Le 3 octobre 2026, la Région Hauts-de-France a annoncé que deux de ses prestataires, Atexo et Docaposte, avaient subi une cyberattaque donnant accès à des données personnelles traitées pour son compte : noms, prénoms, adresses électroniques et « potentiellement des RIB » (Next, Clubic). Deux jours plus tard, Xavier Bertrand, président de la Région, évoquait près de 545 000 personnes : au plus 515 000 inscrits sur la plateforme des aides régionales, et près de 30 000 bénéficiaires et partenaires de la carte Génération #HDF, pour lesquels il s'agirait surtout de contrats d'apprentissage et de RIB (AFP via Techniques de l'Ingénieur). L'auteur revendiqué affirme détenir 90 011 fichiers PDF, dont 15 118 attestations d'hébergement, et le site FrenchBreaches y a compté 36 720 RIB (Clubic). La Région n'a pas confirmé ces chiffres et dit ne pas être en mesure de confirmer « le volume et d'autres catégories de documents extraites ».
Ce n'est pas un cas isolé. En février 2026, la DGFiP a révélé des accès illégitimes au fichier national des comptes bancaires (FICOBA), qu'elle tient : environ 1,2 million de comptes étaient concernés, avec leur IBAN, l'identité et l'adresse de leurs titulaires (impots.gouv.fr). En août, la mutuelle Solimut a signalé une intrusion ; l'attaquant revendique plus de 770 000 IBAN, un chiffre non confirmé (Selectra). Selon un baromètre Cybermalveillance–Ipsos bva publié en septembre, 45 % des Français de 18 à 75 ans disent avoir été informés d'une fuite de leurs données au cours des douze derniers mois (Selectra).
Faut-il s'inquiéter ? Oui, mais pour de bonnes raisons, et en sachant quoi faire.
Que ne peut pas faire un escroc avec votre IBAN ?
Rassurons d'abord : un IBAN n'est pas une carte bancaire. Il sert à recevoir de l'argent et à autoriser des prélèvements, pas à en sortir librement. La Banque de France le rappelle à propos de la fuite FICOBA : ces données « ne permettent pas d'accéder aux soldes des comptes » et « ne suffisent pas à la réalisation d'opérations bancaires » (Banque de France). Personne ne peut faire un virement depuis votre compte ou y retirer de l'argent avec votre seul IBAN.
Que peut-il faire, alors ?
Trois usages frauduleux sont documentés.
Créer un faux mandat de prélèvement. C'est le risque principal. Dans le système SEPA, le mandat de prélèvement est géré par le créancier, pas par votre banque. Un fraudeur peut donc souscrire un abonnement ou un achat en indiquant votre IBAN, et des prélèvements partiront de votre compte. La Banque de France décrit des prélèvements émis « à l'aide de mandats fictifs », avec des IBAN qui peuvent provenir de fuites de données (Banque de France), et la CNIL confirme qu'un IBAN peut « permettre à un pirate d'émettre des ordres de prélèvement illégitimes » (CNIL). LegalPlace le note aussi : avec une pièce d'identité ou une signature, des personnes malveillantes « peuvent élaborer une fausse autorisation de prélèvement » (LegalPlace). Les montants peuvent être faibles, donc faciles à manquer sur un relevé.
Vous appeler en se faisant passer pour votre banque. Un escroc qui connaît votre nom, votre banque et votre IBAN est crédible (l'IBAN suffit d'ailleurs à identifier votre banque et votre agence). C'est le scénario du « faux conseiller bancaire » : il signale une opération suspecte, puis vous demande de valider une opération dans votre application ou de lui communiquer un code reçu par SMS (Cybermalveillance.gouv.fr). Le ministère de l'Économie le résume : « Au moindre doute, raccrochez » (economie.gouv.fr). Et si l'on vous demande de faire vous-même un virement, regardez le résultat de la vérification du bénéficiaire : depuis le 9 octobre 2025, votre banque contrôle avant chaque virement que le nom saisi correspond à l'IBAN (service-public.fr). Une alerte de non-concordance doit vous arrêter, quoi qu'en dise votre interlocuteur ; nous détaillons ce contrôle et ses limites dans Fausse facture, faux RIB.
Compléter un dossier d'usurpation d'identité. Seul, un RIB ne suffit pas. Mais associé à une copie de pièce d'identité et à un justificatif de domicile, il forme un dossier presque complet. Or une attestation d'hébergement sert justement à ouvrir un compte bancaire, une ligne mobile ou à renouveler une pièce d'identité (LegalPlace). Cybermalveillance.gouv.fr cite, parmi les usages frauduleux d'une identité volée, l'ouverture de lignes téléphoniques ou de comptes bancaires et la souscription de crédits (Cybermalveillance.gouv.fr). C'est pourquoi une fuite qui réunit RIB, attestations d'hébergement et pièces d'identité est plus préoccupante qu'une simple liste d'IBAN.
Quels sont vos droits face à un prélèvement frauduleux ?
Ils sont solides, à condition de surveiller ses relevés.
