Fraude à la carte bancaire : les techniques de 2026 et comment réagir
La fraude à la carte bancaire a reculé en 2025 (475 millions d’euros), mais 70 % se joue désormais sur internet, et les escrocs vous font de plus en plus valider les paiements à votre place. Un débit inconnu, même de quelques centimes, doit déclencher une opposition immédiate, car c’est souvent un test avant des achats plus gros. La banque doit rembourser une opération que vous n’avez pas autorisée dès le jour ouvrable suivant, et c’est à elle de prouver une éventuelle négligence grave.
Le skimming et le wifi public pèsent peu face aux faux sites, aux fuites de données et au détournement du paiement mobile. Voici les techniques en cours, ce que l’IA y change et vos droits.
Les chiffres 2025 : moins de fraude, mais plus ciblée
Selon le rapport annuel de l’Observatoire de la sécurité des moyens de paiement, publié par la Banque de France en septembre 2026, la fraude sur les cartes émises en France a atteint 475 millions d’euros en 2025, en baisse de 8,6 %. Rapporté aux paiements, c’est 47 euros de fraude pour 100 000 euros payés, un plus bas historique. Les paiements sur internet ne pèsent que 27 % des montants payés par carte, mais 70 % de la fraude. Deux signaux vont dans l’autre sens : la fraude sur les retraits progresse, et la fraude par manipulation, où la victime est poussée à valider l’opération, atteint 516 millions d’euros tous moyens de paiement confondus. Les fraudeurs ne forcent plus la sécurité de la carte : ils contournent son propriétaire.
Les 7 techniques utilisées en 2026
Les faux sites marchands et les faux SMS de paiement
C’est la porte d’entrée la plus fréquente. Un SMS réclame deux euros pour un colis, une amende ou une vignette, ou une publicité vante une promotion intenable. Le lien mène vers une copie d’un vrai site, où vous saisissez votre numéro de carte, sa date et son cryptogramme. Nos articles sur le faux colis et l’arnaque Crit’Air montrent les messages qui circulent. Notre guide comment savoir si un site est fiable donne les vérifications à faire avant de payer.
Le carding : des numéros testés par des robots
Des programmes génèrent ou essaient des milliers de combinaisons de numéros, de dates et de cryptogrammes sur des sites mal protégés, jusqu’à trouver une carte valide. La carte est ensuite testée par un tout petit paiement, souvent quelques centimes ou un don à une association, avant d’être utilisée ou revendue. Le principe est celui de l’attaque par force brute, appliquée aux cartes bancaires.
Les fuites de données et la revente
Quand un site marchand se fait pirater, les cartes enregistrées peuvent finir en vente sur des forums ou des canaux Telegram, regroupées par banque et par pays. Une carte volée de cette façon peut être utilisée des mois plus tard, sans que vous ayez rien fait de risqué. Une alerte de fuite chez un commerçant où vous avez payé justifie de surveiller vos relevés, voire de demander une nouvelle carte.
L’ajout de votre carte sur le téléphone d’un fraudeur
Une fois vos données obtenues, le fraudeur tente d’enregistrer votre carte dans Apple Pay ou Google Pay sur son propre téléphone. Votre banque vous envoie alors un code ou une demande de validation. Si vous le transmettez, souvent sous un prétexte (« code de remboursement », « vérification d’identité »), il peut payer sans contact partout, sans jamais toucher votre carte. Les paiements par mobile ont progressé de 38 % en 2025, et ce détournement suit la même courbe.
Le faux conseiller et le faux coursier
Le fraudeur appelle avec le numéro de votre banque affiché, vous fait valider des opérations, puis envoie un coursier récupérer votre carte « à détruire ». Cette arnaque explique en partie la hausse de la fraude sur les retraits. Nous la décrivons étape par étape dans notre article faux conseiller bancaire et faux coursier.
La fausse carte reçue par courrier
Un courrier aux couleurs de votre banque annonce une nouvelle carte, à « activer » en scannant un QR code. Le formulaire récupère vos identifiants bancaires et votre ancienne carte. Le détail de ce piège figure dans notre article sur la fausse carte bancaire reçue par courrier.
Le skimming et les terminaux piégés
Un faux clavier ou un lecteur glissé dans un distributeur copie la piste magnétique et filme le code. La puce a rendu cette technique rare en France, mais elle reste courante dans certains pays où la piste magnétique sert encore. En voyage, préférez les distributeurs situés à l’intérieur des agences, et couvrez le clavier en tapant votre code.
Ce que l’IA change
L’IA ne crée pas de nouvelle technique, elle accélère les anciennes. Un fraudeur peut générer en une soirée des dizaines de faux sites marchands complets, avec fiches produits, avis clients et mentions légales, à l’approche du Black Friday (27 novembre 2026) et de Noël. Les SMS frauduleux n’ont plus de fautes, et ils citent votre nom et votre ville grâce aux fichiers volés. Les robots de carding s’adaptent aux protections des sites et changent de rythme pour passer sous les radars. Un site sans faute ni défaut visible n’est donc plus un gage de sérieux : vérifiez son ancienneté, ses mentions légales et les avis sur des plateformes indépendantes.
