Les opérations non autorisées sur une carte ou un compte se découvrent généralement de la manière la plus désagréable : une notification sur votre téléphone à deux heures du matin, un paiement dans une boutique en ligne inconnue ou un virement vers un compte que vous n’avez jamais vu. À ce moment-là, la panique est compréhensible, mais ce sont précisément les premières heures qui déterminent la facilité avec laquelle vous récupérerez votre argent. La loi est du côté du consommateur, mais seulement s’il agit vite et laisse une trace écrite.
Dans cet article, nous expliquons que faire dans les 24 heures suivant la découverte d’une opération de paiement non autorisée, quelles sont les obligations de la banque en vertu de la Loi sur les services et systèmes de paiement (Закон за платежните услуги и платежните системи, ЗПУПС), jusqu’à quel montant vous pouvez être responsable et quand vous ne l’êtes pas du tout. Nous examinons aussi séparément les escroqueries par phishing et vishing, dans lesquelles le client a lui-même saisi un code ou confirmé un virement.
Qu’est-ce qu’une opération « non autorisée » en droit ?
Selon l’art. 70 de la Loi sur les services et systèmes de paiement, une opération de paiement est autorisée si le payeur l’a ordonnée ou a consenti à son exécution. Sans consentement, l’opération est non autorisée. Exemples typiques :
- paiements avec une carte volée ou perdue ;
- paiements en ligne avec des données de carte copiées (numéro, date d’expiration, code CVC) ;
- virements depuis la banque en ligne ordonnés par un tiers qui a obtenu l’accès à votre profil ;
- retraits d’espèces à un distributeur avec une carte clonée.
La situation est différente lorsque vous avez vous-même ordonné le virement, fût-ce sous l’influence d’un escroc (par exemple un « investissement » ou la « mise à l’abri de votre argent » sur les instructions d’un faux employé de banque). Dans ce cas, vous avez formellement donné votre consentement et la protection est plus limitée – nous examinons cette distinction plus bas.
Opérations non autorisées : que faire dans les 24 premières heures
Les « 24 heures » ne sont pas un délai légal mais un délai pratique : la loi exige une notification sans délai, et chaque heure perdue donne aux escrocs le temps de déplacer l’argent.
- Bloquez immédiatement la carte. Utilisez l’application mobile ou la ligne téléphonique de la banque disponible 24 h/24. L’émetteur de la carte doit permettre de le prévenir à tout moment (art. 76, al. 1, point 4, de la Loi sur les services et systèmes de paiement). Si la banque en ligne est concernée, demandez aussi le blocage de l’accès et changez vos mots de passe.
- Prévenez la banque par écrit. Un appel téléphonique bloque la carte, mais il ne remplace pas une notification écrite. Envoyez un e-mail ou déposez une demande en agence, en indiquant expressément les opérations que vous contestez (date, montant, bénéficiaire) et que vous ne les avez pas autorisées. Demandez un numéro d’enregistrement.
- Portez plainte auprès de la police. La plainte se dépose au commissariat le plus proche ou en ligne auprès de la Direction générale de lutte contre la criminalité organisée (ГДБОП), qui dispose d’une unité spécialisée dans la cybercriminalité. Vous aurez besoin du numéro de dossier pour la banque et pour une éventuelle procédure judiciaire.
- Conservez les preuves. Faites des captures d’écran des SMS, notifications, e-mails, de l’historique des appels, des messages de l’escroc et des liens sur lesquels vous avez cliqué. Ne supprimez rien, même si c’est gênant.
- Demandez une preuve de la notification. Sur demande, la banque doit vous fournir, pendant 18 mois, la preuve que vous l’avez prévenue (art. 76, al. 1, point 5, de la Loi sur les services et systèmes de paiement).
