avocat.

Ces règles concernent-elles seulement les particuliers, ou aussi les professionnels et les entreprises ?

Les protections de la PSD2 sont plus fortes pour les consommateurs, mais les professionnels disposent eux aussi de droits et ont obtenu gain de cause devant les tribunaux. Les modalités diffèrent ; une analyse juridique spécialisée est donc indispensable.

NE
Équipe éditoriale — Nomika EpilektaDroit bancaire et protection des consommateurs · Juillet 2026

Cet article est fourni à titre informatif et se réfère à la législation et à la jurisprudence en vigueur lors de sa rédaction. Chaque fraude s’apprécie selon ses circonstances propres. Si vous avez été victime, agissez immédiatement et consultez un avocat.

PhishingFraude bancaireBanque en ligneLoi n° 4537/2018PSD2Responsabilité bancaireProtection des consommateurs

Sources et vérification

L’article a été vérifié, avant publication, à partir de sources officielles ou primaires. Les montants et les seuils peuvent évoluer en raison de nouvelles lois ou circulaires.