Quelques jours après la cyberattaque visant la Direction Générale des Finances Publiques (DGFiP) et l’exposition de 1,2 million d’IBAN issus du fichier FICOBA, une question revient en boucle : peut-on vraiment se faire débiter uniquement avec un IBAN ? En théorie, non. En pratique, le risque existe — surtout lorsque ces données sont croisées avec d’autres informations personnelles.

Une nouvelle fuite dans un contexte déjà tendu

Ces derniers mois, les violations de données se sont multipliées en France : SFR, France Travail, Agence France-Presse ou encore la Direction Générale des Finances Publiques.

Dans le cas de la DGFiP, le pirate revendique l’extraction d’environ 1,2 million d’IBAN. Beaucoup d’internautes se demandent alors : “Un IBAN seul, ça ne suffit pas pour prélever de l’argent… si ?”

La réponse est nuancée.

Un IBAN isolé ne permet pas d’effectuer un paiement en ligne comme avec une carte bancaire. En revanche, associé à un nom, une adresse et d’autres données personnelles, il devient une pièce clé dans des montages frauduleux.

France : 1,2 million d’IBAN exposés après une cyberattaque visant FICOBA

IBAN piraté : quels sont les risques concrets ?

1. Création d’un faux mandat de prélèvement SEPA

Le risque principal concerne les prélèvements SEPA.

Avec un IBAN et des informations d’identité cohérentes, un escroc peut tenter de générer un faux mandat de prélèvement. Cela peut conduire à des débits non autorisés de plusieurs centaines d’euros.

Ce type de fraude a déjà été observé à grande échelle via des fichiers volés contenant des coordonnées bancaires.

2. Souscription frauduleuse à des services

Un IBAN peut être utilisé pour souscrire :

Un abonnement téléphonique
Un service en ligne
Un contrat d’énergie
Une plateforme numérique

Le fraudeur engage alors des paiements à votre nom.

3. Arnaque au faux conseiller bancaire

Autre scénario fréquent : l’appel d’un faux conseiller bancaire.

Le fraudeur connaît déjà votre nom, votre adresse et parfois votre IBAN. Il vous contacte en prétendant vouloir “sécuriser votre compte”. En réalité, il cherche à vous soutirer :

Codes d’authentification
Mots de passe
Numéros de carte bancaire
Validation d’opérations frauduleuses

Rappel essentiel : un vrai conseiller bancaire n’a pas besoin de vous demander votre IBAN ou vos identifiants confidentiels.

4. Détournement de versement

Certains experts en cybersécurité ont déjà évoqué la possibilité d’utiliser un IBAN volé pour détourner un versement légitime (salaire, remboursement, prestation). Ce type de fraude nécessite toutefois d’autres failles ou manipulations complémentaires.

Comment réagir si un prélèvement frauduleux apparaît ?

Premier réflexe : vérifier régulièrement son relevé bancaire. Cela prend quelques minutes et peut éviter de lourdes pertes.

Si vous constatez un débit suspect :

Contactez immédiatement votre banque
Contestez officiellement l’opération
Demandez le remboursement

Ce que dit la loi sur le remboursement

Le Code monétaire et financier encadre strictement ces situations.

Article L133-24 : vous disposez de 13 mois pour signaler un débit non autorisé.
Article L133-18 : la banque doit rembourser immédiatement après signalement (au plus tard le jour ouvrable suivant).
Des intérêts majorés s’appliquent en cas de retard.
Article L133-19 : la banque peut refuser uniquement si elle prouve une négligence grave du client.

Dans la grande majorité des cas, le remboursement est obligatoire.

Comment bloquer un prélèvement SEPA frauduleux ?

Vous pouvez :

Demander à votre banque de bloquer un créancier spécifique
Mettre en place une liste blanche de prélèvements autorisés
Révoquer un mandat SEPA
Faire opposition permanente sur certains types d’opérations

Chaque établissement propose des options différentes. Vérifiez dans votre espace client ou contactez votre conseiller.

Les outils officiels pour signaler une fraude

Plusieurs plateformes publiques existent :

Cybermalveillance.gouv.fr : https://www.cybermalveillance.gouv.fr
Commission nationale de l’informatique et des libertés : https://www.cnil.fr
Service-Public.fr (accès à THESEE et Perceval) : https://www.service-public.fr

Ces services permettent de s’informer, signaler une fraude ou déposer plainte en ligne.

Les bons réflexes pour limiter les risques

Mettre à jour tous vos appareils

Les mises à jour corrigent des failles de sécurité exploitées par les cybercriminels.

Utiliser un gestionnaire de mots de passe

Un mot de passe unique par service est indispensable. Un gestionnaire permet de créer des identifiants complexes et sécurisés.

Activer l’authentification à deux facteurs (2FA)

C’est aujourd’hui un standard. Même si un mot de passe fuite, l’accès reste bloqué sans validation supplémentaire.

Surveiller ses comptes régulièrement

Un contrôle rapide quotidien ou hebdomadaire permet de détecter toute anomalie.

Ne jamais transmettre d’informations sensibles par email ou SMS

Aucune administration ni banque sérieuse ne demande d’identifiants complets par message.

Une cybercriminalité de plus en plus industrialisée

Dans son rapport annuel 2024, le ministère de l’Intérieur évoque une professionnalisation accrue des cybercriminels et l’essor du modèle “Ransomware-as-a-Service”.

Les outils sont plus accessibles. Les guides circulent sur les réseaux sociaux. Les barrières techniques diminuent.

La menace n’est plus réservée à une élite du dark web. Elle se démocratise.

Faut-il changer de compte bancaire ?

Changer d’IBAN implique généralement l’ouverture d’un nouveau compte et la mise à jour de tous vos prélèvements et virements.

Ce n’est pas toujours nécessaire.

Avant d’en arriver là :

Surveillez vos opérations
Activez les alertes de mouvement
Paramétrez des blocages SEPA

Si des tentatives répétées apparaissent, votre banque pourra vous conseiller un changement d’IBAN.

Conclusion

Un IBAN seul ne suffit pas à vider un compte bancaire. Mais combiné à d’autres données personnelles, il devient un outil puissant entre de mauvaises mains.

La fuite récente touchant la DGFiP rappelle une réalité simple : la donnée bancaire est une cible stratégique.

La cybersécurité n’est plus un sujet technique réservé aux experts. C’est un enjeu citoyen, quotidien et structurel.

Rester vigilant ne signifie pas céder à la panique.
Cela signifie comprendre les risques, connaître ses droits et appliquer des mesures simples mais efficaces.

Et dans le contexte actuel, c’est exactement ce qu’il faut faire.

Une nouvelle fuite dans un contexte déjà tendu