Sécurité de la carte de crédit en Belgique

Une carte de crédit belge utilisée sans vous coûte au maximum 50 euros à son porteur, et le plus souvent zéro. Le Livre VII du Code de droit économique organise ce partage depuis la transposition de la deuxième directive européenne sur les services de paiement, et il tient mieux que sa réputation. Il a un angle mort. La fraude belge s'y est installée.

Sommaire :

• Qui paie une opération que vous n'avez pas autorisée
• Les situations où la franchise tombe à zéro
• Les virements que la victime fait elle-même
• Fraudstop et le blocage de la banque en ligne
• Les chiffres belges de la fraude
• Les réflexes qui tiennent
• Le recours quand la banque refuse

Qui paie une opération que vous n'avez pas autorisée ?

Vous, à concurrence de 50 euros, et seulement pour les opérations passées avant que vous n'ayez prévenu votre banque ou le service de blocage. Après cette notification, l'émetteur supporte l'intégralité des pertes. Le SPF Économie situe ces règles aux articles VII.38 à VII.45 du Code de droit économique.

Un point de vocabulaire commande tout le reste, et il est presque toujours escamoté. Une opération authentifiée n'est pas une opération autorisée. L'authentification établit que l'instrument de paiement et les données de sécurité ont été utilisés ; l'autorisation établit que vous avez consenti. Le SPF Économie l'écrit sans détour : le passage du bon code PIN ne prouve pas que le titulaire a donné son accord. Il revient à la banque de démontrer que l'opération a été correctement authentifiée, enregistrée et comptabilisée, et il vous revient de rendre plausible qu'elle n'était pas autorisée. Deux charges de preuve, en sens inverse, et aucune des deux ne correspond à ce que laissent croire les courriers de refus.

Le régime suppose que vous ayez tenu trois obligations : utiliser la carte selon les conditions du contrat, préserver vos données de sécurité, notifier sans délai dès que vous avez connaissance d'une perte, d'un vol ou d'une utilisation non autorisée. La banque, elle, doit vous fournir gratuitement et à tout moment un moyen de notifier, et empêcher toute utilisation après la notification. Le régime juridique de la carte, ouverture de crédit ou débit différé, ne déplace pas d'un millimètre ce partage : il est décrit dans notre guide sur le fonctionnement d'une carte de crédit en Belgique, et les termes employés ici sont définis dans notre glossaire des fondamentaux.

Un exemple chiffre la mécanique. Un fraudeur dépense 480 euros avec votre carte pendant que vous cherchez votre téléphone : 50 euros restent à votre charge, 430 reviennent à l'émetteur. Le même fraudeur dépense 480 euros une heure après votre appel : vous ne devez rien, et la discussion s'arrête là.

La franchise tombe à zéro dès que la fraude était indétectable

La franchise de 50 euros connaît des exceptions, et la première couvre l'essentiel de ce qui arrive aujourd'hui aux porteurs belges.

Elle disparaît lorsque vous ne pouviez pas détecter, avant le paiement, la perte, le vol ou le détournement de votre instrument de paiement. Le SPF Économie vise ici le phishing, le piratage et le vol de données de sécurité, dans les cas où la carte est toujours dans votre portefeuille. Elle disparaît aussi lorsque la perte résulte d'un acte ou d'une carence d'un agent de la banque ou d'un de ses sous-traitants. Elle disparaît enfin lorsque la banque n'exige pas d'authentification forte, ou lorsque le bénéficiaire ou la banque du bénéficiaire ne l'accepte pas. Dans ces hypothèses, le remboursement ne peut vous être refusé que si vous avez agi vous-même à des fins frauduleuses.

La conséquence est plus large que ne le disent les pages du secteur. Le SPF Économie écrit que la loi ne prévoit pas d'exception pour négligence grave dans l'hypothèse où le payeur ne pouvait pas détecter la fraude. Autrement dit, sur un dossier de phishing caractérisé, la banque ne peut pas opposer la négligence grave pour refuser le remboursement. Elle peut seulement essayer d'établir qu'au moment des faits vous saviez ou auriez dû savoir qu'il s'agissait d'une arnaque. La différence entre ces deux argumentaires décide de l'issue de la plupart des dossiers, et elle est rarement expliquée au guichet.

