Fuite de données FICOBA : ce que vous devez savoir pour vous protéger

Le 18 février 2026, le ministère de l’Économie a confirmé ce que beaucoup redoutaient : un acteur malveillant a accédé illégitimement au FICOBA, le Fichier National des Comptes Bancaires, en usurpant les identifiants d’un fonctionnaire habilité. Résultat : les données de 1,2 million de comptes bancaires ont pu être consultées et extraites depuis fin janvier 2026. Chez POWERiti, nous avons analysé les sources officielles pour vous aider à comprendre l’enjeu et, surtout, à agir concrètement.

C’est quoi le FICOBA ?

Si ce nom ne vous dit rien, il est pourtant au cœur de votre vie financière. Le FICOBA (Fichier National des Comptes Bancaires et Assimilés) est un registre centralisé géré par la Direction Générale des Finances Publiques (DGFiP). Il recense l’intégralité des comptes ouverts dans les établissements bancaires français (comptes courants, livrets d’épargne comme le Livret A ou le LDDS, comptes-titres, coffres-forts), avec les opérations d’ouverture, de modification et de clôture associées.

Contrairement à une idée reçue, le FICOBA ne contient pas vos soldes ni le détail de vos transactions. Ce n’est pas un relevé de compte. Pensez-y comme à un annuaire financier : il indique où vous avez un compte, pas combien vous avez d’argent dessus. Mais cet annuaire est précisément ce dont un fraudeur a besoin pour lancer des attaques ciblées.

Les faits : ce qui s’est réellement passé

La chronologie est établie par les sources officielles. Depuis fin janvier 2026, un acteur malveillant a consulté et extrait des données du FICOBA. La DGFiP a détecté l’intrusion, déclenché des mesures immédiates de restriction d’accès, puis rendu l’incident public le 18 février 2026 via un communiqué de presse officiel cosigné par le ministère de l’Économie.

L’incident a immédiatement fait l’objet d’un dépôt de plainte et d’un signalement à la CNIL, comme l’impose le RGPD pour toute violation de données à caractère personnel susceptible d’engendrer un risque pour les droits et libertés des personnes. La notification à la CNIL est une obligation légale à respecter dans un délai de 72 heures après la prise de connaissance de l’incident.

Quelles données ont été exposées ?

Selon le communiqué officiel de la DGFiP, les données compromises pour chaque compte concerné sont les suivantes :

Comment l’attaque a-t-elle eu lieu ?

C’est un point crucial : le FICOBA lui-même n’a pas été techniquement “piraté” au sens d’une faille logicielle exploitée. L’attaquant a choisi une méthode bien plus redoutable et bien documentée en sécurité des systèmes d’information.

1. Vol des identifiants d’un fonctionnaire habilité
   L’acteur malveillant s’est procuré les credentials d’un agent de l’État disposant d’un accès légitime au FICOBA dans le cadre des échanges inter-ministériels. La méthode exacte n’a pas été confirmée officiellement.
2. Connexion en toute discrétion
   En empruntant une identité disposant de droits légitimes, l’attaquant a pu se connecter sans déclencher d’alerte immédiate sur les systèmes de contrôle d’accès. C’est la technique dite de “credential compromise”.
3. Consultation et extraction de données
   Pendant plusieurs semaines (depuis fin janvier 2026), l’acteur a consulté et extrait des données portant sur environ 1,2 million de comptes avant que la DGFiP détecte l’anomalie.
4. Détection et coupure d’accès
   Dès la détection, la DGFiP a mis en œuvre des mesures immédiates de restriction d’accès pour stopper l’attaque et prévenir toute nouvelle consultation illégitime.

Les partages d’accès entre ministères et organismes publics constituent justement l’un des vecteurs d’attaque les plus actifs identifiés par l’ANSSI : difficiles à surveiller, ils offrent une surface d’exposition bien plus large que les accès internes classiques. Ce n’est pas un cas isolé : la CNIL a récemment sanctionné France Travail d’une amende de 5 millions d’euros pour une fuite reposant sur un mécanisme identique. Ces incidents à répétition ont d’ailleurs motivé un renforcement législatif en cybersécurité avec la loi LOPMI, qui impose désormais des obligations de signalement aux entreprises victimes d’attaques.

Quels sont les risques réels ?

