Fraude bancaire, phishing, paiement non autorisé : la décision de la Cour de justice de l'Union européenne (CJUE) du 15 octobre 2026 pourrait marquer un tournant dans la lutte contre la fraude aux paiements. Elle renforce l'obligation de remboursement des opérations non autorisées, même lorsque la banque reproche une négligence à son client.
Cette décision est largement justifiée. Voici pourquoi, et ce qu'elle pourrait changer pour les commerçants.
Le saviez-vous ? Avec cet arrêt, la règle devient simple : la banque rembourse d'abord, et discute ensuite.
La fraude bancaire en Belgique en chiffres
- Environ 49 millions d'euros ont été détournés par phishing en Belgique en 2024, selon Febelfin, la fédération du secteur financier.
- 75 % des transactions frauduleuses liées au phishing ont été détectées, bloquées ou récupérées par les banques cette même année.
- Environ 42 000 messages suspects par jour ont été signalés à Safeonweb au premier trimestre 2026, contre 25 000 à 27 000 par jour en 2025, selon le Centre pour la cybersécurité Belgique (RTBF).
Phishing : ce que dit l'arrêt de la CJUE sur le remboursement
Dans l'affaire C-70/25, un client d'une banque polonaise, victime d'hameçonnage (phishing), contestait le refus de sa banque de le rembourser. La Cour précise les règles de la directive européenne sur les services de paiement (DSP2) :
| Situation | Ce que la banque doit faire |
|---|---|
| Opération non autorisée signalée par le client | Rembourser immédiatement, au plus tard à la fin du premier jour ouvrable suivant |
| La banque reproche une négligence grave au client | Rembourser quand même : ce n'est pas un motif de refus |
| La banque soupçonne une fraude du client | Seule exception, à justifier par écrit auprès de l'autorité nationale compétente |
| La banque veut récupérer les sommes | Possible ensuite, à condition de prouver une faute intentionnelle ou une négligence grave |
Source : communiqué de presse de la CJUE du 15 octobre 2026.
Qui supporte vraiment le risque de fraude ?
À chaque transaction, la banque émettrice perçoit une commission (l'interchange, voir la composition du coût de chaque transaction), sans nécessairement supporter l'ensemble des risques associés.
Pourtant, lorsqu'un commerçant présente un risque jugé trop élevé, les banques préfèrent rompre la relation commerciale plutôt que de s'exposer à des pertes potentielles importantes.
Important : en Belgique, si votre terminal de paiement enregistre des montants qui ne sont pas proportionnels à votre activité, ou qui relèvent d'une activité qui n'est pas reprise dans vos codes NACEBEL, votre contrat sera immédiatement suspendu, voire rompu.
Le paradoxe
Un commerçant parfaitement honnête peut être exclu du système financier, tandis que certains fraudeurs continuent à faire circuler leurs fonds par les mêmes circuits de paiement.
Trois acteurs, trois logiques
Jusqu'ici, la chaîne de paiement fonctionnait avec des intérêts très différents :
- Les banques touchaient peu et disaient « nous ne sommes responsables de rien ».
- Certains intermédiaires prenaient 3 à 20 fois plus de commissions, ce qui rendait l'activité suffisamment rentable pour compenser, à leurs yeux, les risques encourus.
- L'escroc, pour finir, pouvait toucher le fruit de son larcin moyennant un coût financier important.
Le saviez-vous ? Dans une escroquerie, le chiffre d'affaires est égal à la marge brute. Cela rend l'opération très rentable, même si l'escroc paye une commission très élevée (entre 3 et 20 fois plus cher).
Ce que la décision pourrait changer
L'effet attendu : moins de fraude bancaire
En renforçant la responsabilité des prestataires de paiement, cette décision pourrait les inciter à mieux contrôler, ou à refuser, les flux financiers indésirables, et donc à limiter les activités frauduleuses.