Les mêmes démarches s’appliquent lorsque des opérations non autorisées sont effectuées sur le compte d’un proche décédé : les héritiers informent la banque du décès et demandent le blocage des cartes ainsi qu’un relevé des mouvements du compte. Nous décrivons comment les héritiers identifient les comptes et créances du défunt dans notre article sur la recherche des biens d’un défunt : comptes, biens immobiliers et parts sociales.
Notre expérience : L’erreur la plus fréquente consiste à se contenter d’un appel téléphonique et d’un « nous allons vérifier ». Des mois plus tard, la banque soutient que la notification était tardive, et le client n’a aucun moyen de prouver le contraire. Une notification écrite dès le premier jour est l’assurance la moins chère contre un tel litige.
Quand la banque doit-elle vous rembourser ?
La règle de base figure à l’art. 79, al. 1, de la Loi sur les services et systèmes de paiement : en cas d’opération de paiement non autorisée, le prestataire de services de paiement du payeur rembourse son montant immédiatement, et en tout état de cause au plus tard à la fin du jour ouvrable suivant celui où il a constaté l’opération ou en a été informé. Le compte doit être rétabli dans l’état où il se serait trouvé si l’opération non autorisée n’avait pas eu lieu, avec une date de valeur qui ne peut être postérieure à la date du débit.
La loi prévoit une exception : la banque peut s’abstenir de rembourser dans ce délai si elle a des motifs raisonnables de soupçonner une fraude et en informe les autorités compétentes. Si la banque s’en prévaut, demandez-lui par écrit de préciser en quoi consiste le soupçon et à quelle autorité le signalement a été fait.
De combien de temps disposez-vous pour prévenir la banque ?
Selon l’art. 77, al. 1, de la Loi sur les services et systèmes de paiement, la banque ne corrige une opération non autorisée que si vous l’en avez informée sans retard injustifié après en avoir eu connaissance, et au plus tard dans les 13 mois suivant la date du débit. Vous êtes réputé en avoir eu connaissance au plus tard lorsque vous avez reçu l’information sur l’opération (relevé, notification). Les treize mois sont une limite extrême, pas une recommandation.
Jusqu’à quel montant êtes-vous responsable ?
La Loi sur les services et systèmes de paiement répartit le risque entre la banque et le client selon les circonstances. Le tableau le résume :
| Situation | Qui supporte la perte | Fondement juridique |
|---|---|---|
| Carte perdue, volée ou détournée (jusqu’à la notification) | Le client – jusqu’au montant convenu, mais pas plus de 50 EUR | Art. 80, al. 1, de la Loi sur les services et systèmes de paiement |
| La perte ou le vol ne pouvait pas être détecté par le client avant le paiement | La banque (sauf fraude du client) | Art. 80, al. 2, point 1 |
| Le dommage a été causé par un employé ou un sous-traitant de la banque | La banque | Art. 80, al. 2, point 2 |
| Opérations postérieures à la notification de la banque | La banque (sauf fraude du client) | Art. 80, al. 5 |
| La banque n’a pas exigé d’authentification forte du client | La banque (sauf fraude du client) | Art. 80, al. 4 |
| Le client a agi frauduleusement ou, intentionnellement ou par négligence grave, n’a pas protégé la carte et les codes | Le client – en totalité, sans limite | Art. 80, al. 3 |
Le plafond de 50 EUR s’applique depuis le 1er janvier 2026 (modification publiée au Journal officiel n° 64 de 2025). Auparavant, le montant était fixé en leva. En cas de simple vol de carte, sans négligence de votre part, votre risque est de 50 EUR au maximum, et il est nul après la notification de la banque.
La charge de la preuve incombe à la banque
C’est peut-être la protection la plus importante pour le consommateur. Lorsque vous déclarez ne pas avoir autorisé une opération, c’est à la banque de prouver que l’opération a été authentifiée, dûment enregistrée et comptabilisée, et qu’elle n’a pas été affectée par une défaillance technique (art. 78, al. 1, de la Loi sur les services et systèmes de paiement).
