Bercy vient de confirmer le 18 février 2026 ce que personne ne voulait entendre : le fichier national des comptes bancaires a été piraté. Un attaquant a usurpé les identifiants d’un fonctionnaire et s’est baladé tranquillement dans la base de données. Résultat : 1,2 million de comptes exposés, avec IBAN, identités et adresses dans la nature. Prépare-toi à une vague de phishing d’une précision chirurgicale.
Le Ficoba, ou comment centraliser 80 millions de cibles
Créé en 1971 et géré par la Direction générale des Finances publiques (DGFiP), le Fichier national des comptes bancaires et assimilés (Ficoba) recense l’intégralité des comptes bancaires ouverts en France : comptes courants, épargne, comptes-titres, et même les coffres-forts loués sur le territoire.
D’après les données de la CNIL, ce fichier contient les informations de plus de 80 millions de personnes physiques, françaises ou non, qui ont un compte en France. Soit environ 300 millions de comptes au total, un chiffre confirmé par la DGFiP.
Le fichier contient pour chaque compte :
- L’identité du titulaire
- Sa date et son lieu de naissance
- Son adresse postale
- Les coordonnées bancaires complètes (RIB/IBAN)
- Les dates d’ouverture ou de modification
- Dans certains cas, l’identifiant fiscal
Ce qu’il ne contient pas : l’historique des opérations ou les soldes. Petite consolation qui ne doit rien au hasard : Bercy avait tenté d’intégrer ces données en septembre 2021, un projet fort heureusement bloqué par la DINUM (Direction interministérielle du numérique), comme l’avait révélé Next INpact en 2022.
L’ironie ? Ce fichier centralisé, conçu pour faciliter le travail des administrations, devient aujourd’hui une mine d’or pour les cybercriminels.
Une attaque banale qui révèle un problème structurel
L’intrusion a débuté fin janvier 2026 selon le communiqué de Bercy. Le vecteur d’attaque ? Classique jusqu’à l’écœurement : l’usurpation d’identifiants d’un fonctionnaire disposant d’un accès légitime au Ficoba dans le cadre des échanges d’informations entre ministères.
Traduction : un attaquant a volé le login et le mot de passe d’un agent de l’État, puis s’est connecté tranquillement. L’attaquant a pu interroger la base de données jusqu’à ce que la DGFiP repère un signal interne et restreigne immédiatement les accès. L’ANSSI le souligne d’ailleurs régulièrement dans son Panorama de la cybermenace : l’exploitation de comptes valides (souvent sans protection adéquate) représente plus de la moitié des vecteurs d’attaque initiaux dans le secteur public.
Plusieurs observateurs et médias posent la question qui fâche : le Ficoba était-il protégé par une authentification multifactorielle (MFA) ? Si un simple couple identifiant/mot de passe suffisait pour accéder à l’un des fichiers souverains les plus sensibles de France, la CNIL (officiellement notifiée) aura des raisons solides d’ouvrir un contrôle approfondi. D’autant que la DGFiP avait déjà essuyé une autre attaque début 2026 perturbant plusieurs centaines de postes.
Pour rappel, c’est exactement le même type d’attaque qui a valu à France Travail une amende de 5 millions d’euros prononcée par la CNIL le 22 janvier 2026. La plateforme « Choisir le service public » a subi le même scénario (attaquée le 28 janvier 2026, détectée le 4 février), exposant 377 000 candidats à la fonction publique, dont près d’un millier ont vu leurs données se retrouver en accès libre sur le net classique, et pas seulement sur le dark web.
Ce que les pirates ont volé (et ce qu’ils vont en faire)
Les données compromises sont un kit d’hameçonnage et d’usurpation d’identité clé en main :
- Identité complète, date et lieu de naissance
- Adresse postale
- Coordonnées bancaires (RIB/IBAN)
- Identifiant fiscal (pour certains)
La Fédération bancaire française (FBF) tient à préciser que ces données ne permettent pas directement d’effectuer un virement ou un paiement par carte. Ouf. Sauf que…
Le risque immédiat ? Une vague de phishing ciblé d’une précision chirurgicale. Imagine : tu reçois un appel d’un « conseiller bancaire » qui connaît ton nom, ta date de naissance, ton adresse, ta banque et ton IBAN. Il te parle d’une opération suspecte sur ton compte. Tu le crois. C’est terminé.
Au-delà du phishing, les escrocs peuvent utiliser ces IBAN pour souscrire des abonnements frauduleux ou tenter de créer de faux mandats de prélèvement (SEPA). Une manœuvre qui nécessite quelques étapes supplémentaires, mais qui reste techniquement tout à fait réalisable. Clubic résume d’ailleurs la situation : « Pour un cybercriminel, difficile de rêver mieux. »
La réponse de Bercy : notification et vigilance
Les 1,2 million de personnes concernées recevront « dans les prochains jours » une notification individuelle. Les banques ont également été alertées. De son côté, l’État a déposé plainte, notifié la CNIL, et mobilisé l’ANSSI ainsi que le service du haut fonctionnaire de défense et de sécurité (HFDS) pour sécuriser le système d’information de la DGFiP.
Les recommandations officielles et les réflexes à adopter :
- L’administration fiscale ne demande JAMAIS vos identifiants, mots de passe ou numéros de carte bancaire par message.
- Au moindre doute, ne cliquez sur aucun lien : allez directement sur impots.gouv.fr depuis vos favoris.
- Contactez votre service des impôts via la messagerie sécurisée ou par téléphone pour vérifier l’authenticité d’une requête.
- Conservez toutes les preuves en cas de suspicion (captures d’écran, adresses de sites).
- Signalez toute tentative suspecte sur cybermalveillance.gouv.fr.
À cela s’ajoutent les conseils de bon sens : activez la double authentification partout où c’est possible, surveillez régulièrement vos relevés bancaires, et vérifiez la liste des créanciers autorisés dans votre espace bancaire (une recommandation très concrète de la FBF). En cas de virement frauduleux, signalez-le sur la plateforme Perceval.
Ce qu’il faut retenir
Les faits :
- Piratage du Ficoba détecté fin janvier 2026, annoncé le 18 février.
- 1,2 million de comptes exposés via l’usurpation des identifiants d’un fonctionnaire.
- Données compromises : IBAN, identités, date/lieu de naissance, adresses, parfois identifiants fiscaux.
- Notification individuelle des victimes imminente.
Le contexte :
- Scénario identique (usurpation de compte) aux piratages de France Travail (amende de 5M€) et de « Choisir le service public ».
- L’absence supposée de MFA sur un accès interministériel critique pose une question systémique.
Les risques :
- Vague massive de phishing ciblé utilisant vos vraies données bancaires.
- Usurpation d’identité facilitée par le combo nom/naissance/adresse.
- Tentatives de création de mandats de prélèvement ou de souscription d’abonnements frauduleux.
Ta défense :
- Méfiance absolue face à tout contact non sollicité (téléphone ou email) mentionnant tes données.
- Vérification stricte de la liste de tes créanciers (mandats SEPA) sur ton appli bancaire.
- Surveillance accrue de tes relevés bancaires dans les semaines à venir.
La vraie question : combien de fichiers centralisés encore vulnérables attendent leur tour ? Quand l’État français comprendra-t-il que centraliser = concentrer le risque ?
Laisser un commentaire