La liste blanche SEPA permet de refuser tout prélèvement émis par un créancier que vous n’avez pas autorisé. Le sujet a pris un tour concret le 18 février 2026. Ce jour-là, la Direction générale des Finances publiques (DGFiP) a révélé des accès illégitimes au fichier national des comptes bancaires, FICOBA. Selon son communiqué, l’attaquant a pu consulter les coordonnées bancaires, l’identité et l’adresse des titulaires d’environ 1,2 million de comptes.
Un IBAN, un nom et une adresse suffisent pour tenter un prélèvement. Votre banque vous offre pourtant un moyen de le bloquer, prévu par un règlement européen depuis 2012. Peu de titulaires de compte le connaissent.
Comment un IBAN volé sert à vous prélever
Le prélèvement SEPA repose sur la confiance. Le créancier transmet à sa banque un ordre de prélèvement avec l’IBAN du débiteur. Le mandat signé, lui, reste chez le créancier : votre banque ne le voit pas. Elle exécute donc le prélèvement sans pouvoir contrôler l’existence du mandat.
Un escroc qui détient votre IBAN et votre identité peut ainsi créer un faux mandat et débiter votre compte. Les fuites récentes lui fournissent cette matière. Outre FICOBA, la CNIL rappelle qu’en octobre 2024 l’intrusion chez Free a touché 24 millions de contrats d’abonnés, avec des IBAN pour les personnes clientes à la fois de FREE MOBILE et de FREE.
L’IBAN sert aussi d’appât. En effet, la CNIL signale des fraudeurs qui se font passer pour votre conseiller bancaire et gagnent votre confiance grâce à vos données, IBAN compris. Ils vous poussent ensuite à effectuer ou confirmer un paiement en urgence. Raccrochez et rappelez votre agence au numéro habituel.
La liste blanche SEPA : ce que le règlement vous garantit
Le règlement européen n° 260/2012, en son article 5, paragraphe 3, donne au payeur plusieurs droits face aux prélèvements. Le plus protecteur reste la liste blanche : vous désignez les seuls créanciers autorisés à prélever votre compte. Tout prélèvement venu d’un autre créancier est alors rejeté.
Le même texte prévoit d’autres réglages. Vous pouvez d’abord bloquer tous les prélèvements. Vous pouvez aussi interdire des créanciers précis, ce que les banques appellent une liste noire. Enfin, vous pouvez limiter les prélèvements à un montant ou à une périodicité.
Pour l’activer, demandez-la à votre conseiller ou par écrit, et indiquez les créanciers à autoriser : fournisseur d’énergie, opérateur, assurance, impôts. Votre banque vous précise les références dont elle a besoin. Vous exercez un droit prévu par le règlement, pas une faveur commerciale. Le texte ne dit rien, en revanche, des frais éventuels : interrogez votre banque.
Prélèvements frauduleux : les délais pour être remboursé
Consultez d’abord la liste des créanciers et des mandats actifs dans votre espace bancaire. Supprimez ceux que vous ne reconnaissez plus.
Si un prélèvement non autorisé passe malgré tout, contestez-le vite. Selon Les clés de la banque, vous disposez de 13 mois après le débit pour un prélèvement sans mandat. La banque vous rembourse alors immédiatement, et au plus tard le premier jour ouvrable suivant votre signalement.
Pour un prélèvement autorisé dont le montant vous paraît anormal, le délai est de 8 semaines et le remboursement est inconditionnel. Dans ce cas, la banque dispose de 10 jours ouvrables pour vous rembourser.
Après une fuite qui vous concerne, ajoutez la liste blanche SEPA à vos réflexes. Changez aussi vos mots de passe, activez la double authentification et méfiez-vous des messages qui citent vos données pour paraître crédibles.
Si votre organisme détient des IBAN
Employeurs, bailleurs, mutuelles et associations collectent des IBAN tous les jours. Ces coordonnées bancaires sont des données personnelles. L’article 32 du RGPD impose donc une sécurité adaptée au risque : stockage protégé, accès réservé aux personnes habilitées, traçabilité des consultations.
Une fuite de ces IBAN constitue une violation de données. Notifiez-la à la CNIL dans les 72 heures (article 33) et informez les personnes lorsque le risque est élevé (article 34). Conseillez-leur alors la liste blanche SEPA : pour la rédaction du message, voyez comment aider les personnes notifiées après une violation, et suivez notre tutoriel pour notifier une violation de données.
Sources
Les chiffres et la nature des données consultées viennent du communiqué de la DGFiP du 18 février 2026 sur les accès illégitimes au fichier FICOBA.
Les conseils et la fraude au faux conseiller sont décrits par la CNIL dans Fuite de données et vol de votre IBAN : comment vous protéger si vous êtes concerné ?
Les chiffres de la fuite de 2024 figurent dans la page de la CNIL consacrée à la sanction de 42 millions d’euros prononcée contre FREE MOBILE et FREE.
Les droits du payeur sont fixés par le règlement (UE) n° 260/2012 sur les virements et les prélèvements en euros.
Le site d’information de la Fédération bancaire française détaille la liste blanche dans Fuite de données, piratage, vol d’IBAN : que faire ? et les délais de contestation dans Peut-on faire opposition sur un prélèvement déjà effectué ?
Questions fréquentes
Comment mettre en place une liste blanche de prélèvements ?
Demandez-la à votre banque, auprès de votre conseiller, par écrit ou dans votre espace en ligne si l’option existe.
Indiquez les créanciers que vous autorisez. Tout prélèvement d’un autre créancier sera rejeté.
Que peut faire un escroc avec mon IBAN ?
Avec votre IBAN et votre identité, un escroc peut tenter un prélèvement sur la base d’un faux mandat.
Il peut aussi s’en servir pour se faire passer pour votre conseiller bancaire et obtenir un paiement en urgence.
Combien de temps pour contester un prélèvement frauduleux ?
Vous disposez de 13 mois après le débit pour contester un prélèvement non autorisé.
Pour un prélèvement autorisé au montant contesté, le délai est de 8 semaines.
La banque doit-elle rembourser un prélèvement non autorisé ?
Oui, la banque rembourse un prélèvement non autorisé immédiatement, au plus tard le premier jour ouvrable après votre signalement.
Signalez-le donc dès que vous le repérez sur votre relevé.
Mon IBAN figure dans la fuite FICOBA : faut-il une liste blanche SEPA ?
Oui, activez une liste blanche SEPA, vérifiez vos mandats actifs et surveillez vos relevés.
Selon la DGFiP, les usagers concernés reçoivent une information individuelle. Ne répondez à aucun message qui vous demande vos identifiants ou votre numéro de carte.