La règle de l’art. 78, al. 4, est encore plus importante : la seule utilisation enregistrée de la carte ou des codes ne suffit pas à prouver que vous avez autorisé l’opération ou que vous avez commis une négligence grave. La banque doit apporter la preuve d’une fraude ou d’une négligence grave de votre part.
Que signifie l’absence d’authentification forte du client (SCA) ?
L’authentification forte du client (SCA) prévue à l’art. 100 de la Loi sur les services et systèmes de paiement exige au moins deux éléments indépendants relevant de trois catégories : quelque chose que vous seul connaissez (code PIN, mot de passe), quelque chose que vous seul possédez (téléphone, carte) et quelque chose que vous êtes (empreinte digitale, reconnaissance faciale). Pour les paiements en ligne, ces éléments doivent lier l’opération à un montant et à un bénéficiaire déterminés.
Si la banque n’a pas exigé une telle authentification, le payeur ne supporte aucune perte, sauf s’il a lui-même agi frauduleusement (art. 80, al. 4). Si le paiement est passé avec les seules données de la carte, sans confirmation supplémentaire, votre position s’améliore considérablement.
Phishing et vishing : quand vous avez « confirmé » vous-même
Les litiges les plus fréquents concernent aujourd’hui des escroqueries par faux sites, SMS et appels d’un « employé de banque » ou de « la police ». Il faut distinguer deux scénarios.
L’escroc a ordonné l’opération avec vos données
Vous avez saisi les données de votre carte ou le code reçu par SMS sur un faux site, et le paiement a été effectué par l’escroc. L’opération n’a pas été ordonnée par vous ; elle est donc en principe non autorisée. La banque objecte généralement que vous avez commis une négligence grave, mais la loi lui impose de le prouver. La question de savoir si la communication d’un code constitue une négligence grave ou ordinaire dépend des faits : le degré de crédibilité de l’escroquerie, le contenu du SMS contenant le code et le fait que la banque ait ou non mis en garde contre des schémas similaires. Il n’y a pas de réponse automatique.
Vous avez ordonné le virement vous-même
Si, sur les instructions d’un escroc, vous vous êtes vous-même connecté à la banque en ligne et avez ordonné un virement vers un « compte sécurisé » ou une « plateforme d’investissement », l’opération a formellement été autorisée par vous. Le mécanisme de remboursement immédiat de l’art. 79 ne s’applique en principe pas. Cela ne signifie pas nécessairement que l’argent est perdu, mais la voie est différente :
- demandez immédiatement à votre banque de contacter la banque du bénéficiaire pour tenter de récupérer les fonds (plus vous agissez tôt, plus grandes sont les chances que l’argent s’y trouve encore) ;
- portez plainte auprès de la police avec toutes les coordonnées du compte du bénéficiaire ;
- vérifiez si la banque a respecté ses obligations de sécurité et d’information ; pour les virements en euros, le règlement (UE) 2024/886 impose à la banque de vérifier si le nom du bénéficiaire correspond à l’IBAN et de vous avertir en cas de divergence. Le règlement est directement applicable et s’applique en Bulgarie sans loi distincte. Si la banque n’a pas effectué cette vérification, cela peut avoir une incidence sur sa responsabilité ;
- engagez une action contre le destinataire de l’argent.
Le destinataire est souvent une « mule financière » – une personne qui a mis son compte à disposition contre rémunération. Une action peut être intentée contre elle en restitution de ce qu’elle a reçu sans fondement juridique (enrichissement sans cause, art. 55 de la Loi sur les obligations et les contrats). Nous décrivons le déroulement d’une telle procédure, jusqu’à l’exécution par un huissier de justice privé (ЧСИ), dans notre article sur le recouvrement des créances impayées.
La banque refuse : et ensuite ?
Un refus type invoquant une « opération confirmée avec succès » n’est pas définitif.