Mon opinion sur ce point est arrêtée, et je préfère l'écrire nettement plutôt que de la lisser : pour une fraude en ligne sur une carte de crédit belge, la franchise de 50 euros est devenue largement théorique. L'authentification forte est la règle depuis 2019, la carte reste dans la poche du porteur, et les deux premières exceptions se cumulent presque toujours. Un émetteur qui vous réclame ces 50 euros après un paiement en ligne frauduleux doit expliquer laquelle des trois exceptions il écarte, et pourquoi.

Les points d'entrée les plus exposés restent les achats en ligne, traités dans notre guide sur les achats en ligne par carte de crédit, le sans contact, dont le fonctionnement est décrit dans notre article sur le paiement sans contact en Belgique, et les abonnements, pour lesquels une carte virtuelle limite l'exposition à un seul numéro jetable.

Le Code ne couvre pas les virements que la victime fait elle-même

Voilà la limite, et elle est écrite noir sur blanc par l'administration : les règles des articles VII.38 à VII.45 ne s'appliquent pas aux fraudes dans lesquelles les victimes transfèrent elles-mêmes une somme d'argent, le fraudeur se faisant passer pour quelqu'un d'autre. Fraude à la facture, faux conseiller bancaire, faux fournisseur, fraude au dirigeant : ces montages sortent du régime protecteur.

Le problème tient en une phrase. Febelfin observe que les fraudeurs réussissent de plus en plus à convaincre leurs victimes d'effectuer elles-mêmes l'opération de transfert. La fraude a donc migré vers la seule catégorie que la loi belge ne couvre pas, et ce déplacement n'est pas un hasard de statistique : c'est la réponse rationnelle d'un secteur criminel à une protection légale qui fonctionne partout ailleurs.

Pour une carte de crédit, la frontière se joue sur un geste. Un paiement que vous validez vous-même par notification bancaire ou code 3D Secure, parce qu'on vous a manipulé au téléphone, est une opération autorisée au sens du Code. Elle bascule alors du régime légal vers le régime contractuel des réseaux, celui de la rétrofacturation, avec ses propres motifs, ses propres pièces et un délai bien plus court. Notre guide du chargeback en Belgique détaille ce second circuit et la liste des motifs recevables sur le portail Worldline.

Agir vite reste utile même hors régime légal : les fonds sont parfois rattrapables dans les premières heures, et Febelfin indique que les banques détectent, bloquent ou récupèrent trois quarts des virements issus d'un phishing. Le coût annuel d'une carte, lui, ne change rien à cette protection, ce que notre pilier sur combien coûte une carte de crédit en Belgique montre poste par poste.

Que change Fraudstop, lancé le 22 juin 2026 ?

Avant cette date, le 078 170 170 ne bloquait que les cartes. Pour couper l'accès à votre banque en ligne et à votre application bancaire, il fallait joindre séparément le service fraude de votre établissement, aux heures d'ouverture, pendant que le fraudeur travaillait. Depuis le 22 juin 2026, le même numéro fait les deux. Febelfin a comptabilisé plus de 6.700 appels Fraudstop le premier mois, environ 200 par jour.

J'ai ouvert la fiche « Phishing, opérations de paiement non autorisées » du SPF Économie le 31 août 2026. Elle porte la mention « dernière mise à jour 11 avril 2023 » et ne cite Fraudstop nulle part. La page qui fait autorité sur vos droits est donc antérieure de trois ans au dispositif d'urgence que les banques vous demandent aujourd'hui d'utiliser. Ce décalage me gêne, parce qu'il laisse la source la plus fiable du pays incomplète sur le geste le plus urgent.

L'ordre des gestes, dans l'heure qui suit :

1. Appelez le 078 170 170. Demandez le blocage des cartes et celui de l'accès à la banque en ligne. Notez le numéro de dossier communiqué par l'opérateur, il horodate la notification.
2. Prévenez votre banque et faites-vous confirmer par écrit la date et l'heure de votre notification.
3. Relisez les 48 dernières heures de votre compte et listez les opérations contestées avec leur montant et leur heure.
4. Pour une carte de crédit, introduisez le formulaire de contestation sur macarte.be. Le SPF Économie place cette étape en cinquième position de sa liste sur ConsumerConnect, et je ne l'ai vue mentionnée sur aucune page grand public d'émetteur belge au 31 août 2026.
5. Déposez plainte à la police locale et transférez les messages suspects à suspect@safeonweb.be.

