Les transactions en ligne génèrent chaque année des volumes de fraude considérables en France. Le rapport 2025 de l’Observatoire de la sécurité des moyens de paiement (OSMP) chiffre la fraude par manipulation à 516 millions d’euros, en hausse de 34 % sur un an. Les virements bancaires représentent à eux seuls 485 millions d’euros de fraude, premier moyen de paiement fraudé en valeur. Mesurer où se concentre le risque permet de calibrer ses précautions au bon endroit.
Fraude par carte et fraude par virement : des profils de risque différents
| Critère | Carte bancaire en ligne | Virement bancaire |
|---|---|---|
| Taux de fraude (2025, OSMP) | 0,124 % | Non communiqué en taux, mais 485 M€ en valeur absolue |
| Évolution récente | En baisse (0,155 % en 2024) | En forte hausse, tiré par la fraude par manipulation |
| Protection réglementaire | Remboursement par la banque en cas d’opération non autorisée (signalement sous 13 mois) | Aucun mécanisme de rappel automatique une fois le virement exécuté |
| Levier principal de fraude | Phishing, vol de numéro de carte | Substitution d’IBAN, faux conseiller bancaire |
Le taux de fraude par carte sur internet a reculé grâce au déploiement de l’authentification forte. En revanche, les virements frauduleux progressent parce qu’ils reposent sur la manipulation directe de la victime, un vecteur contre lequel aucune barrière technique ne suffit.
Lire également : Quels sont les trois types de protection ?
Authentification forte sur les paiements en ligne : ce qu’elle protège et ce qu’elle ne protège pas
L’authentification forte (code SMS, notification sur application bancaire, validation biométrique) a fait baisser le taux de fraude carte en ligne de 0,155 % à 0,124 % entre 2024 et 2025. Ce recul est réel, mais il masque un angle mort.
Lire également : Comment faire appel d’une décision de l’ICO ?
Un code de validation ou une empreinte biométrique ne distingue pas une transaction légitime d’une transaction dictée sous pression. Quand un faux conseiller bancaire appelle et demande de « confirmer une opération de sécurisation », la victime valide elle-même l’authentification forte. La banque enregistre alors une opération techniquement autorisée.
Situations où l’authentification forte ne suffit pas
- Un appel téléphonique affichant le numéro de votre banque vous demande de valider une opération « pour bloquer une fraude en cours ». C’est la fraude elle-même : ne jamais valider une opération dictée par téléphone.
- Un vendeur sur une marketplace vous redirige vers un lien de paiement externe, hors du système de la plateforme. L’authentification forte s’applique, mais le destinataire du paiement n’est pas celui annoncé.
- Un email reproduisant l’interface de votre banque vous invite à « mettre à jour vos coordonnées ». Le formulaire capte vos identifiants avant même l’étape d’authentification.
La baisse du taux de fraude carte ne doit donc pas être lue comme une garantie. Elle reflète un progrès technique, pas la disparition du risque.
Fraude au virement bancaire : le risque le moins couvert par les conseils habituels
La plupart des guides de sécurité en ligne se concentrent sur la carte bancaire. Le virement, lui, est souvent présenté comme un moyen de paiement secondaire. Les données de l’OSMP racontent une autre histoire : le virement est le premier vecteur de fraude en valeur en 2025.
Le mécanisme le plus fréquent est la substitution d’IBAN. Un fraudeur intercepte une facture ou un échange de courriels et remplace les coordonnées bancaires du bénéficiaire par les siennes. L’acheteur, qui pense payer un vendeur ou un artisan légitime, exécute un virement vers un compte tiers.
Vérifications concrètes avant un virement
Avant tout virement lié à un achat en ligne (acompte, paiement entre particuliers, facture reçue par email), trois contrôles réduisent le risque de manière significative.
- Vérifier l’IBAN par un canal indépendant : appeler le bénéficiaire à un numéro trouvé sur son site officiel (pas celui figurant dans le mail reçu) pour confirmer les coordonnées.
- Comparer le pays de l’IBAN avec le pays déclaré du vendeur. Un IBAN commençant par un code pays inattendu constitue un signal d’alerte.
- Ne jamais exécuter un virement sous pression temporelle. Les fraudes par manipulation exploitent l’urgence (« le bien sera vendu à quelqu’un d’autre », « votre compte sera bloqué »).
Un virement exécuté est quasi irrécupérable. La banque ne dispose pas du même mécanisme de rappel que pour un prélèvement ou une opposition sur carte.
Données bancaires stockées sur les sites marchands : un risque silencieux
Enregistrer sa carte bancaire sur un site marchand pour accélérer les achats futurs crée un point de vulnérabilité supplémentaire. Si la base de données du commerçant est compromise, les numéros de carte stockés peuvent être exploités.
La réglementation interdit au commerçant de conserver le cryptogramme visuel (les trois chiffres au dos de la carte) après la transaction. En pratique, le numéro de carte et la date d’expiration suffisent pour tenter des paiements sur certains sites étrangers où l’authentification forte n’est pas systématiquement appliquée.
Supprimer les cartes enregistrées après un achat, ou utiliser une e-carte bleue (carte virtuelle à usage unique), limite l’exposition. Cette précaution est particulièrement pertinente sur les sites où vous n’achetez qu’occasionnellement.
Signalement et délais de contestation après une transaction frauduleuse
En cas d’opération non autorisée par carte, la banque doit procéder au remboursement, à condition que la fraude soit signalée dans un délai maximum de 13 mois. Ce délai court à partir de la date de débit. Passé ce seuil, le droit au remboursement s’éteint.
Pour les virements, la situation est moins favorable. Aucun mécanisme réglementaire n’impose un remboursement automatique en cas de virement volontairement exécuté par le titulaire du compte, même sous l’effet d’une manipulation. Certaines banques appliquent un geste commercial au cas par cas, mais rien ne le garantit.
Le réflexe le plus protecteur reste de contacter sa banque immédiatement après avoir détecté une anomalie, puis de déposer une plainte. La rapidité du signalement peut, dans certains cas, permettre de geler les fonds avant leur transfert définitif.
Le déplacement de la fraude vers la manipulation psychologique modifie la nature des précautions à prendre. Les barrières techniques (authentification forte, protocole HTTPS, antivirus) restent nécessaires. Mais la principale vulnérabilité exploitée en 2025, selon l’OSMP, est la confiance de la victime elle-même, face à un interlocuteur qui maîtrise les codes de sa banque ou de son vendeur.
