"Des accès illégitimes" au fichier national des comptes bancaires (Ficoba) ont permis à "un acteur malveillant" de consulter les données d' 1,2 million de comptes depuis fin janvier, a annoncé mercredi le ministère de l'Economie.
Depuis fin janvier, l'auteur, "qui avait usurpé les identifiants d’un fonctionnaire disposant d’accès dans le cadre de l'échange d'information entre ministères, a pu consulter une partie de ce fichier qui recense l'ensemble des comptes bancaires ouverts dans les établissements bancaires français et contient des données à caractère personnel", a fait savoir le ministère.
Sans préciser si, par "acteur malveillant", il désigne plutôt une personne ou un groupe d'individus.
Les titulaires de comptes concernés "recevront dans les prochains jours une information individuelle les alertant qu’un accès à leurs données a pu être constaté", selon Bercy.
Les données qui ont ainsi pu être consultées sont le RIB et l'Iban des comptes, l'identité du titulaire, son adresse et, dans certains cas, l'identifiant fiscal de l'usager, indique le ministère de l'Economie. Selon la Fédération bancaire française (FBF) on y trouve également la date et le lieu de naissance du titulaire.
- Consulter son compte -
Mais, a rassuré la Direction générale des Finances publiques (DGFiP), qui tient le Ficoba, qui comporte en tout environ 300 millions de comptes, celui-ci "ne permet pas de consulter les soldes des comptes bancaires, a fortiori de faire des opérations".
Si la FBF remarque également que les données parties dans la nature "ne suffisent pas à faire un virement ou un paiement par carte", elle invite néanmoins chacun à "consulter régulièrement son compte pour détecter tout incident ou anomalie", c'est à dire au moins une fois par semaine.
Moins rassurante que la DGFiP, elle souligne que ce point "est plus particulièrement important pour les personnes dont les données ont été divulguées".
En effet, explique-t-elle, "à partir d’un Iban, de faux créanciers peuvent demander l’exécution de prélèvements, à deux conditions".
La première: "être enregistré en tant qu’émetteur de prélèvements auprès d’un prestataire de services de paiement", la seconde, "avoir des mandats de prélèvement" : dans ce cas le fraudeur peut les "falsifier vers des Iban (international bank account numbers) qu’il a obtenus illégalement et ainsi récupérer les fonds".
- "Pas besoin" -
Les fraudeurs peuvent également "souscrire des abonnements et des services" grâce à un Iban volé, "bénéficiant ainsi de vrais services payés par la personne dont l’Iban a été volé".
Selon le ministère, "dès la détection de cet incident, des mesures immédiates de restriction d'accès ont été mises en œuvre afin de stopper l’attaque" et "des travaux sont en cours pour rétablir le service dans les meilleures conditions de protection".
Le ministère a porté plainte et signalé cette affaire à la Commission nationale de l’informatique et des libertés (Cnil).
Alors que, selon le dernier rapport annuel de l'Observatoire de la sécurité des moyens de paiement, les fraudes sur les cartes, virements et chèques représentent à peu près 1,2 milliard d'euros par an, la FBF rappelle les conseils de l'Observatoire.
"Pensez à vérifier régulièrement et à mettre à jour dans votre espace de banque en ligne la liste des créanciers autorisés ou interdits, surveillez attentivement et régulièrement les opérations par prélèvement débité sur votre compte et en cas de fraude contestez sans délai l’opération de prélèvement".
Le remboursement des prélèvements, rappelle-t-elle, "est sans condition dans un délai de huit semaines, indépendamment de l’existence ou non d’un mandat de prélèvement".
La FBF rappelle que "jamais le banquier ne demandera vos codes, identifiants, mots de passe, que cela soit par téléphone, à distance ou physiquement: il n'en a pas besoin".
De même pour la DGFiP, souligne celle-ci, qui conseille, en cas de suspicion, de "conserver toutes les preuves".
Par Odile DUPERRY / Paris (France) (AFP) / © 2026 AFP