Piratage du FICOBA : 1,2 million de comptes bancaires exposés, comment se protéger

Le ministère de l'Économie a révélé, mardi 18 février, qu'un pirate informatique a accédé au fichier national des comptes bancaires (FICOBA), exposant les données de 1,2 million de comptes. L'attaquant a utilisé les identifiants volés d'un fonctionnaire pour consulter cette base ultra-sensible pendant plusieurs semaines. Si les autorités se veulent rassurantes, les risques de fraude sont bien réels.

C'est une brèche de sécurité majeure au cœur de l'administration française. Depuis la fin du mois de janvier, un acteur malveillant a pu consulter une partie du FICOBA, le fichier qui recense l'ensemble des comptes bancaires ouverts en France : comptes courants, livrets d'épargne, comptes-titres et même coffres-forts loués auprès des établissements bancaires. Géré par la Direction générale des finances publiques (DGFiP), ce registre existe depuis 1971 et constitue l'un des fichiers les plus sensibles de l'État.

Plutôt que de tenter de contourner les pare-feux ou d'exploiter une faille technique, le pirate a opté pour une méthode aussi simple qu'efficace : il a usurpé les identifiants d'un fonctionnaire disposant d'un accès légitime dans le cadre des échanges d'information entre ministères. Avec ces précieux sésames en poche, il s'est connecté au système sans éveiller de soupçon pendant plusieurs semaines. Un mode opératoire qui rappelle celui utilisé lors de la fuite de données de France Travail, pour laquelle la CNIL vient d'infliger une amende de 5 millions d'euros.

Les données compromises incluent les coordonnées bancaires (RIB et IBAN), l'identité des titulaires, leur adresse postale et, dans certains cas, leur identifiant fiscal. Le fichier contient également la date et le lieu de naissance des titulaires. Ce niveau de détail constitue, selon les experts en cybersécurité, un kit quasi complet pour monter des opérations d'usurpation d'identité à grande échelle.

Des risques de phishing démultipliés

La Fédération bancaire française (FBF) a toutefois tenu à rassurer les Français. « La divulgation de ces données ne suffit pas à faire un virement ou un paiement par carte », a-t-elle précisé. Le FICOBA ne contient en effet ni les soldes des comptes, ni les mots de passe permettant d'accéder aux espaces bancaires en ligne. Aucune transaction frauduleuse directe n'est donc possible à partir de ces seules informations.

Mais le danger se situe ailleurs. Armés de données aussi précises — nom, adresse, IBAN, date de naissance —, les escrocs peuvent désormais envoyer des messages de phishing redoutablement crédibles. Un faux courriel de votre banque mentionnant votre véritable IBAN ou un SMS se faisant passer pour le fisc citant votre identifiant fiscal : autant de pièges que les victimes potentielles auront bien du mal à déjouer. « Au moindre doute, il est préférable de ne pas répondre directement », prévient la DGFiP.

Dès la détection de l'intrusion, Bercy assure avoir pris des « mesures immédiates de restriction d'accès » pour stopper l'attaque et prévenir toute nouvelle consultation illégitime. L'Agence nationale de la sécurité des systèmes d'information (ANSSI) travaille aux côtés des équipes du ministère pour comprendre l'étendue exacte de la compromission et sécuriser le système. Une plainte pénale a été déposée et la CNIL notifiée conformément à l'article 33 du RGPD.

Trois réflexes pour se protéger

Les titulaires des 1,2 million de comptes concernés recevront dans les prochains jours une notification individuelle de la DGFiP, relayée par leurs établissements bancaires. En attendant, l'administration fiscale formule trois recommandations essentielles. D'abord, se méfier de tout message suspect : « De nombreuses tentatives d'escroqueries circulent par courriel ou SMS dans le but d'obtenir des informations ou des paiements ». Ensuite, garder à l'esprit que « l'administration fiscale ne vous demande jamais vos identifiants ou votre numéro de carte bancaire par message ». Enfin, conserver toutes les preuves en cas de tentative de fraude — messages, captures d'écran, adresses de sites web — et consulter la plateforme cybermalveillance.gouv.fr.

Cette affaire s'inscrit dans un contexte préoccupant de multiplication des cyberattaques visant les institutions françaises. En décembre dernier, La Poste et La Banque Postale avaient été paralysées par une attaque massive. La DGFiP elle-même avait déjà subi une cyberattaque en début d'année, perturbant plusieurs centaines de postes. L'identité et les motivations du pirate du FICOBA restent à ce jour inconnues, et les investigations se poursuivent pour déterminer si l'ampleur de la fuite dépasse les 1,2 million de comptes initialement annoncés.