La fraude bancaire ne commence plus forcément par le piratage d’un système. Elle commence souvent par un SMS, un appel, un message assez crédible pour convaincre un client d’agir contre ses propres intérêts.
Onze personnes jugées à Paris, une centaine de victimes, 740 000 euros envolés. Le mode opératoire : un SMS annonçant un achat frauduleux, un faux conseiller au téléphone, une carte glissée dans une enveloppe que vient récupérer un coursier. Ce procès, tenu en 2026, n’a rien d’exceptionnel. Il illustre une évolution mesurée par l’Observatoire de la sécurité des moyens de paiement : depuis la généralisation de l’authentification forte, la fraude cherche moins à casser les systèmes qu’à convaincre les clients de les ouvrir eux-mêmes.
Cette évolution change ce qu’on attend d’un dispositif de gestion de la fraude. La bonne réponse n’est pas d’ajouter des contrôles, mais de confier le doute porteur et l’opposition carte à une équipe spécialisée, capable de traiter ces situations vite, bien, et dans le cadre fixé par la réglementation, DORA compris. Un client qui appelle pour un doute porteur ou une opposition carte n’est jamais dans un état neutre : il vient de voir une transaction qu’il ne reconnaît pas, ou il a reçu une alerte qui l’inquiète. Ce moment pèse lourd sur la confiance, et c’est justement celui que beaucoup de directions conformité hésitent à confier à l’extérieur.
À retenir
- Confier le doute porteur et l’opposition carte à une équipe spécialisée apporte disponibilité, spécialisation et documentation homogène. Il ne déplace pas la responsabilité : la banque reste responsable devant le régulateur.
- La fraude par manipulation représente désormais environ 40 % de la valeur totale de la fraude, selon l’Observatoire (Banque de France, premier semestre 2025).
- La qualité du premier appel devient une pièce de dossier : la banque doit prouver l’authentification, la fraude ou la négligence grave, et les juges se montrent exigeants.
- Un bon contrat précise qui décide, qui exécute, ce qui est enregistré et comment le prestataire est audité.
Pourquoi externaliser le doute porteur et l’opposition carte ?
Un client qui pense être victime d’une fraude doit agir vite : le Code monétaire et financier lui demande de faire opposition sans tarder, et un serveur interbancaire d’opposition est ouvert 24 heures sur 24, 7 jours sur 7, selon la Banque de France. Une banque qui répond mal à ce moment-là perd plus qu’un appel : elle perd de la confiance, et parfois un dossier. Voici ce qu’un partenaire spécialisé peut apporter.
| Ce que la banque cherche | Ce qu’un partenaire spécialisé peut apporter | Ce qu’il faut contractualiser |
|---|---|---|
| Être joignable à toute heure | Une couverture continue, sans mobiliser vos équipes de nuit et de week-end | Les horaires et le niveau de service par tranche horaire |
| Traiter vite | Des conseillers dédiés à ces motifs, formés à les qualifier rapidement | Un délai de prise en charge et un taux d’abandon maximum |
| Reconnaître les scénarios | Une exposition quotidienne aux fraudes récentes (faux conseiller, SMS frauduleux, usurpation de numéro) | Un dispositif de remontée des nouveaux modes opératoires |
| Des dossiers homogènes | Des scripts, des grilles et des champs obligatoires qui rendent chaque dossier comparable | Une grille qualité et des écoutes régulières |
| De la continuité | Des renforts en cas de pic, par exemple après une vague de SMS frauduleux | Un délai d’activation écrit dans le contrat |
| Tenir la relation avec un client sous stress | Des conseillers préparés à l’empathie, sans perdre la rigueur du process | Des indicateurs de satisfaction sur ce motif |
Sur ce dernier point, notre témoignage Fortuneo et Armatis insiste sur l’empathie face à un client stressé qui appelle pour une fraude.
Une nuance honnête : externaliser ne rend pas la fraude plus simple à traiter en soi. Cela apporte de la disponibilité et de la spécialisation, à condition de garder la main sur les décisions et de bien écrire le contrat. C’est l’objet des sections suivantes.
