FICOBA piraté : 1,2 million de comptes bancaires français consultés illégalement en 16 jours
En février 2026, une cyberattaque silencieuse mais dévastatrice a touché l'un des fichiers les plus sensibles de l'administration française : FICOBA, le Fichier national des Comptes Bancaires et Assimilés. En 16 jours, plus d'1,2 million de comptes bancaires ont été consultés illégalement, exposant RIB, IBAN, identités et adresses de leurs titulaires. Une affaire qui illustre la vulnérabilité critique des systèmes administratifs face à la menace de compromission interne.
Qu'est-ce que FICOBA ?
FICOBA est un fichier géré par la Direction Générale des Finances Publiques (DGFiP). Il recense l'ensemble des comptes bancaires ouverts en France : comptes courants, comptes d'épargne, livrets, comptes titres, etc. Chaque ouverture ou fermeture de compte doit y être déclarée par les établissements financiers.
Normalement, seuls certains agents de l'administration fiscale, les officiers de police judiciaire dans le cadre d'enquêtes légales et quelques autres acteurs très encadrés peuvent consulter ce fichier. L'accès est strictement réglementé et chaque consultation doit être tracée et justifiée.
FICOBA est donc l'un des fichiers administratifs les plus sensibles de l'État français — une mine d'or pour tout cybercriminel qui parviendrait à y accéder.
Comment les pirates ont-ils accédé à FICOBA ?
C'est là que l'affaire prend une tournure particulièrement préoccupante. Les enquêteurs ont déterminé que l'accès illégal n'a pas été obtenu via une faille technique dans le système informatique, mais par usurpation des identifiants d'un fonctionnaire ayant légitimement accès à FICOBA.
Cette technique — souvent désignée par « credential compromise » — consiste à utiliser des identifiants obtenus frauduleusement, probablement via une attaque de phishing ciblé sur le fonctionnaire en question. Une fois connecté avec les accès légitimes de ce fonctionnaire, le pirate apparaissait comme un utilisateur normal dans les logs du système. Il a procédé méthodiquement à des consultations massives pendant 16 jours, du 28 janvier au 13 février 2026.
Ce vecteur d'attaque soulève une question fondamentale : nos systèmes administratifs les plus sensibles disposent-ils d'une surveillance comportementale suffisante pour détecter des volumes de consultations anormaux, même depuis un compte légitime ?
Quelles données ont été exposées ?
Pour chacun des 1,2 million de comptes consultés illégalement, les pirates ont pu accéder à :
- RIB et IBAN (coordonnées bancaires complètes)
- Nom, prénom et adresse du titulaire du compte
- Numéro d'identification fiscal (NIF)
- Informations sur l'établissement bancaire et le type de compte
Ces données constituent un kit quasi-complet pour de nombreuses fraudes financières : virements frauduleux, prélèvements non autorisés, ouverture de crédits en ligne, ingénierie sociale ciblée.
Les risques concrets pour les victimes
Si vos données font partie des comptes compromis, vous êtes exposé à plusieurs types de fraudes.
Fraude bancaire directe : Avec votre IBAN, un fraudeur peut techniquement initier des prélèvements automatiques. Votre banque a l'obligation de vous rembourser tout prélèvement non autorisé signalé dans les délais légaux, mais la détection peut prendre du temps.
Phishing ultra-ciblé : Avec votre nom, adresse et IBAN, les fraudeurs peuvent créer des messages extrêmement convaincants se faisant passer pour votre banque, le fisc ou n'importe quelle administration fiscale ou bancaire.
Usurpation d'identité financière : Ouvrir un compte en ligne, souscrire un crédit à la consommation ou louer un appartement avec vos coordonnées devient plus facile pour un fraudeur disposant de ces informations.