- Réclamation écrite auprès de la banque. Chaque banque dispose d’une procédure interne de réclamation. Elle doit rendre une décision écrite dans les 15 jours ouvrables suivant la réception de la réclamation ; exceptionnellement, pour des raisons indépendantes de sa volonté et en vous informant expressément du retard, le délai peut être prolongé, mais sans dépasser 35 jours ouvrables (art. 174, al. 3 et 4, de la Loi sur les services et systèmes de paiement). Dans la réclamation, citez expressément les art. 78 et 80 de la Loi sur les services et systèmes de paiement et demandez les preuves sur lesquelles la banque fonde son refus.
- Commission de conciliation pour les litiges de paiement. Si la banque ne répond pas dans le délai ou si sa réponse ne vous satisfait pas, vous pouvez saisir la Commission de conciliation pour les litiges de paiement (Помирителна комисия за платежни спорове) auprès de la Commission de protection des consommateurs (КЗП) (art. 174, al. 5, et art. 175 de la Loi sur les services et systèmes de paiement). La procédure est gratuite pour les parties (art. 180), et la demande peut aussi être déposée en ligne sur le site de la Commission de protection des consommateurs. La proposition de la commission ne lie les parties que si toutes deux l’acceptent.
- Signalement à la Banque nationale de Bulgarie. La Banque nationale de Bulgarie (БНБ) supervise les banques et les établissements de paiement. Un signalement peut entraîner une inspection et des mesures contre la banque, mais la BNB ne tranche pas le litige individuel et n’accorde pas de sommes.
- Action en justice. Seul un tribunal peut ordonner définitivement la restitution de l’argent. Dans une action contre la banque, la charge de la preuve prévue à l’art. 78 de la Loi sur les services et systèmes de paiement joue à nouveau en faveur du consommateur, et des intérêts légaux peuvent être réclamés en plus du principal.
Comment préparer un dossier solide
Un bon dossier se construit dès les premiers jours. Établissez une chronologie avec les heures exactes : quand vous avez reçu le message, quand vous avez appris l’opération, quand vous avez prévenu la banque. Joignez le relevé, la plainte déposée à la police et la correspondance avec la banque. Demandez par écrit à la banque quels éléments d’authentification ont été utilisés pour confirmer chaque opération, et depuis quel appareil et quelle adresse IP.
Vérifiez aussi vos polices d’assurance : certains assureurs proposent une garantie contre l’utilisation frauduleuse de la carte en tant que risque complémentaire, et en cas de cambriolage une indemnisation peut aussi être demandée pour ce qui a été volé. Pour en savoir plus, lisez notre article sur l’assurance habitation contre l’inondation, l’incendie et le vol.
Si le montant est important ou si la banque refuse obstinément, les conseils d’un avocat en droit bancaire peuvent changer l’issue. Nous expliquons comment juger si un avocat convient à un litige donné dans notre article comment choisir un bon avocat et quelles questions lui poser.
Questions fréquentes (FAQ)
De combien de temps la banque dispose-t-elle pour restituer l’argent volé ?
Selon l’art. 79 de la Loi sur les services et systèmes de paiement, la banque doit rembourser le montant d’une opération non autorisée immédiatement, et au plus tard à la fin du jour ouvrable suivant la notification. La seule exception est un soupçon raisonnable de fraude du client, dont la banque doit informer les autorités compétentes.
Jusqu’à quel montant suis-je responsable si ma carte est volée ?
Si vous n’avez pas agi frauduleusement ni commis de négligence grave, votre responsabilité pour les opérations antérieures à la notification de la banque est limitée au montant convenu, sans dépasser 50 EUR (art. 80, al. 1, de la Loi sur les services et systèmes de paiement, en vigueur depuis le 1er janvier 2026). Vous n’êtes pas du tout responsable des opérations postérieures à la notification.
La banque affirme que l’opération a été confirmée avec mon code. Ai-je perdu d’avance ?