Termes et réglementations à connaître
| Terme | Définition |
|---|---|
| Doute porteur | Situation où un client conteste une opération sans pouvoir déterminer immédiatement s’il s’agit d’une fraude, d’une erreur ou d’un oubli |
| Opposition carte | Blocage immédiat d’une carte après une perte, un vol ou une suspicion de fraude |
| DSP2 | Directive européenne encadrant les services de paiement, qui impose l’authentification forte des clients |
| 3DS2 | Version actuelle du protocole 3-D Secure, qui authentifie les paiements en ligne par carte, avec ou sans étape de vérification selon le risque |
| SCA | Strong Customer Authentication : authentification forte reposant sur au moins deux facteurs de sécurité |
| Liability shift | Mécanisme des réseaux de cartes qui fait porter la responsabilité financière d’une fraude sur l’acteur ayant validé une authentification conforme (règles à confirmer avec votre équipe monétique) |
| DORA | Règlement européen sur la résilience opérationnelle numérique des établissements financiers et de leurs prestataires de services informatiques |
| KYC / KYB | Vérification de l’identité des clients (Know Your Customer) ou des entreprises (Know Your Business) |
Doute porteur : bien qualifier, vite sécuriser
Le doute porteur, c’est un client qui conteste une opération sans certitude sur sa nature : fraude, erreur de saisie ou débit oublié. L’opposition carte est plus tranchée : blocage immédiat après une perte, un vol ou un usage frauduleux avéré.
Dans l’affaire jugée à Paris, la frontière entre les deux s’est brouillée en quelques minutes. La victime reçoit un SMS, appelle un numéro qu’elle croit légitime, et c’est le faux conseiller qui évoque le mot « fraude » en premier. Au moment où la vraie banque intervient, le client n’est déjà plus dans le doute : convaincu d’avoir bien fait, ou dévasté de comprendre qu’il s’est trompé.
Dans une situation de fraude présumée, l’ordre des actions est essentiel.
- Sécuriser : geler l’accès ou bloquer la carte, avant toute analyse.
- Qualifier : fraude, erreur ou oubli du client, poser le bon diagnostic.
- Expliquer : rassurer le client et détailler les prochaines étapes.
- Suivre : tracer le dossier jusqu’à sa résolution.
Ce réflexe ne s’acquiert pas sur une fiche de procédure. Il se construit par la répétition de cas réels. Un conseiller généraliste traite un doute porteur occasionnellement. Un conseiller spécialisé en traite plusieurs par jour. L’écart se voit dans le temps de traitement, dans le taux de clients qui rappellent, et dans la capacité à rester calme face à quelqu’un qui, parfois, pleure au téléphone.
Ce que révèlent les chiffres de la fraude bancaire
Selon l’Observatoire de la sécurité des moyens de paiement, la fraude sur l’ensemble des moyens de paiement a progressé de 7 % au premier semestre 2025, à 618 millions d’euros, alors que le taux de fraude sur la carte est tombé à 0,048 %, un plus bas historique. Les dispositifs techniques gagnent en efficacité. Les fraudeurs, eux, s’adaptent en ciblant directement les clients.
| Ce que mesure l’Observatoire (S1 2025) | Chiffre |
|---|---|
| Fraude globale sur les moyens de paiement | 618 M€ (+ 7 % sur un an) |
| Fraude à la carte | 211 M€ (− 9,8 %), taux de 0,048 %, plus bas historique |
| Fraude par manipulation | 245 M€ (+ 37 % sur un an), environ 40 % de la valeur totale de la fraude, contre 32 % en 2023 et 2024 |
| Fraude par manipulation sur les virements depuis la banque en ligne | + 31 % sur six mois, + 54 % sur un an |
| Part du virement dans la fraude en valeur | 37 %, devant la carte (34 %) et le chèque (20 %) |
| Montant moyen d’un virement frauduleux | 2 104 € (contre 3 023 € un an plus tôt), avec un nombre d’opérations multiplié par plus de deux |
Le taux de fraude carte est au plus bas, et pourtant le montant global de la fraude progresse. Le risque ne disparaît pas, il se déplace. Pour la fraude par manipulation, elle reste quasi stable sur les paiements par carte fortement authentifiés, mais elle progresse nettement sur les virements réalisés depuis la banque en ligne. Après le déploiement du mécanisme d’authentification des numéros issu de la loi Naegelen, l’Observatoire relève que les fraudeurs utilisent désormais des numéros banalisés en « 06 » et « 07 » pour envoyer des SMS ou passer des appels usurpant l’identité d’un tiers, par exemple le conseiller bancaire.
