Cyberattaque à Bercy : vos RIB sont-ils dans les 1,2 million de comptes FICOBA piratés ? Les réflexes à adopter dès maintenant

Un fichier d’État censé rester dans l’ombre, des identifiants de fonctionnaire dérobés, et derrière, les comptes de 1,2 million de Français potentiellement exposés : la nouvelle cyberattaque visant le ministère de l’Économie fait craindre une vague d’arnaques bancaires très ciblées. Le fichier national des comptes bancaires, mieux connu sous le nom de FICOBA, a été consulté de manière illégitime, alors qu’il recense l’ensemble des comptes ouverts dans les banques françaises.

Derrière ce piratage, révélé mi-février, les enquêteurs décrivent l’action d’un « acteur malveillant » qui aurait usurpé les accès d’un agent autorisé aux échanges d’informations entre ministères. Et si ce fichier ne permet pas de vider directement un compte, il offre aux fraudeurs un matériau précieux pour rendre leurs escroqueries crédibles. Les conséquences, elles, se joueront surtout dans le quotidien des usagers.

Cyberattaque à Bercy : comment le fichier FICOBA a été visé

Selon le communiqué officiel, les services fiscaux ont très vite ciblé l’origine de l’incident. Des investigations menées par la Direction générale des Finances publiques (DGFiP) ont permis d’identifier des accès illégitimes au fichier national des comptes bancaires (FICOBA). À compter de la fin janvier 2026, un acteur malveillant, qui a usurpé les identifiants d’un fonctionnaire disposant d’accès dans le cadre de l’échange d’information entre ministères, a pu consulter une partie de ce fichier qui recense l’ensemble des comptes bancaires ouverts dans les établissements bancaires français et contient des données à caractère personnel, écrit le ministère de l’Économie dans un communiqué cité par France Bleu. Le même texte souligne que les équipes informatiques de la DGFiP sont pleinement mobilisées et travaille afin de traiter cet incident et de renforcer la sécurité du système d’information (SI).

Ce fichier FICOBA, créé pour aider l’administration à lutter contre la fraude et faciliter la fiscalité, ne donne pas accès aux soldes des comptes. Le ministère rappelle que les informations concernées sont des coordonnées bancaires (RIB/IBAN), identité du titulaire, adresse et, dans certains cas, l’identifiant fiscal de l’usager. Interrogée par l’AFP, la DGFiP assure que le fichier ne permet pas de consulter les soldes des comptes bancaires, a fortiori de faire des opérations, tandis que la Fédération bancaire française souligne que la divulgation de ces données ne suffit pas à faire un virement ou un paiement par carte. Le risque ne disparaît pas pour autant : il se déplace vers les arnaques et l’usurpation d’identité.

Données exposées : quels risques et quels réflexes pour 1,2 million de Français ?

Dès la détection de l’attaque, Bercy assure avoir réagi sans attendre. Dès la détection de cet incident, des mesures immédiates de restriction d’accès ont été mises en œuvre, assure le ministère, afin de stopper l’attaque, de limiter l’ampleur des données consultées et extraites de cette base, et de prévenir toute nouvelle consultation illégitime, avant de préciser que des travaux sont en cours pour rétablir le service dans les meilleures conditions de protection. Les titulaires de comptes concernés recevront dans les prochains jours une information individuelle les alertant qu’un accès à leurs données a pu être constaté, promet le ministère, pendant que la DGFIP insiste de son côté sur le fait que les usagers concernés recevront dans les prochains jours une information individuelle les alertant qu’un accès à leurs données a pu être constaté, citée par Capital. L’incident a donné lieu à une plainte et à un signalement à la CNIL, en lien avec l’ANSSI.

Ces données – identité, adresse, RIB, IBAN, parfois identifiant fiscal – peuvent servir à monter de faux dossiers ou à lancer des arnaques sophistiquées, y compris via de faux mandats de prélèvements SEPA. L’administration fiscale rappelle qu’elle ne demande jamais d’identifiants ni de coordonnées bancaires par mail ou SMS et conseille d’activer les notifications en temps réel proposées par les banques pour repérer tout débit suspect. Dans ce contexte, la fuite touchant la plateforme de recrutement publique « Choisir le service public » illustre la répétition des incidents : dans un message publié sur LinkedIn, la plateforme explique que Les investigations techniques conduites par les équipes de la Direction générale de l’administration et de la fonction publique (DGAFP) ont rapidement permis de déterminer l’origine de cette fuite de données et assure qu’aucun mot de passe personnel pour l’accès aux comptes candidats sur CSP n’est concerné par la fuite. Elle ajoute que des mesures de sécurité ont été immédiatement déployées, incluant notamment la suspension pendant plusieurs jours de certaines fonctionnalités de la plateforme (l’accès à l’espace candidat, la candidature aux offres d’emploi des employeurs recrutant directement sur CSP ainsi que la saisie manuelle de nouvelles offres d’emploi sur la plateforme), que conformément à nos obligations légales, cette fuite de données a été notifiée à la Commission nationale de l’informatique et des libertés (CNIL) ainsi qu’à l’ANSSI – Agence nationale de la sécurité des systèmes d’information et qu’elle présente ses excuses pour cette atteinte à la confidentialité de leurs données personnelles, rapporte Capital.

Pour les clients dont les informations figurent dans FICOBA, les spécialistes de la cybersécurité appellent à une vigilance accrue, sans panique. Quelques réflexes simples peuvent limiter les dégâts en cas de tentative de fraude ou d’usurpation d’identité :

• surveiller très régulièrement ses mouvements de compte et contester immédiatemment tout prélèvement inconnu auprès de sa banque,
• se méfier de tout appel ou message se présentant comme un conseiller, un service technique ou un service public qui connaît déjà votre banque ou votre IBAN,
• ne jamais communiquer de codes confidentiels ni valider de demande urgente reçue par mail ou SMS, même si elle mentionne la cyberattaque sur FICOBA,
• activer les alertes SMS ou notifications mobiles pour chaque opération, afin de réagir vite en cas de débit non autorisé.