La suite du parcours, remplacement de la carte, code PIN envoyé séparément, carte provisoire en agence, est déroulée dans notre guide sur la carte de crédit perdue ou volée. Le cas particulier d'un blocage survenu à l'étranger est traité dans notre article sur la carte bloquée à l'étranger.

Les chiffres belges de la fraude, relevés à leur source

Aucune de ces sources n'isole la fraude à la carte de crédit du reste de la fraude aux paiements. Le chiffre que j'aimerais publier ici, le montant annuel dérobé sur des cartes de crédit belges, n'existe dans aucune publication accessible au 31 août 2026, et je préfère le dire plutôt que de bricoler une estimation. Les techniques employées, elles, sont recensées dans notre guide de la fraude à la carte de crédit, et les cartes virtuelles jetables répondent à l'une d'entre elles.

Quels réflexes tiennent, et lesquels ne servent à rien ?

L'enquête iVOX menée pour Bancontact Company et publiée le 25 juin 2026 renverse une idée reçue : face à un faux appel bancaire demandant un code reçu par SMS, seuls 50 % des 12 à 17 ans réagiraient correctement, et 35 % seulement savent quand et comment utiliser Card Stop, contre 83 % des adultes. Chez les jeunes francophones, 45 % n'oseraient pas en parler à leurs parents, contre 30 % côté néerlandophone. La honte retarde le signalement, et le retard coûte de l'argent.

Les points de contrôle qui changent réellement quelque chose :

• Enregistrer le 078 170 170 dans les contacts du téléphone, avant d'en avoir besoin.
• Activer les notifications de paiement au seuil le plus bas que l'application autorise. Beobank Alert est gratuit mais notifie à partir de 150 euros : sur une carte de crédit, ce seuil laisse passer exactement les petits montants par lesquels un fraudeur teste une carte volée.
• Ne jamais rappeler un numéro reçu par message ou annoncé par un interlocuteur. Composer soi-même le numéro figurant au dos de la carte.
• Abaisser les plafonds au niveau réellement utilisé, ce que la plupart des applications font en quelques secondes. Notre guide sur la limite d'une carte de crédit donne les marges de manœuvre par émetteur.
• Séparer physiquement carte de crédit et carte de débit, pour qu'un portefeuille perdu ne coupe pas tous les moyens de paiement.

L'étui anti-RFID, lui, ne figure pas dans cette liste, et c'est un choix que j'assume. Le sans contact est plafonné par transaction et redemande le code au-delà d'un cumul, tandis que les 49 millions d'euros comptabilisés par Febelfin en 2024 viennent du phishing, pas d'une lecture à distance dans le métro. Acheter un étui revient à se protéger du risque qui ne se réalise pas.

Le recours quand la banque refuse, étape par étape

Un refus se demande par écrit et motivé. Une banque qui soupçonne une fraude de votre part et refuse le remboursement immédiat doit communiquer ses raisons par écrit au SPF Économie : cette obligation existe, elle est rarement rappelée, et la mentionner dans votre courrier change souvent le ton de la réponse.

La chaîne se parcourt dans l'ordre. Vous saisissez d'abord le service de plaintes de votre établissement, qui est un préalable obligatoire. À défaut de solution dans un délai raisonnable, vous saisissez le Service de médiation des services financiers, boulevard du Roi Albert II 8 boîte 2 à 1000 Bruxelles, gratuitement et par écrit. En parallèle, l'Inspection économique reçoit les signalements via son point de contact, et un fichage à la Centrale des crédits consécutif à un impayé né d'une fraude se conteste séparément, comme l'explique notre article sur le fichage à la CCP.

Sur 2.164 dossiers traités en 2025, le médiateur en a jugé 781 fondés, soit 36 %, tous services financiers confondus. Le rapport ne ventile ni par établissement ni par type de litige, ce qui interdit d'en tirer un taux de réussite pour les contestations de carte. Les grilles tarifaires des émetteurs belges restent comparables poste par poste sur notre comparateur.