Les fraudeurs préparent leur appel : données personnelles collectées via des fuites ou du phishing préalable, nom, banque, parfois les premiers chiffres d’un numéro de compte. Certains utilisent déjà l’intelligence artificielle pour affiner leurs scripts ou imiter une voix, même si un interlocuteur simplement bien renseigné suffit souvent.
Les compétences requises évoluent en conséquence. Détecter une anomalie technique relève d’un système de règles. Détecter qu’un client est en train d’être manipulé en direct demande une expertise humaine, entretenue par l’exposition régulière aux scénarios récents.
Jurisprudence : la négligence grave, de plus en plus difficile à prouver pour la banque
Un rappel de base d’abord. Quand un client conteste une opération, c’est à la banque de prouver que l’opération a été authentifiée et correctement enregistrée, et de prouver la fraude ou la négligence grave du client (article L. 133-23 du Code monétaire et financier). L’utilisation de la carte ou des données qui lui sont liées ne suffit pas à établir cette preuve, comme le rappelle l’INC.
Ce qui a évolué, c’est la façon dont les juges apprécient la négligence grave face aux fraudes par manipulation.
- Cour de cassation, 23 octobre 2024 (chambre commerciale, n° 23-16.267) : aucune négligence grave ne peut être reprochée à un client qui, contacté par un faux conseiller dont le numéro s’affiche comme celui de sa banque, utilise son dispositif de sécurité personnalisé pour ajouter des bénéficiaires de virements. Le numéro usurpé a mis la victime en confiance. C’est ce que détaille la lettre de la DAJ.
- Cour d’appel de Paris, 22 mai 2025 (deux décisions, RG n° 24/02286 et n° 24/02984) : le simple fait de se faire dérober ses données de sécurité ne constitue pas nécessairement une faute, notamment quand l’appel semble provenir du numéro officiel de la banque. La cour se montre exigeante sur la preuve apportée par la banque.
Ces décisions ne signifient pas que toutes les victimes sont remboursées : la banque conserve la possibilité de démontrer une négligence grave, au cas par cas. Mais elle doit le démontrer concrètement.
La qualité de la première prise en charge d’un doute porteur n’est donc plus seulement un enjeu d’expérience client. Un dossier mal qualifié, une opposition tardive, une explication insuffisante : chacun de ces éléments peut peser dans un litige. La qualité du premier appel devient une pièce de dossier, pas seulement un indicateur de qualité.
3DS2, scoring fraude et liability shift
Le protocole 3-D Secure, en version 3DS2, reste le principal rempart contre la fraude sur les paiements par carte à distance. Il s’inscrit dans le cadre de la DSP2, qui impose une authentification forte combinant au moins deux facteurs. Les paiements habituels passent en flux sans friction. Les opérations atypiques déclenchent un flux avec vérification renforcée.
Les données de l’Observatoire montrent l’intérêt du dispositif : au premier semestre 2025, les paiements par carte sur internet hors 3-D Secure et sans authentification forte affichent des taux de fraude nettement plus élevés (0,13 % pour les transactions nationales, 0,49 % dans l’Espace économique européen et 0,96 % à l’international), tandis que les paiements authentifiés via 3-D Secure avec authentification forte ressortent à 0,089 %. L’Observatoire a d’ailleurs lancé en juin 2024 un plan d’action pour sécuriser les paiements hors 3-D Secure, avec une diminution progressive des exemptions accordées et de nouvelles actions prévues en 2026.
Le mécanisme de liability shift mérite une attention particulière. En règle générale, selon les règles des réseaux de cartes, quand la transaction est authentifiée via 3DS2, la responsabilité financière d’une fraude bascule vers l’émetteur. Si l’acquéreur ou le commerçant demande une exemption d’authentification, cette protection ne joue pas de la même manière. Ces règles sont techniques et évoluent : à valider avec votre équipe monétique.
