CYBERSÉCURITÉ · FICOBA · DONNÉES BANCAIRES · DGFIP

Fuite FICOBA : 1,2 million de comptes bancaires consultés, et deux autres accès illégitimes à la DGFiP depuis.
Ce qui a été exposé, ce qui ne l’a pas été, et ce qu’il faut surveiller.

Un acteur malveillant a usurpé les identifiants d’un fonctionnaire habilité pour consulter le fichier national des comptes bancaires à partir de la fin janvier 2026. Le même mode opératoire s’est reproduit deux fois depuis au sein de l’administration fiscale, ce qui déplace la question de l’incident vers celle du contrôle des accès. Mise à jour : 8 septembre 2026 · Cybersécurité · 12 min de lecture

Fuite FICOBA et exposition de coordonnées bancaires françaises

Un IBAN ne fonctionne pas comme un mot de passe : personne ne peut vider un compte en le connaissant. Sa valeur pour un escroc est ailleurs, et elle est réelle : associé à un nom et à une adresse exacts, il rend un appel frauduleux presque impossible à mettre en doute.

Ce qui s’est passé

La Direction générale des Finances publiques a rendu l’incident public le 18 février 2026. Ses investigations internes avaient mis au jour des consultations non autorisées du fichier national des comptes bancaires, engagées à partir de la fin du mois de janvier.

Le scénario ne repose pas sur une faille technique de l’application. Un acteur malveillant a usurpé les identifiants d’un fonctionnaire disposant d’un accès légitime, dans le cadre des échanges d’informations entre ministères. Il a ensuite utilisé ces droits régulièrement attribués pour interroger la base.

À la détection, des mesures de restriction d’accès ont été appliquées immédiatement pour interrompre l’intrusion et limiter le volume extrait. Le périmètre communiqué porte sur environ 1,2 million de comptes, soit moins de 1 % des coordonnées bancaires contenues dans le fichier.

Un chiffre de douze millions circule dans certaines reprises. Il provient d’une virgule mal placée et multiplie l’ampleur réelle par dix. Le volume officiel, confirmé par le ministère de l’Économie et par la foire aux questions publiée fin février, reste de 1,2 million.

La chronologie mérite d’être posée, car elle éclaire un point souvent négligé : les consultations illégitimes se sont poursuivies plusieurs semaines. Engagées à partir de la fin janvier, elles n’ont été interrompues qu’à la mi-février, après détection par les investigations internes, puis rendues publiques le 18 février. Ce délai n’a rien d’exceptionnel pour ce type d’incident, où l’activité de l’attaquant se confond avec celle d’un utilisateur légitime. Il indique en revanche que la détection reposait sur un contrôle a posteriori plutôt que sur une alerte déclenchée par un comportement anormal.

Ce que contient FICOBA

Le fichier national des comptes bancaires et assimilés est géré par l’administration fiscale. Sa fonction est d’établir un lien entre une personne et l’existence d’un compte, pas de suivre ce qui s’y passe.

L’identité du titulaire, particulier ou personne morale.
L’adresse déclarée.
L’établissement bancaire teneur du compte.
Les références du compte, dont le relevé d’identité bancaire.
Les informations administratives liées à l’ouverture, à la modification et à la clôture.
Certains comptes assimilés et coffres-forts.

Ce qu’il ne contient pas mérite d’être énoncé aussi clairement, car c’est la source de la plupart des inquiétudes mal placées : ni le solde des comptes, ni l’historique des opérations, ni le moindre élément permettant d’accéder à un espace bancaire en ligne.

L’existence même de ce fichier est peu connue du grand public alors qu’il concerne pratiquement tout le monde. Toute ouverture ou fermeture de compte en France y est déclarée par l’établissement bancaire.

Il sert notamment aux administrations autorisées, aux notaires dans le cadre des successions, et aux procédures de recouvrement. Ce sont ces accès interministériels qui ont été détournés.

Une remarque sur la valeur de ce type de base pour un attaquant, qui explique pourquoi elle est visée. FICOBA ne contient pas d’argent, mais il contient une correspondance : celle entre une personne réelle, son adresse et l’endroit où elle détient son argent. Cette correspondance est précisément ce qui manque à la plupart des fichiers volés ailleurs. Une base d’adresses électroniques n’a que peu de valeur isolée ; associée à un IBAN et à un établissement bancaire, elle permet de cibler et de personnaliser chaque approche. La menace vient du recoupement, pas du fichier pris seul.

Ce qui a été consulté

Le communiqué officiel identifie trois catégories de données personnelles concernées par les accès illégitimes : les coordonnées bancaires, c’est-à-dire le relevé d’identité bancaire et l’IBAN, l’identité du titulaire et son adresse.

Un point a évolué dans la communication officielle et vaut d’être signalé. Les premières reprises de presse évoquaient la possible consultation de l’identifiant fiscal. La mise à jour publiée par l’administration a écarté cette hypothèse : cet identifiant n’a pas été consulté lors des accès illégitimes.

La foire aux questions du 27 février confirme ce périmètre : état civil, adresse postale et coordonnées bancaires. Rien de plus, et c’est déjà beaucoup.

