Prélèvements frauduleux, abonnements, home-jacking... Ce que les pirates peuvent faire avec les données volées dans le fichier national des comptes bancaires

Une brèche s’est ouverte au cœur de l’un des fichiers les plus sensibles de l’administration fiscale. Le ministère de l'Économie et des Finances a révélé que les données liées à 1,2 million de comptes bancaires ont été consultées par un acteur malveillant, à la suite d’"accès illégitimes" constatés depuis la fin janvier au sein du fichier national des comptes bancaires.

Selon le communiqué publié par Bercy le 18 février, un individu ayant usurpé les identifiants d’un agent habilité a pu accéder à une partie de cette base, qui recense l’ensemble des comptes ouverts dans les établissements bancaires français. D'après nos informations, l'accès à ce fichier n'était pas protégé par la double authentification, mais conditionné à une habilitation par des agents assermentés, alors même que la CNIL recommande depuis près d'un an de mettre en place ce type de protection pour les entreprises et les administrations qui détiennent des bases de données dépassant les 2 millions de personnes.

Les informations exposées dans cette intrusion informatique comprennent des données personnelles sensibles : coordonnées bancaires (RIB/IBAN), identité des titulaires, adresse et, dans certains cas, identifiant fiscal. Selon nos informations, la fuite de données concerne une majorité de particuliers issus de tout le territoire. Les usagers concernés seront informés individuellement d'ici à lundi. Les établissements bancaires ont été alertés et ont commencé à appeler leurs clients à la vigilance, comme ont pu le constater les usagers de plusieurs banques ce jeudi. L’incident a par ailleurs été notifié à la Commission nationale de l'informatique et des libertés (CNIL) et a donné lieu à un dépôt de plainte.

La compromission du fichier FICOBA promet de servir de carburant à un certain nombre d'actes de cybermalveillance dans les prochains mois. Tenu par la Direction générale des Finances publiques, ce registre recense l’ensemble des comptes ouverts en France. S’il ne contient ni soldes ni détails des opérations, il mentionne l’identité des titulaires (nom, date de naissance, adresse), les établissements bancaires concernés, la nature des comptes ainsi que leurs dates d’ouverture et de clôture. Il inclut également les coffres-forts loués sur le territoire.

Les risques en cas de vol d'IBAN : faux mandats de prélèvements, paiements en ligne et détournement de salaire

Cette fuite de données a d'abord entraîné le piratage de l’IBAN de plus d'un million de déposants. Entre de mauvaises mains, cet identifiant bancaire peut servir à détourner des paiements en faisant modifier l’IBAN destinataire d’un salaire ou d’une facture. Associé à d’autres données contractuelles, il peut aussi crédibiliser une arnaque au faux conseiller bancaire ou une tentative de "SIM swap", visant à récupérer les accès aux comptes en ligne.

Un IBAN seul ne permet pas, en théorie, de prélever de l’argent sans autorisation. Mais combiné à d’autres informations et à une fausse signature, il peut faciliter l’émission de faux mandats SEPA adressés aux banques, une fraude en nette progression ces dernières années. Autre risque : certaines plateformes très populaires permettent d'utiliser un IBAN associé à un nom et un prénom comme moyen de paiement sans davantage de vérifications.

Face à ces menaces, les experts recommandant de surveiller attentivement ses comptes dans les prochaines semaines. En cas d'opération suspecte, la loi permet de contester un prélèvement dans un délai de 13 mois et d’obtenir un remboursement. La banque est tenue de vérifier les mandats et, en cas de fraude, de rétablir le compte.

Pour se protéger, il est aussi fortement recommandé de demander à sa banque la mise en place d'une "liste blanche" n’autorisant que certains créanciers à débiter le compte, un dispositif contraignant mais efficace pour bloquer les prélèvements indus. Autre solution : exiger une validation via l’application bancaire pour tout nouveau mandat de prélèvement et bloquer la fonctionnalité virement le temps de mettre en place les protections. N'hésitez pas à prendre contact avec votre banque pour être aidé dans vos démarches.

Des tentatives d'escroqueries personnalisées et un risque de home-jacking

L'accès à ce fichier offre également une cartographie complète du patrimoine bancaire des déposants dont les profils ont été consultés. Ces informations peuvent être mobilisées par des acteurs malveillants pour mener des tentatives de phishing personnalisées ou des fraudes par manipulation, comme l'arnaque au faux conseiller bancaire. Les cybercriminels exploitent désormais la véritable identité bancaire de leurs victimes pour gagner en crédibilité, prétextant de faux abonnements à un site e-commerce, une vérification d’informations chez un opérateur ou de prétendus remboursements sur une plateforme de streaming pour tromper les victimes.

Ce nouveau piratage pourrait aussi alimenter des usurpations d'identité. En combinant l'état civil et les informations bancaires des déposants avec d’autres informations disponibles sur le dark web, des cybercriminels peuvent également reconstituer l’identité numérique d’une personne et l’utiliser pour réaliser des démarches frauduleuses à son insu. Chaque année, plus de 200.000 Français en sont victimes, selon le ministère de l'Intérieur.

Enfin, l'exposition des adresses personnelles communiquées aux banques par les déposants fait aussi planer la menace de voir des personnes fortunées ciblées directement à leur domicile, alors que la France est déjà en proie depuis plusieurs mois à une vague de home-jackings, qui vise notamment les détenteurs de cryptomonnaies. 

Dans son communiqué, Bercy appelle les usagers à la plus grande vigilance face aux "nombreuses tentatives d'escroqueries qui circulent par courriel ou SMS" et rappelle que "l'administration fiscale ne demande jamais les identifiants ou le numéro de carte bancaire par message".

L’actualité par la rédaction de RTL dans votre boîte mail.

Grâce à votre compte RTL abonnez-vous à la newsletter RTL info pour suivre toute l'actualité au quotidien

Je créé mon compte Se connecter

S’abonner à la Newsletter RTL Info