Reconnaître un débit frauduleux
Un débit frauduleux ne ressemble pas toujours à un gros achat. Les signaux qui doivent alerter :
| Ce que vous voyez sur votre relevé | Ce que ça peut cacher |
|---|---|
| Un débit de quelques centimes à un nom inconnu | Un test de carte avant des achats plus importants |
| Un paiement en devise étrangère que vous n’avez pas fait | Une carte revendue et utilisée à l’étranger |
| Plusieurs petits paiements rapprochés chez le même commerçant | Des achats fractionnés pour rester sous les plafonds |
| Un appareil ou un portefeuille mobile ajouté dans votre appli | Votre carte enregistrée sur le téléphone d’un fraudeur |
| Un prélèvement mensuel inconnu | Un abonnement caché souscrit sur un faux site, ou un oubli de votre part |
Avant de conclure à une fraude, vérifiez que le libellé ne correspond pas à un achat réel : beaucoup de commerçants apparaissent sous le nom de leur société mère ou de leur prestataire de paiement.
Débit inconnu : les 4 gestes
Faites opposition depuis votre application ou au 0 892 705 705, ouvert jour et nuit, et notez le numéro d’enregistrement. Signalez la fraude sur Perceval, le service en ligne du ministère de l’Intérieur, pour obtenir un récépissé. Contestez les opérations par écrit auprès de votre banque, avec ce récépissé. Portez plainte si le montant est important ou si vos identifiants ont aussi été volés. Si vous avez donné d’autres informations (identifiants, IBAN, code reçu par SMS), suivez notre guide j’ai donné mes coordonnées bancaires, que faire.
Vos droits au remboursement
Une opération que vous n’avez pas autorisée doit être remboursée au plus tard à la fin du jour ouvrable suivant votre contestation, frais compris (article L133-18 du Code monétaire et financier). La banque ne peut refuser qu’en prouvant une fraude ou une négligence grave de votre part. Le 15 octobre 2026, la Cour de justice de l’Union européenne a précisé qu’invoquer cette négligence ne la dispense pas de rembourser d’abord : c’est ensuite à elle d’aller devant le juge si elle conteste. Vous disposez de 13 mois pour agir, ou de 70 jours si le paiement a eu lieu hors de l’Espace économique européen. Les cas où vous avez validé l’opération sous la pression d’un appel sont plus disputés : notre article sur le faux conseiller bancaire détaille la jurisprudence et ce qui aide votre dossier.
Se protéger : les outils français d’abord
| Outil | Ce qu’il apporte | Où le trouver |
|---|---|---|
| Carte à cryptogramme dynamique | Le code au dos change toutes les heures, une carte copiée devient vite inutilisable en ligne | BNP Paribas (13 €/an), Société Générale (14 €/an), Crédit Mutuel et CIC (12 €/an) |
| Carte virtuelle | Un numéro temporaire pour un achat ou un site, votre vraie carte n’est jamais saisie | Application de la plupart des banques, dont Caisse d’Épargne, Fortuneo, BoursoBank |
| Wero | Payer en ligne depuis votre application bancaire, sans saisir de numéro de carte | Clients Banque Populaire et Caisse d’Épargne depuis 2026, chez les sites compatibles |
| Blocage temporaire et plafonds | Mettre la carte en pause, couper les paiements à l’étranger ou en ligne | Application de votre banque |
| Notifications de paiement | Voir chaque débit en temps réel et réagir dans la minute | Application de votre banque |
| 33700 | Signaler un SMS frauduleux pour le faire bloquer | Transférez le SMS au 33700 |
Le réglage le plus utile reste le plus simple : désactiver le paiement sans contact et les paiements à l’étranger quand vous n’en avez pas besoin, et les réactiver en voyage. Pour vos achats, nos 10 conseils pour payer en ligne complètent cette liste.
FAQ
Un débit de quelques centimes, est-ce grave ?
Oui, si vous ne le reconnaissez pas. C’est la technique classique pour vérifier qu’une carte volée fonctionne. Faites opposition sans attendre le débit suivant.
Ma carte est dans mon portefeuille, comment a-t-elle pu être débitée ?
Le fraudeur n’a pas besoin de la carte physique : son numéro, sa date et son cryptogramme suffisent en ligne, et un code de validation suffit pour l’ajouter à un téléphone.
Ma banque peut-elle refuser de me rembourser ?
Elle doit d’abord rembourser une opération non autorisée. Elle ne peut récupérer la somme qu’en prouvant devant le juge une fraude ou une négligence grave de votre part.
Et si le paiement a eu lieu à l’étranger ?
La protection est la même dans l’Espace économique européen. Hors de cette zone, le délai de contestation est réduit à 70 jours.
En cas de doute sur les démarches, le 17Cyber vous oriente gratuitement.
Sources : Banque de France, rapport 2025 de l’Observatoire de la sécurité des moyens de paiement ; CJUE, 15 octobre 2026, affaire C-70/25 (France Épargne) ; Service Public, fraude à la carte bancaire ; Pricebank, cartes à cryptogramme dynamique ; Meilleurtaux, Wero chez Banque Populaire et Caisse d’Épargne ; Code monétaire et financier, articles L133-18, L133-23 et L133-24.
