FICOBA : 1,2 million de comptes bancaires exposés. Et maintenant, on fait quoi ?

Les médias se sont emparés de l'affaire avec l'habituel mélange de chiffres alarmants et de formules qui font peur. « Piratage historique », « risque immédiat », « vos données entre les mains de hackers »...

Respirons.

Parce que ce qui s'est passé avec le FICOBA mérite mieux qu'une réaction épidermique. Ça mérite une lecture lucide. Et surtout, ça mérite qu'on pose les bonnes questions; pas celles qui font du clic, mais celles qui font réfléchir.

Que s'est-il passé avec le FICOBA, exactement ?

Le FICOBA, c'est le Fichier national des Comptes Bancaires et Assimilés. Créé en 1971, il recense l'ensemble des comptes ouverts dans les établissements bancaires français : comptes courants, comptes d'épargne, comptes-titres, coffres-forts loués. Soit 300 millions de comptes au total, gérés par la Direction générale des Finances publiques (DGFiP).

Entre le 28 janvier et le 13 février 2026, un acteur malveillant a accédé à ce fichier. Il a pu consulter et vraisemblablement extraire les données de 1,2 million de comptes, soit moins de 1 % des coordonnées bancaires contenues dans le fichier.

Ce qu'il a obtenu : votre état civil (nom, prénom, date et lieu de naissance), votre adresse postale et vos coordonnées bancaires (RIB et IBAN).

Ce qu'il n'a pas obtenu : le solde des comptes, les transactions, la possibilité de faire un virement. Dans sa foire aux questions du 27 février 2026, la DGFiP a précisé qu'aucun mot de passe ne figure dans le FICOBA, et que l'identifiant fiscal des usagers comme l'accès à l'espace impots.gouv.fr n'ont pas été compromis.

La Fédération bancaire française l'a confirmé : ces données seules ne suffisent pas à réaliser un paiement par carte ou un virement. Ce n'est pas rien à préciser, tant la panique ambiante laissait entendre que les comptes allaient être vidés d'une minute à l'autre.

La DGFiP a notifié l'incident à la CNIL, déposé plainte, et informe individuellement chaque personne concernée, par courriel ou par courrier, conformément à l'article 34 du RGPD.

Mais alors, c'est pas grave ?

Si. C'est grave. Très grave.

Juste pas exactement pour les raisons qu'on vous sert en boucle.

Commençons par ce qui est vrai : avec votre IBAN, il est techniquement possible d'initier des prélèvements frauduleux. Ce n'est pas aussi simple que de vider un compte, mais ça existe, et ça arrive. La Fédération bancaire française le reconnaît elle-même : un IBAN volé peut, dans certaines conditions, servir à créer un mandat frauduleux, à condition que l'escroc soit enregistré auprès d'une banque comme émetteur de prélèvements. Surveillez vos relevés. Signalez immédiatement tout prélèvement que vous ne reconnaissez pas.

Le vrai risque : l'ingénierie sociale

Mais la menace la plus profonde, celle dont on parle beaucoup moins, c'est une autre.

Ce qui vient d'être compromis, ce n'est pas seulement votre numéro de compte. C'est votre identité numérique dans sa globalité : nom, prénom, adresse postale, date et lieu de naissance, IBAN. Un paquet complet. Cohérent. Vérifiable.

Et ça, pour un escroc, c'est de l'or.

Avec ces informations, il peut vous contacter en se faisant passer pour votre banque, pour la DGFiP, pour votre assureur. Il ne devinera pas vos données: il les connaît déjà. Son message sera précis, fluide, crédible. Vous aurez l'impression qu'il vous connaît. Parce que d'une certaine façon, c'est le cas.

C'est ça, le vrai danger du FICOBA. Pas le virement fantôme. La manipulation chirurgicale. C'est d'ailleurs le premier risque pointé par la DGFiP elle-même : des tentatives d'hameçonnage et de faux conseillers bancaires, rendues crédibles par des données authentiques.

Comment un tel accès a-t-il pu se produire ?

Là, on touche au fond du problème.