Les deux accès suivants

L’affaire ne s’est pas arrêtée en février, et c’est l’élément le plus important pour comprendre sa portée.

Le 14 août 2026, le ministère de l’Économie a confirmé un nouvel accès illégitime au système d’information de la DGFiP, intervenu entre juin et juillet. Des données concernant 678 000 particuliers et professionnels ont été consultées et extraites, incluant pour les entreprises la raison sociale et le numéro d’identification.

Une conférence de presse tenue le 18 août a précisé l’ampleur du volet cadastral de cet incident et révélé un troisième accès, plus limité, portant sur le portail des successions vacantes. La foire aux questions destinée aux professionnels, publiée fin août, chiffre à plus de 250 000 le nombre d’entreprises concernées, les notifications individuelles ayant débuté le 24 août.

Le mode opératoire est le même dans les trois cas : l’usurpation des identifiants d’un agent ou d’un tiers habilité, plutôt qu’une attaque directe contre l’application. C’est cette répétition, bien plus que le volume de chaque incident, qui interroge.

Cette série s’inscrit dans une trajectoire nationale documentée par ailleurs, décrite dans notre suivi des volumes de comptes français compromis, et qui touche aussi bien les administrations que les organismes privés, comme l’ont montré les incidents ayant exposé les données de plusieurs millions d’assurés.

Peut-on vider un compte avec un IBAN ?

La réponse courte

Non. Un IBAN sert à recevoir de l’argent et à autoriser des prélèvements. Il ne donne accès ni à l’espace bancaire en ligne, ni à la carte, ni à la moindre opération de retrait. Connaître un IBAN, c’est connaître une adresse, pas posséder une clé.

Le risque réel

Il tient au prélèvement frauduleux. Un mandat établi sans votre accord peut déclencher un débit. Ce type d’opération est contestable auprès de la banque, avec un délai qui court jusqu’à treize mois pour un prélèvement non autorisé. La contestation aboutit, mais elle suppose d’avoir repéré le mouvement.

Le risque principal

C’est la fraude par manipulation. Un interlocuteur qui cite votre nom, votre adresse et les derniers caractères de votre IBAN paraît légitime. Il n’a plus qu’à vous demander de valider une opération « de sécurisation » ou de communiquer un code reçu par message.

Ce que ça produit

Exactement les scénarios décrits dans l’arnaque au faux conseiller bancaire et dans sa variante fondée sur un faux remboursement. La donnée volée ne sert pas à voler : elle sert à obtenir que vous le fassiez vous-même.

La règle qui découle de tout cela tient en une phrase, et c’est probablement la seule vraiment indispensable. Aucune banque, aucune administration ne demandera jamais un mot de passe, un code de validation ou la confirmation d’une opération par téléphone. Un interlocuteur qui le fait n’est pas votre banque, quelle que soit la précision des informations qu’il détient sur vous.

Comment savoir si vous êtes concerné

L’administration a retenu une règle simple, et elle est explicite dans sa foire aux questions : chaque personne concernée reçoit une information individuelle, par courriel lorsque l’adresse est connue, par courrier postal dans le cas contraire. En l’absence de message, vous n’êtes pas concerné.

Cette règle a un corollaire pratique immédiat. Toute sollicitation qui vous demande de « vérifier si vous êtes touché », de « confirmer votre identité » ou de « sécuriser votre compte » en cliquant sur un lien est frauduleuse. L’incident sert de prétexte à des campagnes qui exploitent précisément l’inquiétude qu’il a suscitée.

Les établissements bancaires ont également été alertés afin de sensibiliser leurs clients. Là encore, une banque qui vous contacte ne vous demandera pas d’identifiants.

Ce qu’il faut faire

Fermer son compte bancaire n’a aucun intérêt et coûte beaucoup de temps. Sept réflexes suffisent, et ils restent valables bien au-delà de cet incident.

Relire ses relevés. Une fois par mois, en s’arrêtant sur les prélèvements plutôt que sur les paiements par carte. C’est là qu’une opération frauduleuse passe le plus facilement inaperçue.
Activer les notifications de mouvement lorsque la banque le propose. Un débit signalé en temps réel se conteste bien plus vite.
Ouvrir son application bancaire directement, jamais depuis un lien reçu par message ou courriel.
Raccrocher et rappeler. Face à un appel prétendument bancaire, mettre fin à la conversation et composer le numéro figurant sur sa carte ou son relevé.
Ne jamais valider une opération sous pression. L’urgence est le signal le plus fiable d’une tentative de fraude.
Contester rapidement. Un prélèvement non autorisé se conteste auprès de la banque, dans un délai qui peut atteindre treize mois.
Se renseigner sur le contrôle des prélèvements. Certaines banques permettent de limiter ou de bloquer les mandats sur un compte.

Pour une entreprise, deux points s’ajoutent. La diffusion d’une raison sociale et d’un numéro d’identification facilite les fausses factures et les demandes de changement de coordonnées bancaires adressées aux clients.