- Prélèvement que vous n'avez jamais autorisé : signalez-le à votre banque sans tarder, et au plus tard dans les 13 mois suivant le débit (70 jours si la banque du créancier est située hors de l'Espace économique européen). La banque doit vous rembourser au plus tard à la fin du premier jour ouvrable suivant votre demande (service-public.fr). Passé 13 mois, vous ne pouvez plus obtenir de remboursement (DGCCRF).
- Prélèvement autorisé mais contesté : 8 semaines après le débit, sans avoir à justifier votre demande (le remboursement est inconditionnel). La banque rembourse sous dix jours ouvrables (Banque de France).
- Blocage préventif : vous pouvez demander à votre banque de bloquer tous les prélèvements, de n'autoriser que certains créanciers (liste blanche) ou d'en refuser certains (liste noire). La Banque de France précise que la banque « est tenue d'y répondre ».
Que faire si vos données ont fuité ?
La CNIL et Cybermalveillance.gouv.fr ont publié le 1er octobre 2026, à l'occasion du Cybermois, un dépliant en trois étapes (CNIL). Leurs conseils, complétés par ceux de la fiche « Fuite ou violation de données personnelles » (Cybermalveillance.gouv.fr) et de la Banque de France :
- Surveillez vos relevés pendant plusieurs mois, y compris les petits montants.
- Informez votre banque et, si besoin, mettez en place une liste blanche de créanciers.
- Ne signez aucun mandat de prélèvement dont vous doutez de l'origine.
- Méfiez-vous des appels et des messages qui citent vos données : votre banque ne vous demandera jamais de valider une opération que vous n'avez pas initiée.
- Guettez les signes d'usurpation : courrier inattendu, demande de crédit inconnue, contrat ou abonnement souscrit à votre insu. En cas de doute, vous pouvez demander la liste des comptes ouverts à votre nom (FICOBA) depuis la messagerie sécurisée de votre espace impots.gouv.fr, et vérifier auprès de la Banque de France que vous n'êtes pas fiché (Banque de France).
- En cas de fraude, portez plainte et conservez toutes les preuves.
Deux précisions utiles. La plateforme Perceval, souvent citée, ne concerne que les fraudes à la carte bancaire, pas les prélèvements (service-public.fr). Et changer d'IBAN n'est en général pas nécessaire : cela revient à changer de compte. Dans sa foire aux questions sur la fuite FICOBA, la DGFiP écrit qu'« il n'est pas nécessaire de changer de coordonnées bancaires » (impots.gouv.fr). Méfiez-vous enfin des sites qui affirment détenir les données et pouvoir vous dire si vous êtes concerné : la CNIL déconseille de les utiliser (CNIL).
Comment limiter les dégâts la prochaine fois ?
On ne contrôle pas la sécurité des organismes à qui l'on confie ses documents. On contrôle ce qu'on leur envoie, et sous quelle forme.
N'envoyez que ce qui est demandé. La CNIL et Cybermalveillance.gouv.fr rappellent de ne pas transmettre ses documents, RIB compris, sans s'être assuré de la légitimité du destinataire, et de ne communiquer que les informations nécessaires à la démarche (dépliant du Cybermois). Pour une location, par exemple, un bailleur n'a pas le droit d'exiger des relevés de compte (CNIL).
Filigranez vos copies. Cybermalveillance.gouv.fr recommande d'inscrire sur les copies de pièces d'identité le motif de l'envoi, la date et le destinataire (Cybermalveillance.gouv.fr). Le même geste vaut, par extension, pour un RIB ou une attestation d'hébergement : un document marqué « RIB transmis à la Région pour l'aide X, octobre 2026 » perd beaucoup de sa valeur comme justificatif dans un autre dossier. Le filigrane n'empêche pas de recopier l'IBAN, et un faussaire équipé peut le retirer : il marque, il ne protège pas. Vous pouvez ajouter cette mention avec Filigrane PDF de PDFKami, directement dans votre navigateur, sans envoyer le document ; nous expliquons pourquoi dans Filigraner sa pièce d'identité.
Réduisez avant d'envoyer. Un dossier de candidature n'a pas besoin de votre relevé complet ; une attestation n'a pas besoin de votre RIB. Supprimer des pages ou caviarder ce qui est superflu se fait aussi localement. Nous avons détaillé ces réflexes dans Quand les services publics se font pirater, que faire de vos documents ?
Lexique
RIB : relevé d'identité bancaire, document fourni par la banque qui réunit l'IBAN, le BIC, le nom du titulaire et l'adresse de l'agence.
IBAN : identifiant international d'un compte bancaire, qui figure sur le RIB.
Mandat SEPA : autorisation donnée à un créancier de prélever un compte ; elle est conservée par le créancier, pas par la banque.
Liste blanche, liste noire : listes de créanciers autorisés ou refusés, que l'on peut demander à sa banque.
FICOBA : fichier national des comptes bancaires, tenu par la DGFiP, qui recense les comptes ouverts en France.
Usurpation d'identité : utilisation de l'identité d'autrui, punie d'un an d'emprisonnement et de 15 000 euros d'amende (article 226-4-1 du Code pénal).
Vérification du bénéficiaire : contrôle obligatoire depuis le 9 octobre 2025 dans la zone euro, qui compare le nom du bénéficiaire à l'IBAN avant un virement.