Nathousan NAGULASALAPATHY

Qu'est-ce que le fichier FICOBA ?

Le FICOBA (fichier national des comptes bancaires et assimilés) est un fichier tenu par l'administration fiscale. Il recense les comptes ouverts auprès des banques en France et sert notamment au contrôle fiscal et à l'échange d'informations entre administrations habilitées. Il contient des données à caractère personnel : titulaire du compte, adresse, et coordonnées bancaires (RIB / IBAN). Ce n'est donc pas un simple annuaire : c'est un fichier sensible, massivement alimenté, dont la protection relève de la sécurité du SI, du contrôle d'accès et du cadre juridique (finalité, habilitation, traçabilité).

Ce qui s'est passé et comment

Selon les informations publiées par la DGFiP (actualité du 18 février 2026, mise à jour au 3 mars 2026), des accès illégitimes au FICOBA ont été identifiés. À partir de fin janvier 2026, un acteur malveillant aurait usurpé les identifiants d'un fonctionnaire disposant d'un accès dans le cadre d'un échange d'informations entre ministères, ce qui lui a permis de consulter une partie du fichier et d'en extraire des données.

Dès la détection, la DGFiP indique avoir pris des mesures immédiates de restriction d'accès pour stopper l'attaque, limiter l'ampleur des données consultées et extraites, et prévenir de nouvelles consultations frauduleuses. L'incident est notifié à la CNIL, fait l'objet d'un dépôt de plainte, et les équipes travaillent avec le HFDS (haut fonctionnaire de défense et de sécurité) et l'ANSSI pour traiter l'incident et renforcer la sécurité du système d'information. Les usagers concernés sont informés individuellement ; un contact avec les banques est aussi établi pour sensibiliser à la vigilance. Une FAQ dédiée a été publiée (27 février 2026).

Quelles données ont fuité (consultées / extraites) ?

La DGFiP précise que les données concernées par ces accès sont notamment : coordonnées bancaires (RIB / IBAN), identité du titulaire, adresse. L'ampleur portée sur environ 1,2 million de comptes. Les communications officielles indiquent aussi que l'identifiant fiscal n'a pas été consulté lors de ces accès illégitimes (mise à jour du 27 février 2026). Les soldes et le détail des opérations ne sont en principe pas des informations tenues dans ce fichier sous la même forme qu'un relevé bancaire : l'enjeu ici est surtout l'identité, l'adresse et l'IBAN, déjà suffisants pour des scénarios d'escroquerie ou d'usurpation.

Conséquences possibles

Même sans mot de passe bancaire, la combinaison identité + coordonnées bancaires + adresse augmente le risque de fraude au virement, de prélèvements abusifs mal sécurisés, de phishing ciblé (messages plus crédibles), d'appels ou SMS frauduleux se faisant passer pour la banque ou l'administration. Pour l'organisation, un tel incident pose la question du compte compromis, de la segmentation des accès, du MFA, de la détection d'anomalies et de la réponse à incident.

Comment s'en protéger (usagers et bonnes pratiques)

• Ne jamais communiquer codes, mots de passe ou données carte par e-mail ou SMS ; l'administration fiscale ne demande pas ces éléments par message.
• En cas de doute sur un courriel ou SMS : ne pas cliquer, contacter le service via les canaux officiels (téléphone connu, messagerie sécurisée de son espace, agence).
• Surveiller ses comptes et alertes bancaires ; activer les notifications / plafonds si une option « fermer un paiement en ligne » existe sur les cartes.
• Conserver les preuves (captures, en-têtes e-mail) en cas de tentative frauduleuse et s'appuyer sur cybermalveillance.gouv.fr pour le signalement et l'accompagnement.
• Côté administration systèmes et réseaux : principe du moindre privilège, authentification renforcée pour les accès sensibles, journalisation et corrélations, sensibilisation des utilisateurs à l'ingénierie sociale, et plan de réaction aligné sur les recommandations ANSSI.