La parade est procédurale plutôt que technique : toute demande de modification d’un IBAN doit être vérifiée par un canal indépendant, en rappelant le contact habituel sur un numéro connu, jamais celui figurant sur le document reçu.

Ce type de fraude s’appuie sur les mêmes ressorts que les fausses procédures administratives : un décor crédible et une échéance qui presse.

Ce que la répétition révèle

Trois incidents en sept mois, dans la même administration, selon le même mode opératoire. Ce n’est plus une série de coïncidences, c’est un constat sur l’architecture des accès.

Aucun de ces épisodes n’a supposé de prouesse technique. Dans chaque cas, l’attaquant a obtenu les identifiants d’une personne autorisée puis s’est servi de droits parfaitement réguliers. La protection du serveur, du réseau ou de l’application n’était pas en cause.

Deux questions en découlent, et elles valent pour toute organisation détenant des données sensibles. Pourquoi un identifiant unique donne-t-il accès à un volume aussi considérable d’enregistrements ? Et pourquoi des consultations massives et inhabituelles ont-elles pu se poursuivre plusieurs semaines avant d’être repérées ?

La réponse ne passe pas par davantage de barrières mais par le cloisonnement des droits, la limitation des volumes consultables et la détection des comportements anormaux. Cette évolution est celle que documentent les analyses de la CNIL sur les violations de données, dans un contexte où les administrations publiques européennes figurent parmi les cibles les plus visées.

Pour une entreprise, l’enseignement est transposable sans effort. Confier des données à un tiers, fût-il une administration, ne les met pas à l’abri. Cela ne justifie aucune défiance particulière envers l’administration fiscale : cela justifie de maintenir en interne des procédures de vérification qui ne reposent pas sur la seule vraisemblance apparente d’un message. Le même raisonnement s’applique aux services privés, comme l’a rappelé le cas d’une application ayant laissé des millions de fichiers accessibles.

QUESTIONS FRÉQUENTES

Fuite FICOBA : les réponses essentielles.

Combien de comptes ont été concernés ?

Environ 1,2 million, soit moins de 1 % des coordonnées bancaires contenues dans le fichier, selon le communiqué du ministère de l’Économie du 18 février 2026. Le chiffre de douze millions qui circule provient d’une virgule mal placée.

Comment l’accès a-t-il été obtenu ?

Par l’usurpation des identifiants d’un fonctionnaire disposant d’un accès légitime dans le cadre des échanges d’informations entre ministères. Aucune faille de l’application elle-même n’a été mise en cause. L’attaquant a utilisé des droits régulièrement attribués.

Quelles données ont pu être consultées ?

Les coordonnées bancaires, c’est-à-dire le relevé d’identité bancaire et l’IBAN, l’identité du titulaire et son adresse. L’administration a précisé par la suite que l’identifiant fiscal n’avait pas été consulté, contrairement à ce qu’avaient laissé entendre les premières reprises.

Les soldes bancaires ont-ils été exposés ?

Non. Le fichier ne contient ni le solde des comptes, ni l’historique des opérations, ni le moindre élément permettant d’accéder à un espace bancaire en ligne. Sa fonction est d’établir un lien entre une personne et l’existence d’un compte.

Y a-t-il eu d’autres incidents à la DGFiP ?

Oui, deux autres depuis. Un accès de juin-juillet 2026, révélé le 14 août, portant sur 678 000 particuliers et professionnels dont plus de 250 000 entreprises. Et un troisième, plus limité, sur le portail des successions vacantes. Le mode opératoire est identique dans les trois cas.

Peut-on vider mon compte avec mon IBAN ?

Non. Un IBAN sert à recevoir de l’argent et à autoriser des prélèvements, il ne donne accès à aucun espace bancaire. Le risque réel est le prélèvement frauduleux, contestable auprès de la banque dans un délai qui peut atteindre treize mois, et surtout la fraude par manipulation téléphonique.

Comment savoir si je suis concerné ?

Chaque personne concernée reçoit une information individuelle de l’administration, par courriel ou par courrier. En l’absence de message, vous n’êtes pas concerné. Toute sollicitation vous demandant de vérifier votre situation en cliquant sur un lien est frauduleuse.

Faut-il changer de compte bancaire ?

Non, cela n’apporte rien. Il est plus utile de relire ses relevés en s’arrêtant sur les prélèvements, d’activer les notifications de mouvement, de n’ouvrir son application bancaire que directement, et de raccrocher puis rappeler face à tout appel prétendument bancaire.

SOURCES

Florence Salmon

Fondatrice de WY-Créations® — référenceuse senior et développeuse

WY-Créations analyse les évolutions du web, de la cybersécurité et de la protection des données. Les périmètres indiqués sont ceux communiqués par l’administration et peuvent évoluer au fil des investigations en cours. Pour aller plus loin : toutes les actualités web.

DONNÉES ET VIGILANCE

Un interlocuteur qui connaît vos informations n’est pas pour autant légitime.

WY-Créations accompagne les entreprises sur leurs sites, leurs formulaires et la maîtrise des données qu’elles collectent.

APPELER WY-CRÉATIONS 06 37 08 64 90 →