Piratage du Ficoba : quand l’État expose les Français, jusque dans leurs coordonnées bancaires

Le ministère de l’Économie a confirmé qu’un acteur malveillant avait accédé de façon illégitime au fichier national des comptes bancaires et assimilés (Ficoba), géré par la Direction générale des finances publiques. Au total, les données liées à environ 1,2 million de comptes auraient été consultées depuis la fin du mois de janvier, après l’usurpation d’identifiants appartenant à un agent disposant d’un accès dans le cadre d’échanges entre administrations.

Le Ficoba, qui recense des centaines de millions de comptes ouverts en France, ne donne pas accès aux soldes ni aux opérations. Mais il contient des informations administratives et personnelles suffisamment sensibles pour alimenter des fraudes, des usurpations d’identité et des opérations de manipulation très convaincantes.

Quelles informations ont fuité et pourquoi c’est sérieux ?

Selon les éléments communiqués, les données consultées portent notamment sur les RIB/IBAN, l’identité du titulaire, son adresse, et parfois l’identifiant fiscal. Autrement dit : de quoi “habiller” une victime, rendre un appel ou un message crédible, et préparer des escroqueries ciblées.

On entend déjà le discours rassurant : “les pirates n’ont pas accès au contenu des comptes”. Certes. Mais c’est une défense juridique, pas une protection réelle. Dans le monde concret, un IBAN associé à un nom et une adresse, c’est une base solide pour lancer des prélèvements frauduleux, souscrire des abonnements, monter des arnaques au faux conseiller bancaire, ou orchestrer des campagnes d’hameçonnage beaucoup plus efficaces que les spams grossiers.

Le risque principal : la fraude au prélèvement, et l’arnaque “sur mesure”

Le danger n’est pas un virement instantané sorti de nulle part. Le danger, ce sont les prélèvements SEPA indus et, surtout, les escroqueries qui jouent sur la panique. Un fraudeur peut tenter d’établir un mandat ou d’imiter un créancier. Et même quand une fraude est remboursable, elle peut déclencher des semaines de stress, des démarches, des incidents de trésorerie, voire des rejets en chaîne pour ceux qui vivent déjà au plus juste.

Autre menace : l’arnaque “propre”, celle qui cite vos informations exactes. Un faux “service des impôts”, un faux “conseiller bancaire”, un faux “service sécurité” qui connaît votre identité et votre adresse, et qui vous pousse à “sécuriser” vos accès, à cliquer sur un lien, à communiquer un code, à déplacer de l’argent. C’est là que la fuite devient dangereuse : elle donne aux escrocs la crédibilité qui leur manquait.

Réaction des autorités : le réflexe communiqué… après la brèche

Bercy affirme avoir restreint les accès dès la détection, lancé des mesures de confinement, déposé plainte et effectué un signalement à l’autorité de protection des données. Les services informatiques et les autorités compétentes en cybersécurité seraient mobilisés pour renforcer le dispositif.

Très bien. Mais le cœur du scandale demeure : le système étatique français, qui accumule les fichiers, centralise les données et impose ses procédures à tout le monde, se révèle une fois de plus incapable de tenir sa promesse minimale : protéger. Protéger les citoyens dans la rue ? On connaît l’état du pays. Protéger les citoyens dans les systèmes informatiques ? Même impuissance, même retard, mêmes brèches.

Un État qui expose : le risque devient institutionnel

Cette affaire n’est pas un simple “incident technique”. Elle illustre une dérive plus grave : l’État moderne collecte, stocke, croise, centralise — puis, quand il échoue, ce sont les particuliers qui paient le prix. Le citoyen n’a rien demandé, n’a aucun levier sur l’architecture, aucun contrôle sur les accès, et découvre après coup que ses données circulent potentiellement dans la nature.

À ce niveau, l’irresponsabilité n’est plus une maladresse : c’est un danger public. Un État qui ne sait pas protéger ses fichiers met objectivement ses citoyens en risque. Et quand ce sont des données bancaires associées à l’identité, ce n’est pas un “désagrément”, c’est une mise en vulnérabilité organisée par le haut.

Les personnes touchées doivent être informées individuellement dans les jours qui viennent, à la fois par l’administration fiscale et, selon les cas, par leur établissement bancaire. En attendant, le réflexe le plus efficace est d’augmenter la vigilance sur les prélèvements : vérifier régulièrement les opérations, et contester immédiatement tout prélèvement suspect. Il faut aussi s’attendre à une vague de tentatives d’escroquerie “à visage administratif” : SMS, mails, appels, courriers. La règle ne change pas : ni la banque ni le fisc ne vous demanderont vos identifiants, mots de passe, ou codes par message.

Et si un message vous inquiète, le seul bon réflexe est de passer par vos canaux habituels (application bancaire, espace fiscal officiel) sans cliquer sur un lien reçu, et sans rappeler un numéro dicté dans le message.

Dans cette affaire, l’État expliquera qu’il “gère”. Les Français, eux, devront surtout se protéger. Encore.

Crédit photo : DR

[cc] Article rédigé par la rédaction de breizh-info.com et relu et corrigé (orthographe, syntaxe) par une intelligence artificielle.

Breizh-info.com, 2026, dépêches libres de copie et de diffusion sous réserve de mention obligatoire et de lien do follow vers la source d’origine.