Fonctionnaire de la DGIFP piégé, 1,2 million d'IBAN piraté : êtes-vous concerné ?

Un IBAN seul ne permet pas de vider un compte. C'est la bonne nouvelle. La mauvaise, c'est qu'un IBAN associé à une identité, une adresse et une date de naissance ouvre la porte à plusieurs types de fraude que la Fédération bancaire française (FBF) a détaillés dans son communiqué du 19 février.

Le risque numéro un : les prélèvements frauduleux. Un escroc qui dispose de votre IBAN peut se faire enregistrer comme émetteur de prélèvements auprès d'un prestataire de paiement, puis fabriquer un faux mandat de prélèvement à votre nom. À partir de là, il peut débiter votre compte automatiquement — pour payer des abonnements, des services, ou simplement pour siphonner de l'argent. Vous ne vous en apercevez qu'en consultant votre relevé, parfois plusieurs semaines plus tard.

Le risque numéro deux : l'arnaque au faux conseiller bancaire. C'est la fraude qui explose depuis deux ans. Un individu vous appelle en se présentant comme votre banque. Jusqu'ici, ces escrocs bluffaient avec des informations génériques. Désormais, grâce aux données du fichier des comptes bancaires, ils peuvent citer votre nom, votre adresse, votre IBAN — ce qui rend l'appel beaucoup plus crédible. L'objectif : vous faire valider une opération, communiquer un code reçu par SMS, ou transférer de l'argent vers un « compte sécurisé » qui n'existe pas.

Le risque numéro trois : le phishing ciblé. Avec votre identité et votre adresse, un escroc peut fabriquer un faux courrier de la DGFiP, un faux mail de votre banque ou un faux SMS de l'Assurance Maladie parfaitement personnalisé. Le piège est d'autant plus redoutable que le message vous appelle par votre nom et cite des données réelles.

Le président de l'association France Conso Banque a résumé la situation : ces données seront revendues sur le dark web et serviront de base à des opérations de fraude de grande envergure. C'est la première fois qu'un fichier fiscal de cette nature est attaqué en France.

À ce stade, il n'existe aucun moyen de vérifier soi-même si son compte fait partie des 1,2 million de comptes touchés. La CNIL (Commission Nationale de l'Informatique et des Libertés) le dit clairement sur sa page dédiée aux fuites de données : elle n'est pas en mesure de confirmer à un particulier si ses données figurent parmi celles qui ont été piratées. Elle déconseille par ailleurs d'utiliser des sites tiers qui prétendent pouvoir vous répondre.

La DGFiP s'est engagée à informer individuellement chaque personne concernée dans les prochains jours. Les établissements bancaires ont également été contactés pour sensibiliser leurs clients. Si vous recevez un courrier officiel de la DGFiP vous informant que vos données ont été consultées, ce n'est pas une arnaque — à condition que ce courrier ne vous demande aucune action immédiate, aucun code, aucun clic.

Attention au piège dans le piège : des escrocs pourraient justement profiter de cette situation pour envoyer de faux courriers ou de faux mails se faisant passer pour la DGFiP, vous demandant de « sécuriser votre compte » en cliquant sur un lien. Rappel absolu : l'administration fiscale ne demande jamais vos identifiants, vos mots de passe ou votre numéro de carte bancaire par message, mail ou téléphone. En cas de doute, connectez-vous directement à votre espace sur impots.gouv.fr ou appelez votre centre des impôts via le numéro habituel.

Que vous fassiez partie des 1,2 million de comptes exposés ou non, ces précautions s'appliquent à tous. La Fédération bancaire française et l'Observatoire de la sécurité des moyens de paiement les recommandent explicitement.
 

👉 Si vous n'êtes pas à l'aise avec les outils en ligne, demandez à votre conseiller bancaire d'activer la liste blanche pour vous lors d'un rendez-vous en agence. Vous pouvez aussi lui envoyer un courrier recommandé en précisant les noms des créanciers que vous autorisez.

👉 En cas de doute sur un message ou un appel, vous pouvez signaler la tentative sur la plateforme gouvernementale cybermalveillance.gouv.fr ou appeler le numéro d'aide aux victimes 17Cyber (accessible sur 17cyber.gouv.fr).