L'attaquant n'a pas « hacké » le FICOBA au sens où on l'imagine, une opération sophistiquée, des écrans qui clignotent, une équipe de génie dans une salle obscure. Il a usurpé les identifiants d'un fonctionnaire extérieur à la DGFiP, qui disposait d'un accès légitime au fichier dans le cadre de l'échange d'informations entre ministères.

Autrement dit : quelqu'un a volé un identifiant et un mot de passe. Et avec ça, il s'est connecté. Tranquillement. Sans éveiller le moindre soupçon. Pendant plus de deux semaines. Sans surveillance, sans alerte, sans que personne ne lève la main.

Nada.

Posons la question clairement, parce qu'elle mérite d'être posée: comment un accès à 300 millions de comptes bancaires français n'était ni protégé par une authentification renforcée, ni surveillé par des systèmes de détection d'anomalies ? C'est le B.A.-BA de toute stratégie de sécurité numérique digne de ce nom dans n'importe quelle entreprise un tant soit peu sérieuse.

Alors l'organisation censée gérer la sécurité de nos coordonnées bancaires, elle attendait quoi exactement ?

Et pendant qu'on y est : c'est cette même administration à qui on demande de faire davantage confiance pour centraliser nos données d'identité en ligne, pour numériser encore plus nos interactions avec l'État.

Ce n'est pas une faille technique sophistiquée. C'est une défaillance humaine et organisationnelle, profonde, évitable. Exactement le genre de défaillance dont je parle dans Être en cybersécurité : le maillon faible n'est presque jamais la technologie. C'est l'humain. Et c'est le processus.

Une série noire qui n'est pas un hasard

Cette affaire n'est pas isolée.

Depuis le début de l'année, la France a subi le piratage de Service-Public.fr, une attaque contre l'OFII, une fuite chez un prestataire de Relais Colis, la compromission de la Fédération française de golf, et avant cela, les données de France Travail, de la CNAM, de mutuelles, d'hôpitaux...

Un rapport de Surfshark plaçait déjà la France en tête des pays européens pour le nombre de comptes compromis en 2025. Et la tendance s'aggrave : selon Surfshark, 43,4 millions de comptes liés à la France ont été compromis sur le seul premier semestre 2026, en hausse de 62,3 % par rapport au semestre précédent. La France concentre à elle seule 58 % des comptes compromis en Europe, et se classe deuxième au monde, derrière les seuls États-Unis et leurs 90,8 millions de comptes, sur 313,4 millions recensés sur la planète. Rapportée à sa population, la France affiche même le ratio de comptes compromis le plus élevé du monde : par habitant, aucun pays n'est plus exposé.

Ce n'est pas une malchance. C'est le symptôme d'un problème structurel : la cybersécurité publique française est sous-dotée, fragmentée, et traitée comme une contrainte administrative plutôt que comme une priorité stratégique.

NIS2 attend toujours sa transposition complète. Les habilitations sont mal gérées. La formation des agents publics aux bonnes pratiques reste anecdotique. Et la culture du risque numérique celle qui permettrait d'éviter qu'un fonctionnaire se fasse phisher ses identifiants n'est pas encore ancrée dans les organisations.

Comment se protéger après la fuite du FICOBA ?

Première chose : respirez.

Vos données sont probablement déjà quelque part en ligne. Pas seulement à cause du FICOBA à cause de France Travail, de la CNAM, de votre mutuelle, de cette appli que vous avez installée en 2019 et oubliée depuis. Les fuites s'accumulent depuis des années. Elles se croisent, se complètent, s'agrègent.

Accepter ça, c'est libérateur. Ça ne veut pas dire baisser les bras. Ça veut dire arrêter d'attendre le problème et commencer à l'anticiper.

Mon principe, celui que je répète à toutes les entreprises avec lesquels je travaille, dans toutes les formations que je donne et également dans mon livre Être en cybersécurité : soyez poliment paranoïaque.

Pas anxieux. Pas paralysé. Juste méthodiquement méfiant, avec le sourire.

Concrètement, ça donne quoi ?

