Le piratage Ficoba expose l’IBAN, le nom et l’adresse des titulaires d’environ 1,2 million de comptes bancaires. Le ministère de l’Économie l’a révélé le 18 février 2026. Selon les autorités, le principal risque pour les personnes touchées est une tentative d’escroquerie ciblée, par message ou par téléphone.
Un escroc qui cite votre vrai IBAN et le nom de votre banque inspire plus confiance qu’un SMS anonyme. Pourtant, il reste un escroc.
Ce que l’on sait du piratage Ficoba
Des identifiants de fonctionnaire usurpés
Le Ficoba est le fichier national des comptes bancaires et assimilés, tenu par la Direction générale des finances publiques (DGFiP). L’attaque n’a demandé aucune prouesse technique. Un acteur malveillant a usurpé les identifiants d’un fonctionnaire qui disposait d’un accès légitime au fichier, dans le cadre des échanges d’information entre ministères.
Cet accès détourné a servi du 28 janvier au 13 février 2026.
Les données consultées, et celles qui ne l’ont pas été
Les données consultées sont les coordonnées bancaires (RIB et IBAN), l’identité du titulaire et son adresse postale. En revanche, la DGFiP précise que l’identifiant fiscal n’a pas été consulté. Les opérations et les soldes ne figurent pas dans le fichier : ils restent donc hors d’atteinte.
La DGFiP a détecté l’intrusion et restreint les accès sans délai. Elle a ensuite notifié l’incident à la Commission nationale de l’informatique et des libertés (CNIL) et porté plainte. Enfin, elle informe chaque titulaire concerné par courriel, ou par courrier à défaut d’adresse électronique.
L’arnaque au faux conseiller bancaire, risque principal
La DGFiP cite en particulier la fraude au faux conseiller bancaire. Le scénario est connu : un interlocuteur vous appelle au nom de votre banque. Il connaît votre IBAN et votre adresse, puis invoque une opération suspecte. Il vous demande ensuite de valider une opération dans votre application ou de lui donner un code reçu par SMS.
Le niveau de détail rend l’appel crédible. Or ces informations ne prouvent rien : elles figurent précisément dans les données consultées.
Votre IBAN seul ne permet pas de vider votre compte. La DGFiP le rappelle : son accès n’expose pas nécessairement à une fraude. Pour créer un faux mandat de prélèvement, l’escroc doit en effet être enregistré auprès d’une banque comme émetteur de prélèvements. Le danger vient donc surtout de ce que vous acceptez de faire au téléphone.
Les bons réflexes après le piratage Ficoba
Ne communiquez jamais vos codes de connexion ni un code reçu par SMS, même à un interlocuteur qui connaît vos coordonnées. Votre banque ne vous demande jamais de faire un virement pour « sécuriser » votre compte.
Au moindre doute, raccrochez. Rappelez ensuite votre banque vous-même, avec ses coordonnées officielles. N’utilisez ni le numéro donné par l’appelant, ni la fonction rappel du téléphone.
Si vous avez reçu le message de la DGFiP, prévenez votre banque, comme le recommande sa foire aux questions du 27 février 2026. Consultez aussi votre compte au moins une fois par semaine et signalez sans tarder toute opération inconnue.
Activez également la double authentification partout où votre banque la propose. Le site cybermalveillance.gouv.fr publie des fiches pour reconnaître ces arnaques et pour agir si vous en êtes victime.
Le même schéma circule aussi par courriel et par SMS, par exemple avec les faux messages de remboursement d’impôts ou les faux liens de paiement Wero.
Ce que l’incident révèle de la gestion des accès
Au regard du RGPD, la DGFiP a suivi la procédure prévue. L’article 33 impose une notification à la CNIL dans les 72 heures après la découverte de la violation. Quant à l’article 34, il impose d’informer les personnes lorsque le risque est élevé : c’est l’objet du message envoyé aux titulaires.
L’article 32 exige aussi une sécurité adaptée au risque. Un seul identifiant usurpé a suffi pour consulter 1,2 million de comptes en deux semaines et demie. L’incident pose donc la question de l’authentification de ce compte et des alertes sur un volume de consultation anormal. Les sources publiques ne disent pas si une authentification multifacteur protégeait cet accès.
Sources
La DGFiP présente l’incident sur sa page Accès illégitimes au fichier national des comptes bancaires (FICOBA).
Elle répond aux questions des titulaires dans sa Foire aux questions (FAQ) : accès illégitimes au fichier national des comptes bancaires FICOBA.
Next a relayé l’annonce dans Bercy informe d’une intrusion dans le Ficoba : 1,2 million de comptes exposés.
Le Monde Informatique l’a couverte dans Bercy alerte sur le piratage du fichier national des comptes bancaires.