Le scoring fraude qui alimente cette classification croise des dizaines de variables : historique du porteur, géolocalisation, appareil utilisé, montant, marchand habituel ou non. Un scoring mal calibré coûte cher dans les deux sens : trop de faux positifs bloquent des clients légitimes, trop de faux négatifs exposent la banque, d’autant plus depuis l’évolution de la jurisprudence.
DORA : l’externalisation devient une question de gouvernance
Depuis le 17 janvier 2025, le règlement européen DORA impose aux acteurs financiers un cadre renforcé de gestion des risques liés aux technologies de l’information, avec une attention particulière portée aux prestataires tiers de services informatiques. Il n’interdit pas l’externalisation : il en encadre les risques. Un centre de contact qui traite des appels n’entre pas automatiquement dans cette catégorie, mais les outils qu’il utilise peuvent en relever. C’est à qualifier avec votre équipe risques.
Pour un directeur conformité, la question posée à un prestataire change de nature. Ce n’est plus « traitez-vous bien mes doutes porteurs ? », mais « pouvez-vous m’aider à documenter ma résilience opérationnelle si l’ACPR interroge ma chaîne de sous-traitance ? ».
Un point de précision, car il est souvent mal compris. L’obligation de notifier un incident majeur à l’ACPR pèse sur l’établissement financier : la notification initiale doit intervenir dans les 4 heures après la classification de l’incident comme majeur, et au plus tard 24 heures après sa découverte, comme le rappelle Fidal. Le prestataire doit donc pouvoir alerter la banque très vite, avec les éléments utiles, pour qu’elle respecte ce délai.
Avant de signer, un directeur conformité peut vérifier trois points concrets.
| Point à vérifier | Ce qu’il faut demander |
|---|---|
| Détection et alerte | Un registre des incidents à jour, et le délai réel avec lequel le prestataire alerte la banque en cas d’incident |
| Résilience | Des tests de continuité documentés, la fréquence de ces tests et leurs résultats |
| Audit | La capacité à produire les pièces d’un audit de sous-traitance sans délai de préparation, et les droits d’audit prévus au contrat |
Pourquoi l’externalisation généraliste échoue sur ce périmètre
Les mauvaises expériences d’externalisation viennent souvent du même endroit : un centre d’appels généraliste, formé rapidement sur un script fraude, sans culture bancaire ni actualisation continue. Le client sent qu’il parle à quelqu’un qui découvre son cas. La qualification est approximative, le taux de rappel grimpe, et avec lui le risque de litige.
Ce type de prestataire traite la fraude comme un motif de contact parmi d’autres, au même rang qu’une demande de RIB. Le doute porteur et l’opposition carte demandent une combinaison rare : rapidité, rigueur réglementaire et empathie face à un client qui craint pour son argent.
Ce que change un prestataire spécialisé en fraude bancaire
| Dispositif généraliste | Partenaire spécialisé fraude |
|---|---|
| Fraude traitée comme un motif de contact parmi d’autres | La fraude bancaire est le cœur de métier |
| Formation ponctuelle, figée à l’intégration | Formation continue sur les typologies émergentes |
| Conformité à construire dans l’urgence | Gouvernance documentée et auditable |
| Qualité d’écoute hétérogène selon les conseillers | Process cadrés pour un client sous tension |
Externaliser ce périmètre, ce n’est pas déléguer un problème. C’est confier un point sensible, désormais souvent contentieux, à une équipe pour qui la fraude bancaire est un métier, avec une gouvernance construite et une capacité à absorber les pics sans dégrader la qualité de traitement.
Ce que nous prenons en charge
À confirmer avec les opérations avant publication.
- Doute porteur : accueil du client qui doute d’une opération ou d’une sollicitation, qualification et orientation.
- Opposition carte : prise en charge de la demande, information sur les suites, traçabilité.
- Détection de signaux faibles : repérage des scénarios répétés et remontée à votre équipe fraude.
- Qualification du dossier : collecte structurée des faits, avec des champs obligatoires.
- Accompagnement du client sur les parcours d’authentification (3DS) : explication et assistance, sans se substituer à la décision de la banque.
- Escalade : transmission des cas sensibles aux équipes conformité et fraude, selon vos règles.
