Le tribunal judiciaire de Paris a condamné BNP Paribas et Free Mobile après une escroquerie par SIM swapping qui a coûté 16 964 euros à une cliente de 82 ans. La banque membre du Forum économique mondial devra rembourser l’intégralité de la somme aux héritiers de la victime, décédée en 2025, et l’opérateur en prendra la moitié à sa charge. Les faits remontent au 5 décembre 2022.
Le 5 décembre 2022, une femme de 82 ans reçoit un courrier inattendu : son abonnement téléphonique chez SFR vient d’être résilié et son numéro transféré chez Free Mobile. Elle n’a rien demandé.
Elle est victime d’un SIM swapping, technique qui consiste à faire transférer le numéro de téléphone d’une personne vers une autre carte SIM, en se faisant passer pour elle auprès d’un opérateur. Celui qui contrôle le numéro reçoit les codes de validation bancaires.
La victime réagit vite. Dès le lendemain, elle porte plainte pour usurpation d’identité, alerte SFR, Free et sa banque, BNP Paribas, et demande l’opposition sur sa carte Visa. Le dossier est constitué avant même le premier virement.
L’affaire est rapportée par 01net et relayée par Capital.
Quatre virements après l’alerte
Entre le 7 et le 13 décembre, quatre virements sont effectués depuis son compte vers celui d’un tiers. Montant total du préjudice : 16 964 euros. Tous postérieurs à l’alerte.
Le 16 décembre, la cliente dépose une nouvelle plainte et demande à BNP Paribas de lui restituer les sommes. La banque refuse. Elle estime que les opérations ont été validées au moyen d’une clé digitale et qu’elles ont donc été autorisées par sa cliente.
La victime meurt en 2025. Ses héritiers reprennent la procédure.
La banque contre l’opérateur
Devant le tribunal, BNP Paribas maintient que la cliente avait communiqué certaines de ses données personnelles et validé elle-même les opérations. Elle met parallèlement en cause Free Mobile, à qui elle reproche d’avoir transféré le numéro vers une nouvelle carte SIM sans vérification d’identité suffisante.
Chacun renvoie la responsabilité à l’autre. Le tribunal devait donc trancher deux questions distinctes : celle de la banque, alertée avant les virements, et celle de l’opérateur, qui a procédé au transfert.
Le 25 novembre 2025, le tribunal tranche
Le tribunal judiciaire de Paris a estimé que BNP Paribas ne démontrait pas avoir pris les mesures nécessaires pour empêcher les opérations frauduleuses après avoir été alertée par sa cliente. Les juges ont également considéré que la banque n’apportait pas la preuve que la victime avait elle-même communiqué ses données personnelles.
BNP Paribas a été condamnée à rembourser les 16 964 euros aux héritiers, et à leur verser 2 500 euros au titre des frais de justice. Free Mobile a été condamné à prendre en charge la moitié de la somme restituée.
La décision a une portée qui dépasse le cas d’espèce. Elle place la charge de la preuve du côté de l’établissement bancaire dès lors qu’un client a signalé une usurpation, et elle reconnaît la responsabilité de l’opérateur dans le contrôle d’identité au moment d’un portage de ligne.
Ce que le SIM swapping contourne exactement
La technique n’exige aucune compétence informatique. Elle repose sur la procédure de portabilité du numéro : un fraudeur se présente auprès d’un opérateur en se faisant passer pour le titulaire de la ligne, avec des données personnelles souvent obtenues lors de fuites antérieures, et demande le transfert du numéro sur une carte SIM en sa possession.
Une fois le portage effectué, la ligne du titulaire légitime est coupée. Le fraudeur reçoit à sa place les SMS de validation bancaire. L’authentification à double facteur par SMS, longtemps présentée comme la protection de référence, devient alors le vecteur de l’attaque.
Les fuites de données massives survenues en France ces dernières années, chez des opérateurs comme chez des prestataires publics, alimentent directement ce type de fraude en fournissant les éléments d’état civil nécessaires pour passer le contrôle d’identité au guichet.
Une jurisprudence qui se construit
Les décisions rendues dans ce domaine convergent depuis plusieurs années vers un même principe : l’article L. 133-18 du code monétaire et financier impose au prestataire de services de paiement de rembourser une opération non autorisée, sauf à démontrer une négligence grave du client. La charge de la preuve pèse sur la banque.
La nouveauté, ici, tient à la mise en cause de l’opérateur de téléphonie. En condamnant Free Mobile à supporter la moitié du remboursement, le tribunal reconnaît que le contrôle d’identité au moment du portage relève d’une obligation propre, distincte de celle de la banque.
Elle avait prévenu sa banque, son opérateur et la police en vingt-quatre heures. Il aura fallu trois ans à la justice, et sa mort, pour lui donner raison.