L'effet indésirable : des coûts répercutés
Attention : pour couvrir ces coûts supplémentaires, les acteurs financiers pourraient durcir leurs critères d'acceptation, ou répercuter ces coûts sur les commerçants, puis sur les consommateurs.
Commerçant : comment éviter la suspension de votre contrat
Si les contrôles se renforcent, mieux vaut ne pas être pris pour un profil à risque. Quelques bons réflexes :
- Vérifiez vos codes NACEBEL. Ils doivent correspondre à votre activité réelle dans la Banque-Carrefour des Entreprises (BCE). Si vous ajoutez une activité, faites-les mettre à jour par votre guichet d'entreprises.
- Prévenez votre prestataire avant un pic d'activité. Soldes, événement, saison touristique : une hausse soudaine des montants encaissés peut déclencher un blocage si elle n'a pas été annoncée.
- Déclarez des volumes réalistes lors de la signature de votre contrat (chiffre d'affaires par carte, montant moyen d'un ticket).
- Conservez vos justificatifs (factures, tickets, bons de livraison) pour répondre rapidement à une demande de contrôle ou à la contestation d'un paiement.
- En ligne, utilisez l'authentification forte (3-D Secure). Elle est imposée par la DSP2 pour la plupart des paiements par carte et réduit le risque de fraude.
Les deux vraies questions
- Les acteurs financiers factureront-ils uniquement le coût réel de la sécurité et de la gestion des risques, ou davantage ?
- Certains commerçants ne risquent-ils pas de ne plus trouver de prestataires de paiement à des prix acceptables, parce qu'ils ne correspondent pas aux « profils de risque » prédéfinis ?
Questions fréquentes
Ma banque doit-elle me rembourser en cas de phishing ?
En principe, oui. Si vous signalez sans tarder une opération que vous n'avez pas autorisée, la banque doit vous rembourser au plus tard à la fin du premier jour ouvrable suivant, même si elle estime que vous avez été négligent. Elle peut ensuite vous réclamer la somme, mais c'est à elle de prouver une négligence grave ou une faute intentionnelle.
Dans quel délai faut-il signaler une fraude ?
Le plus vite possible : bloquez d'abord votre carte via Card Stop (078 170 170), puis prévenez votre banque. La directive DSP2 impose de signaler une opération non autorisée sans tarder, et au plus tard 13 mois après la date du débit.
Que faire si la banque refuse de rembourser ?
Adressez d'abord une plainte écrite au service de plaintes de votre banque, en citant l'arrêt de la CJUE du 15 octobre 2026. Sans réponse satisfaisante, vous pouvez saisir gratuitement Ombudsfin, le médiateur des services financiers en Belgique.
Le commerçant est-il responsable en cas de paiement frauduleux ?
Cela dépend du type de paiement. En ligne, lorsque le paiement a été validé avec l'authentification forte (3-D Secure), la responsabilité en cas de fraude est en principe transférée à la banque du client. Sans authentification forte, le commerçant risque de se voir débiter le montant contesté (rétrofacturation). D'où l'intérêt d'un prestataire de paiement qui applique 3-D Secure.
Conclusion
L'arrêt de la CJUE protège mieux les victimes de fraude bancaire et pousse les prestataires de paiement à assumer une part plus juste du risque. Mais son effet réel dépendra de la manière dont ce coût sera réparti : s'il finance une sécurité plus efficace, tout le monde y gagne ; s'il est simplement répercuté, ce sont les commerçants honnêtes qui paieront la facture.
Le saviez-vous ? La question reste ouverte : la lutte contre la fraude peut-elle se faire sans exclure les commerçants qui ne rentrent pas dans les cases ?
Pour aller plus loin, découvrez comment se compose le coût de chaque transaction par carte, nos conseils pour protéger votre entreprise contre la fraude en ligne et nos terminaux de paiement en location.
Article rédigé par Emanuel Kervyn, fondateur de Hive Finances.