Ce que nous ne faisons pas : décider à votre place du remboursement ou de la qualification juridique finale. Cette décision reste celle de la banque.
Qui décide, qui exécute ?
L’arrêté du 3 novembre 2014 sur le contrôle interne prévoit que les établissements qui externalisent des prestations essentielles ou importantes restent pleinement responsables du respect de leurs obligations, comme le rappelle l’ACPR. Voici une répartition type.
| La banque | Le prestataire | |
|---|---|---|
| Règles de traitement | Définit les procédures et les critères | Les applique et propose des améliorations |
| Décision finale | Qualifie, rembourse, refuse | Ne décide pas |
| Données | Reste responsable de traitement | Agit en sous-traitant, accès limité au strict nécessaire |
| Conformité | Porte les obligations réglementaires | Apporte des équipes formées et des preuves |
| Contrôle | Audite, écoute, suit les indicateurs | Ouvre l’accès aux données et aux enregistrements |
| Sortie | Prévoit la réversibilité | Restitue données et processus |
Les indicateurs à suivre
Les repères viennent de notre guide des 15 KPI essentiels en centre de contact. Ce sont des benchmarks généraux. Les indicateurs propres à la fraude n’ont pas de repère de marché publié : ils se construisent avec vous.
| Indicateur | Ce qu’il mesure | Repère |
|---|---|---|
| Taux d’abandon | Le client qui raccroche avant d’être pris en charge | Moins de 5 % : très bon niveau |
| Niveau de service | La joignabilité dans un délai cible | Standard 80/20, premium 90/15 |
| Conformité qualité | Le respect de la procédure et de la documentation | 90 % et plus : bon niveau. 95 % et plus : excellence |
| Résolution au premier contact | Les demandes résolues sans recontact | 65 à 70 % en moyenne marché, 75 à 85 % dans les centres performants |
| Taux de réitération | Les clients qui rappellent pour le même motif | Moins de 10 % : bon niveau |
| CSAT sur le motif fraude | La satisfaction du client stressé | Plus de 90 % : excellent |
| Délai de prise en charge d’une opposition | La rapidité de la première réponse | À fixer avec le client |
| Complétude des dossiers | La part des dossiers avec tous les champs obligatoires | À fixer avec le client |
| Délai de remontée d’un nouveau scénario | La rapidité d’alerte à l’équipe fraude | À fixer avec le client |
Armatis accompagne déjà des banques en ligne comme Fortuneo sur des situations de fraude, avec des équipes formées aux enjeux émotionnels et réglementaires du secteur. Le dispositif Trust & Safety d’Armatis couvre la détection de fraude, le KYC et le KYB, et s’inscrit dans notre expertise pour le secteur banque, assurance et services financiers. Pour le cadre général de l’externalisation bancaire, lisez notre guide Externalisation de la relation client dans le secteur bancaire.
Questions fréquentes
Qu’est-ce que le doute porteur en banque ?
Un client conteste une opération sans certitude sur sa nature : fraude, erreur ou oubli. Le conseiller qualifie le cas avant d’engager une procédure de remboursement ou de blocage.
Peut-on externaliser la gestion de l’opposition carte sans perdre en réactivité ?
Oui, à condition que le prestataire dispose de procédures d’urgence dédiées et d’un accès aux outils de blocage de la banque. Un partenaire spécialisé peut la traiter plus vite qu’une équipe généraliste, parce que ce cas d’usage fait partie de son quotidien.
Qui doit prouver la négligence grave du client en cas de fraude par manipulation ?
La banque. L’article L. 133-23 du Code monétaire et financier met à sa charge la preuve de l’authentification, de la fraude ou de la négligence grave. Depuis l’arrêt de la Cour de cassation du 23 octobre 2024, confirmé par deux décisions de la Cour d’appel de Paris du 22 mai 2025, la négligence grave est difficile à retenir quand la victime a été manipulée par un appel provenant d’un numéro usurpé, sauf preuve concrète contraire.
Qui est responsable en cas de fraude après externalisation ?
La banque. Les établissements qui externalisent des prestations essentielles ou importantes restent pleinement responsables du respect de leurs obligations, selon l’ACPR. Le prestataire exécute, la banque décide et répond devant le régulateur.
