Le droit européen est protecteur : en cas d'opération non autorisée, la banque doit rembourser immédiatement, et c'est à elle de prouver une éventuelle négligence grave du client.
Le payeur signale l'opération non autorisée sans tarder, et au plus tard 13 mois après le débit. La banque rembourse immédiatement, au plus tard le jour ouvrable suivant, et rétablit le compte dans son état antérieur. Elle ne peut différer le remboursement qu'en cas de soupçon de fraude du client, qu'elle doit signaler.
La banque peut refuser si elle démontre une négligence grave : communication volontaire du code confidentiel, conservation du code avec la carte. La jurisprudence est constante sur un point qui a beaucoup évolué : le fait de communiquer un code reçu par message à un interlocuteur se faisant passer pour la banque n'établit pas à lui seul la négligence grave, la Cour de cassation ayant sanctionné plusieurs refus fondés sur ce seul motif.
Faire opposition immédiatement, contester par écrit auprès de la banque en rappelant les textes applicables, déposer plainte, et signaler sur la plateforme nationale de signalement. En cas de refus persistant, le médiateur bancaire peut être saisi gratuitement, puis le juge.
Aucune banque ne demande un code, un mot de passe ou la validation d'une opération par téléphone. Un appel affichant le numéro de votre agence peut être usurpé : raccrocher et rappeler soi-même reste la seule vérification fiable.