Tout contact que vous n'avez pas initié est suspect par défaut. Un appel de votre banque ? Raccrochez et rappelez vous-même via le numéro au dos de votre carte. Un SMS de la DGFiP avec un lien ? Corbeille. Un email qui connaît votre IBAN et vous demande de « confirmer » quoi que ce soit ? Corbeille, et vite. La règle est simple : si c'est urgent et que ça vient de l'extérieur, c'est probablement faux. Les vraies urgences, vous les gérez en rappelant vous-même l'organisme. Rappelez toujours via un numéro trouvé sur les annuaires officiels, jamais via la fonction « rappel » de votre téléphone.

Vérifiez vos comptes FICOBA. Depuis 2025, c'est disponible sur impots.gouv.fr, rubrique « Autres services ». Vous pouvez voir en quelques clics quels comptes vous y sont rattachés. Faites-le, pas parce que c'est urgent; mais parce que reprendre le contrôle commence par savoir où vous en êtes.

Activez le double facteur d'authentification partout. Emails en premier. Services bancaires et fiscaux ensuite. Tout le reste après. C'est la mesure la plus simple et la plus efficace qui existe pour réduire votre exposition. Elle ne coûte rien. Elle protège beaucoup.

Surveillez vos prélèvements. Un IBAN volé ne permet pas de vider un compte, mais un escroc peut tenter de créer un faux mandat de prélèvement. La DGFiP recommande de vous connecter au moins une fois par semaine à votre espace bancaire. Mieux : demandez à votre banque une « liste blanche » des créanciers autorisés, qui rejette automatiquement tout prélèvement émis par un créancier que vous n'avez pas explicitement validé. Tout prélèvement que vous ne reconnaissez pas se conteste auprès de votre banque, et vous disposez pour cela de treize mois à compter de la date de débit (article L133-24 du Code monétaire et financier).

Le FICOBA n'est pas la fin du monde. Mais c'est un rappel de plus que dans le monde numérique d'aujourd'hui, la meilleure protection, c'est vous. Pas votre banque. Pas l'État. Vous.

Poliment paranoïaque. Toujours.

Ce que cette affaire révèle, au fond

Je le répète souvent, et cet incident le confirme une fois de plus : la cybersécurité n'est pas un problème d'outils. C'est un problème de culture et un problème d'humain.

J'insiste sur cette idée : la lucidité vaut mieux que la peur. Comprendre comment les attaques fonctionnent réellement, pas la version hollywoodienne, mais la réalité du terrain, c'est ce qui permet de prendre les bonnes décisions, à titre individuel comme à titre collectif.

Ce piratage du FICOBA n'est pas une catastrophe irrémédiable pour les personnes concernées. Mais c'est un signal fort que l'on ne peut pas continuer à ignorer : tant que la sécurité numérique restera un sujet de spécialistes et pas un sujet de gouvernance, ces incidents se répèteront.

Et la prochaine fois, les données exposées seront peut-être plus sensibles encore.

Vous voulez aller plus loin et comprendre vraiment comment fonctionne la cybersécurité, pas pour devenir expert, mais pour ne plus subir ? Mon livre Être en cybersécurité est fait pour ça.

---

Sources

• Chronologie de l'intrusion, données concernées et absence d'atteinte à l'identifiant fiscal, au solde et à l'accès impots.gouv.fr : DGFiP, foire aux questions du 27 février 2026, impots.gouv.fr, accès illégitimes au fichier FICOBA et ministère de l'Économie, tout savoir sur l'accès illégitime au FICOBA.
• Impossibilité de vider un compte, risque de mandat de prélèvement frauduleux et appel à la vigilance : Fédération bancaire française.
• Fonctionnement du FICOBA et « liste blanche » des créanciers autorisés : La finance pour tous, 20 février 2026.
• Usurpation des identifiants d'un fonctionnaire, notification à la CNIL et dépôt de plainte : Help Net Security, 19 février 2026.
• France, pays le plus touché par les fuites de données au premier semestre 2026 (43,4 millions de comptes, 58 % des comptes compromis en Europe, deuxième rang mondial et ratio par habitant le plus élevé du monde) : étude Surfshark, reprise par Yahoo Finance, Usine Digitale et Le Journal du Geek, 28 juillet 2026.