Un prestataire peut-il accéder aux données bancaires ?
Oui, dans le cadre d’un contrat de sous-traitance conforme au RGPD, avec un accès limité au strict nécessaire, cloisonné et tracé. Les données de cartes de paiement demandent en général une certification adaptée, comme PCI-DSS. Demandez la liste des sous-traitants ultérieurs et le cadre applicable en cas de transfert hors Union européenne.
DORA autorise-t-il l’externalisation de la gestion de la fraude ?
DORA n’interdit pas l’externalisation. Il encadre les risques liés aux prestataires de services informatiques. Selon ce que vous confiez, la prestation peut aussi être qualifiée d’essentielle ou importante au titre de l’arrêté de 2014, avec des obligations de registre, de contrat écrit, d’audit et de plan de sortie. À qualifier avec votre équipe conformité.
Peut-on externaliser uniquement l’opposition carte ?
Oui. Un périmètre partiel est possible et fréquent : par exemple l’opposition et le premier accueil du client, en gardant en interne l’analyse et la décision. Le périmètre s’écrit précisément dans le contrat, avec les règles d’escalade.
Comment auditer un prestataire fraude ?
Le droit d’audit est prévu par la réglementation applicable aux établissements bancaires. En pratique : accès aux enregistrements et aux dossiers, écoutes régulières sur une grille commune, contrôle des accès aux données, indicateurs partagés, revue des incidents et test de la remontée d’un nouveau scénario. Notre offre Trust & Safety intègre des audits permanents et périodiques.
Le 3D Secure ralentit-il le paiement en ligne ?
Pas forcément. En version 3DS2, les paiements habituels passent sans friction, et seules les opérations atypiques déclenchent une vérification renforcée. L’effet dépend du calibrage du scoring de chaque établissement.
Qu’est-ce que le liability shift en 3D Secure ?
Selon les règles des réseaux de cartes, la responsabilité financière d’une fraude bascule en général vers l’émetteur quand la transaction a été authentifiée via 3DS2. Une transaction passée en exemption d’authentification ne bénéficie pas de cette protection de la même façon. À valider avec votre équipe monétique.
Que change DORA pour la gestion des incidents ?
L’établissement financier doit notifier un incident majeur à l’ACPR dans les 4 heures après l’avoir classé comme majeur, et au plus tard dans les 24 heures après sa découverte. Ses prestataires doivent donc pouvoir l’alerter très vite.
Comment évaluer si un prestataire est réellement spécialisé en fraude bancaire ?
En vérifiant la fréquence de traitement de ces cas par ses équipes, la fraîcheur de sa formation aux scénarios émergents, sa documentation de conformité, ses droits d’audit et sa maîtrise du 3DS2 et du liability shift.
En résumé
La fraude par manipulation a changé la nature du risque. La jurisprudence a rendu la négligence grave plus difficile à prouver. DORA a changé les exigences envers les prestataires. Sécuriser l’expérience client bancaire sans la complexifier suppose un partenaire pour qui le doute porteur et l’opposition carte sont un métier à part entière, et un contrat qui précise qui décide, qui exécute et comment on contrôle.
Vous évaluez l’externalisation de votre gestion de la fraude bancaire ? Discutons de vos enjeux avec les équipes spécialisées Trust & Safety d’Armatis.
Sources
- Banque de France, Observatoire de la sécurité des moyens de paiement, chiffres clés du premier semestre 2025 et communiqué de presse
- Banque de France, Fraude aux moyens de paiement
- INC, Que faire en cas d’utilisation frauduleuse de votre carte bancaire
- DAJ, Lettre de la DAJ sur l’arrêt du 23 octobre 2024 ; Actu-Juridique, La protection du client contre le spoofing ; LE BOT Avocat, Faux conseiller : la Cour d’appel de Paris du 22 mai 2025
- ACPR, Contrôle interne et externalisation ; ACPR, page réglementaire DORA
- Fidal, La notification des incidents majeurs au sens de DORA
- AFP, via Bourse Direct, procès des faux conseillers bancaires, 2026
- Armatis, Les 15 KPI essentiels en centre de contact