Avec un IBAN, une identité complète et une adresse, les fraudeurs ne peuvent pas vider votre compte directement. Mais ils disposent d’un kit quasi parfait pour préparer des attaques redoutables. Voici les scénarios les plus probables, identifiés par les autorités et les experts :

Ce type d’attaque s’inscrit dans une tendance lourde que nous suivons depuis plusieurs années. Les cybermenaces liées aux usurpations d’identité s’intensifient notamment parce que l’IA permet désormais de générer des messages de phishing hyper-personnalisés qui passent inaperçus même auprès d’utilisateurs vigilants.

Se protéger : les bons réflexes pour les particuliers

La première chose à retenir est une règle absolue que la DGFiP elle-même rappelle sur impots.gouv.fr :

• Ne validez aucune opération demandée par téléphone, même par quelqu’un qui connaît votre banque et votre date de naissance.
• Activez les notifications en temps réel sur votre application bancaire pour détecter toute opération suspecte.
• Activez la double authentification (MFA) sur vos comptes bancaires en ligne, vos emails et vos réseaux sociaux.
• En cas de doute sur un message reçu au nom de la DGFiP ou de votre banque, contactez directement le service via la messagerie sécurisée de votre espace en ligne ou par téléphone au numéro officiel.
• Conservez toutes les preuves en cas de suspicion : messages, captures d’écran, adresses de sites web.
• Vérifiez régulièrement vos relevés bancaires pour détecter tout prélèvement non autorisé.
• En cas d’utilisation frauduleuse avérée de vos données, signalez-vous sur cybermalveillance.gouv.fr.

Se protéger : les actions prioritaires pour les entreprises

Pour les PME, les risques sont décuplés. Un service comptable qui modifie un RIB sur simple demande par mail, une équipe RH qui ne vérifie pas un virement entrant : ce sont des failles humaines que les fraudeurs vont tenter d’exploiter dans les prochaines semaines. Voici le plan d’action à déployer sans délai.

1. Sensibiliser immédiatement vos équipes comptables et RH

Partagez cet article et organisez un point rapide avec vos équipes exposées. Le message doit être clair : aucune modification de coordonnées bancaires fournisseur ou salarié ne doit être effectuée sur simple demande par mail ou par téléphone, même si l’interlocuteur cite des informations exactes. Tout changement de RIB doit être confirmé par un appel au contact habituel sur un numéro connu.

2. Renforcer la sécurité des accès sensibles

La fuite FICOBA illustre parfaitement ce qui arrive quand des accès à des données très sensibles ne sont protégés que par un simple couple identifiant/mot de passe. La gestion des identités et des accès est devenue un enjeu stratégique pour toute PME, au même titre que les alternatives modernes aux mots de passe qui réduisent radicalement ce type de risque.

• Imposer la double authentification (MFA) sur tous les accès critiques : comptabilité, CRM, email professionnel, outils cloud.
• Privilégier des applications d’authentification (Microsoft Authenticator, Google Authenticator) plutôt que les SMS, plus vulnérables aux interceptions.
• Pour les accès aux données les plus sensibles, envisager des clés de sécurité physiques (type YubiKey), parmi les 5 dispositifs indispensables à la sécurité informatique en entreprise.
• Revoir les droits d’accès : chaque collaborateur ne doit avoir accès qu’aux données strictement nécessaires à sa mission (principe du moindre privilège).

3. Auditer votre posture de sécurité

Si votre entreprise n’a jamais fait évaluer sa sécurité informatique, cet incident est le signal à ne pas ignorer. Un audit de sécurité informatique permet d’identifier les accès trop permissifs, les mots de passe réutilisés, les systèmes non mis à jour, autant de portes d’entrée potentielles que les fraudeurs savent repérer et exploiter.

Les premières heures suivant un incident cyber sont souvent décisives ; certaines réactions intuitives peuvent même aggraver la situation. Les PME qui ont franchi le pas de l’externalisation de leur support informatique bénéficient d’une surveillance continue et d’une réponse à incident intégrée dès le départ.

La réponse de l’État : ce qui a été fait

Il est important de noter que la réaction des autorités a été rapide et coordonnée, ce qui témoigne d’un niveau de maturité réel dans la gestion de crise. Voici ce qui a été mis en place dès la détection de l’incident :

Questions fréquentes