Pas nécessairement. Selon l’art. 78, al. 4, de la Loi sur les services et systèmes de paiement, l’utilisation enregistrée de la carte ou des codes ne prouve pas à elle seule que vous avez autorisé l’opération ou commis une négligence grave. La banque doit en apporter la preuve.
Quel est le délai ultime pour contester une opération ?
Le délai légal est de 13 mois à compter de la date du débit du compte (art. 77 de la Loi sur les services et systèmes de paiement). La loi exige toutefois une notification sans retard injustifié dès que vous avez connaissance de l’opération ; le mieux est donc de prévenir la banque le jour même où vous la découvrez.
Puis-je récupérer mon argent si j’ai moi-même fait un virement à un escroc ?
L’opération est formellement autorisée, et la règle du remboursement immédiat ne s’applique pas. Restent une tentative de récupération par l’intermédiaire de la banque du bénéficiaire, une plainte à la police et une action contre le destinataire en restitution de ce qu’il a reçu sans fondement juridique. Nous décrivons le recouvrement d’une telle créance dans notre article sur le recouvrement des créances impayées, de la mise en demeure à l’huissier de justice.
Dois-je porter plainte à la police si la banque va me rembourser ?
Oui. La plainte documente la fraude, permet de retrouver les auteurs et est souvent exigée par la banque elle-même. Le numéro de dossier est également utile devant la Commission de conciliation ou le tribunal.
De combien de temps la banque dispose-t-elle pour répondre à ma réclamation ?
La banque doit rendre une décision écrite dans les 15 jours ouvrables suivant la réception de la réclamation. Exceptionnellement, si le retard est dû à des raisons indépendantes de sa volonté et qu’elle vous en informe, le délai peut aller jusqu’à 35 jours ouvrables (art. 174 de la Loi sur les services et systèmes de paiement).
Que fait la Commission de conciliation pour les litiges de paiement ?
C’est un organe de règlement extrajudiciaire des litiges rattaché à la Commission de protection des consommateurs. La procédure est gratuite, et la proposition de la commission n’a la valeur d’une transaction que si les deux parties l’acceptent. Si la banque ne l’accepte pas, la voie judiciaire reste ouverte.
L’assurance habitation couvre-t-elle l’utilisation frauduleuse d’une carte bancaire ?
L’assurance de biens standard ne couvre généralement pas l’utilisation frauduleuse d’une carte. Certains assureurs proposent cette garantie en tant que risque complémentaire ; vérifiez donc les conditions générales de votre police. Pour en savoir plus sur les garanties et les refus, voir notre article sur l’assurance habitation et les refus d’indemnisation.
Que faire en cas d’opérations non autorisées sur le compte d’un proche décédé ?
Les héritiers informent la banque du décès en présentant le certificat d’hérédité et demandent le blocage des cartes ainsi qu’un relevé des mouvements du compte. Nous expliquons comment identifier les comptes d’une personne décédée dans notre article sur la recherche des comptes bancaires et des biens d’un défunt.
Quand vaut-il la peine de faire appel à un avocat ?
Lorsque le montant est important, que la banque invoque une négligence grave ou qu’il s’agit d’un virement que vous avez ordonné sous l’influence d’un escroc. Voir les questions à poser à un avocat lors de la première consultation.
Comment pouvons-nous vous aider ?
Le cabinet d’avocats Mechkova & Dimitrova assiste ses clients dans les litiges avec les banques et les établissements de paiement relatifs à des opérations non autorisées : de la rédaction de la notification écrite et de la réclamation à la banque, en passant par la procédure devant la Commission de conciliation pour les litiges de paiement, jusqu’à l’action en justice et aux demandes contre les destinataires de l’argent.
Chaque affaire dépend de ses faits concrets et nous ne pouvons pas promettre un résultat à l’avance, mais nous pouvons évaluer vos chances et engager rapidement les bonnes démarches. Contactez-nous pour une consultation sur votre dossier le plus tôt possible après avoir découvert l’opération non autorisée.
