Des investigations menées par la Direction Générale des Finances publiques (DGFiP) ont permis d’identifier des accès illégitimes au fichier national des comptes bancaires (FICOBA).
Tribune ESET – À compter de la fin janvier 2026, un acteur malveillant, qui a usurpé les identifiants d’un fonctionnaire disposant d’accès dans le cadre de l’échange d’information entre ministères, a pu consulter une partie de ce fichier qui recense l’ensemble des comptes bancaires ouverts dans les établissements bancaires français et contient des données à caractère personnel : coordonnées bancaires (RIB / IBAN), identité du titulaire, adresse et, dans certains cas, l’identifiant fiscal de l’usager.
Selon le ministère, « dès la détection de cet incident, des mesures immédiates de restriction d’accès ont été mises en œuvre afin de stopper l’attaque, de limiter l’ampleur des données consultées et extraites de cette base – qui concernerait 1,2 million de comptes -, et de prévenir toute nouvelle consultation illégitime ». Par ailleurs, « des travaux sont en cours pour rétablir le service dans les meilleures conditions de protection ». Les titulaires de comptes concernés « recevront dans les prochains jours une information individuelle les alertant qu’un accès à leurs données a pu être constaté ».
L’incident a fait l’objet d’un dépôt de plainte et d’un signalement à la Commission nationale de l’informatique et des libertés (Cnil), précise le ministère qui assure que « les équipes informatiques de la DGFiP sont pleinement mobilisées », avec les services du ministère des finances et l’Agence nationale de la sécurité des systèmes d’information (ANSSI), « afin de traiter cet incident et de renforcer la sécurité du système d’information (SI) ».
La Fédération bancaire française (FBF) ajoute que l’on y trouve également la date et le lieu de naissance du titulaire. Si la FBF remarque également que les données parties dans la nature « ne suffisent pas à faire un virement ou un paiement par carte », elle invite néanmoins chacun à « consulter régulièrement son compte pour détecter tout incident ou anomalie », c’est à dire au moins une fois par semaine. Moins rassurante que la DGFiP, la FBF souligne que ce point « est plus particulièrement important pour les personnes dont les données ont été divulguées ». En effet, explique-t-elle, « à partir d’un Iban, de faux créanciers peuvent demander l’exécution de prélèvements, à deux conditions ». La première: « être enregistré en tant qu’émetteur de prélèvements auprès d’un prestataire de services de paiement ». La seconde: « avoir des mandats de prélèvement ».
Benoit Grunemwald – Expert en Cybersécurité chez ESET France réagit :
La compromission touchant le fichier FICOBA ne révèle pas une fragilité des infrastructures technique face aux accès non autorisés, elle prouve que pour accéder aux données sensibles, il n’est pas utile de s’attaquer de front aux serveurs. Car ceux-ci sont bien protégés et utiliser des failles organisationnelles permet d’arriver à ses fins. La consultation illégitime de données personnelles de près de 1,2 million de comptes bancaires, incluant identité, RIB/IBAN, adresse, identifiant fiscal et parfois données d’état civil, constitue une exposition majeure, susceptible d’alimenter fraudes financières et usurpations d’identité. La réaction institutionnelle a été rapide. Restriction immédiate des accès, plainte, saisine de la CNIL, mobilisation conjointe du ministère de l’Intérieur, de la DGFiP et de l’ANSSI. Cette réponse coordonnée démontre un haut niveau de maturité, mais révèle également des limites en matière de gestion des identités, d’authentification et de contrôle des accès dans des systèmes complexes aux nombreux utilisateurs. L’ingénierie sociale et l’exploitation de mesures insuffisantes rendent possible l’accès à des données sensibles.
On peut s’interroger sur les profils des auteurs présumés, parfois très jeunes et arrêtés en France et leurs motivations. Leur point commun, une capacité à contourner les protections en exploitant les faiblesses organisationnelles plutôt que des vulnérabilités techniques avancées.
