Le paiement mobile progresse vite en France. Apple Pay, Google Pay, Samsung Pay : les portefeuilles numériques sont devenus courants en quelques années, portés par la généralisation du sans contact et l’abandon progressif des espèces. Avec cette adoption massive, les fraudes liées à Apple Pay se multiplient et les montants en jeu peuvent atteindre plusieurs milliers d’euros en quelques heures. Le scénario est presque toujours le même : des achats apparaissent sur le relevé bancaire, réalisés depuis un iPhone qui n’est pas le vôtre, pour des montants parfois élevés. La carte a été enrôlée dans le Wallet d’un tiers, et les paiements s’enchaînent sans que la victime s’en aperçoive immédiatement. Le premier réflexe est de faire opposition sur la carte, puis de contester les opérations auprès de la banque. Mais c’est souvent là que les choses se compliquent.

Comment les fraudeurs procèdent

C’est un point souvent mal compris : la faille ne vient pas d’Apple Pay en tant que tel. Le système repose sur la tokenisation (un jeton temporaire remplace le numéro de carte réel) et sur l’authentification biométrique (Face ID ou Touch ID). Ces deux mécanismes rendent le paiement lui-même difficile à pirater. Le problème se situe en amont, au moment de l’enregistrement de la carte bancaire dans le Wallet d’un tiers. Les escrocs récupèrent les données de la carte et le code de validation envoyé par la banque, le plus souvent par phishing. Un faux SMS ou un appel usurpant le numéro de la banque (technique dite de “spoofing”) suffit pour obtenir le code d’authentification. Une fois la carte ajoutée sur l’appareil du fraudeur, il peut payer en magasin ou en ligne sans aucune limite, parfois pendant plusieurs jours avant que la victime ne s’en rende compte.

Ce que dit la loi

Le Code monétaire et financier protège les victimes d’opérations de paiement non autorisées. L’article L. 133-18 impose à la banque de rembourser immédiatement le montant des opérations contestées, au plus tard à la fin du premier jour ouvrable suivant la réception de la demande. Avant opposition, la responsabilité du client est plafonnée à 50 euros pour les opérations non autorisées. Au-delà, c’est la banque qui supporte la perte.

La seule exception : la négligence grave du client. Mais la charge de la preuve repose sur la banque, pas sur la victime. Or, la jurisprudence est plutôt favorable aux porteurs. La Cour de cassation a jugé à plusieurs reprises que le fait de répondre à un appel téléphonique imitant le numéro de sa banque et de communiquer un code sous la pression ne constitue pas une négligence grave. Tomber dans le piège d’un phishing bien conçu, non plus. En clair, la loi penche du côté des victimes dans la grande majorité des cas.

Pourquoi les banques refusent malgré tout

Malgré ces textes clairs, les refus restent fréquents. En pratique, beaucoup d’établissements opposent un refus de remboursement en invoquant la validation du

code d’authentification par le client. Leur argument revient à dire que le client a “autorisé” l’opération puisqu’il a lui-même transmis le code de validation. C’est juridiquement contestable : un consentement obtenu par tromperie n’est pas un consentement valable. Plusieurs tribunaux ont donné raison à des clients dans cette situation ces dernières années. 

Les victimes qui souhaitent contester une fraude Apple Pay disposent de 13 mois à compter de la date de débit pour agir. La première étape consiste à adresser une réclamation écrite en recommandé avec accusé de réception au service client de la banque, en citant les textes applicables. En l’absence de réponse satisfaisante dans un délai de deux mois, le médiateur bancaire peut être saisi. Cette procédure est gratuite. Si la médiation échoue, le tribunal judiciaire reste compétent pour trancher le litige. Pour les litiges inférieurs à 5 000 euros, la procédure est simplifiée et ne nécessite pas obligatoirement d’avocat.

Comment s’en prémunir

Quelques réflexes limitent les risques. Ne jamais communiquer un code reçu par SMS à un interlocuteur téléphonique, même s’il prétend appeler depuis la banque. Aucun conseiller bancaire ne demandera jamais ce type d’information par téléphone. En cas de doute, raccrochez et rappelez votre banque via le numéro figurant sur votre carte. Activer les notifications en temps réel sur l’application bancaire permet de repérer immédiatement un paiement suspect. Penser aussi à vérifier régulièrement les appareils enregistrés dans les réglages de l’Apple ID et supprimer ceux qui ne correspondent à aucun de vos appareils. Si un appareil inconnu y figure, c’est le signe qu’une carte a été ajoutée frauduleusement : faites opposition sans attendre.

Personne n’est à l’abri d’une fraude Apple Pay, et perdre de l’argent dans ces conditions est rageant, surtout quand les sommes sont conséquentes. Mais les outils juridiques pour obtenir un remboursement existent bel et bien. Le tout est de réagir vite, de garder une trace de chaque échange avec la banque et de ne pas accepter un refus sans le contester. Les délais sont larges (13 mois pour contester), mais plus la réaction est rapide, plus le dossier est solide face à la banque