Comment se protéger dès maintenant
Si vous êtes Français et disposez d'un compte bancaire en France, vous êtes potentiellement concerné. Voici les actions prioritaires :
- Activez les alertes SMS sur votre compte bancaire pour être notifié de chaque transaction
- Vérifiez régulièrement vos relevés de compte pour détecter tout prélèvement ou virement inconnu
- Méfiez-vous des emails ou SMS de votre banque ou du fisc vous demandant de confirmer des informations personnelles
- Contestez immédiatement tout prélèvement non autorisé auprès de votre banque
- Déposez plainte si vous constatez une fraude, même minime — les plaintes permettent de documenter l'ampleur réelle des dommages
Contexte : une vague sans précédent en France
L'affaire FICOBA ne s'est pas produite en isolation. En février-mars 2026, la France a connu une vague de cyberattaques et de fuites de données sans précédent. Aux côtés du piratage de FICOBA, l'affaire Cegedim (15 millions de dossiers médicaux) et une série d'attaques contre des fédérations sportives exposant des millions de licenciés ont déferlé simultanément. Cette concentration d'incidents graves sur une courte période interroge la maturité cybersécuritaire des systèmes d'information publics et parapublics français.
Les responsabilités en jeu
La DGFiP se retrouve au cœur des questions de responsabilité. Comment un accès malveillant a-t-il pu durer 16 jours sans déclencher d'alertes automatiques ? Les systèmes de monitoring comportemental des accès à FICOBA ont-ils failli ? Des protocoles d'authentification renforcée — double facteur obligatoire, analyse comportementale des consultations — auraient-ils pu prévenir cette intrusion ?
Ces questions font l'objet d'une enquête administrative parallèle à l'enquête judiciaire. La CNIL a également été saisie pour examiner si les obligations légales de protection des données ont été respectées par la DGFiP.
Ce que cette affaire révèle sur la sécurité des systèmes d'État
L'affaire FICOBA illustre parfaitement la menace « insider compromise » — non pas nécessairement un employé malveillant, mais un compte légitime compromis et utilisé comme vecteur d'attaque. Les systèmes d'information les plus critiques de l'État sont souvent bien protégés contre les attaques externes, mais restent vulnérables si les identifiants d'un utilisateur autorisé tombent entre de mauvaises mains.
La solution passe par une authentification multi-facteurs obligatoire pour tous les accès aux fichiers sensibles, une surveillance comportementale en temps réel des consultations (volume anormal, horaires inhabituels, géolocalisation suspecte) et une formation continue des agents aux risques de phishing et d'ingénierie sociale.
Conclusion
Le piratage de FICOBA est une démonstration brutale que la cybersécurité n'est pas seulement une affaire technique — c'est aussi une affaire humaine et organisationnelle. Les meilleurs systèmes informatiques du monde sont inutiles si les identifiants des utilisateurs légitimes tombent entre de mauvaises mains. Pour les Français touchés, la vigilance doit être de mise dans les mois qui suivent.
Questions fréquentes (FAQ)
Comment savoir si mon compte FICOBA a été consulté illégalement ?
Les autorités ont l'obligation de notifier les victimes. Si vous n'avez pas reçu de notification, vous pouvez contacter le service client de votre banque pour vérifier si des accès suspects ont été détectés sur votre dossier. Surveillez également vos relevés de compte et activez les alertes de transaction.
Mon IBAN a été exposé. Dois-je changer de compte bancaire ?
Changer de compte n'est généralement pas nécessaire mais vous devez être beaucoup plus vigilant. Activez les alertes de transaction, vérifiez régulièrement vos relevés et contestez immédiatement tout prélèvement non reconnu. En cas de fraude avérée, votre banque peut vous proposer un nouveau RIB.
Qu'est-ce que FICOBA exactement ?
FICOBA (Fichier national des Comptes Bancaires et Assimilés) est un fichier géré par la Direction Générale des Finances Publiques (DGFiP). Il recense tous les comptes bancaires ouverts en France et n'est normalement accessible qu'à quelques agents administratifs et judiciaires très encadrés.
Une fraude à l'IBAN est-elle possible avec seulement mon RIB ?
Des prélèvements frauduleux peuvent techniquement être initiés avec votre IBAN. Cependant, votre banque est légalement obligée de vous rembourser tout prélèvement non autorisé que vous signalez dans les délais légaux (13 mois). Restez vigilant et ne tardez pas à signaler toute anomalie.
