El 3 de octubre de 2026, la región de Hauts-de-France, en el norte de Francia, anunció que dos de sus proveedores, Atexo y Docaposte, habían sufrido un ciberataque que dio acceso a datos personales tratados por cuenta de la región: apellidos, nombres, direcciones de correo electrónico y «potencialmente RIB» (Next, Clubic). Un RIB (relevé d'identité bancaire) es el justificante con los datos de la cuenta que expiden los bancos franceses —IBAN, BIC y nombre del titular—, algo parecido a nuestro certificado de titularidad bancaria. Dos días después, Xavier Bertrand, presidente de la región, hablaba de cerca de 545 000 personas: como mucho 515 000 inscritos en la plataforma de ayudas regionales y cerca de 30 000 beneficiarios y colaboradores de la tarjeta Génération #HDF de la región, en cuyo caso se trataría sobre todo de contratos de aprendizaje y RIB (AFP vía Techniques de l'Ingénieur). El autor que ha reivindicado el ataque asegura tener 90 011 archivos PDF, entre ellos 15 118 attestations d'hébergement (el documento en el que alguien declara que te aloja en su casa, que en Francia sirve como justificante de domicilio), y la web FrenchBreaches ha contado entre ellos 36 720 RIB (Clubic). La región no ha confirmado estas cifras y dice no estar en condiciones de confirmar «el volumen y otras categorías de documentos extraídos».
No es un caso aislado. En febrero de 2026, la DGFiP, la Hacienda francesa, reveló accesos ilegítimos a FICOBA, el fichero nacional de cuentas bancarias que ella misma gestiona: afectaron a unos 1,2 millones de cuentas, con su IBAN y la identidad y la dirección de sus titulares (impots.gouv.fr). En agosto, la mutua de salud francesa Solimut comunicó una intrusión; el atacante dice tener más de 770 000 IBAN, una cifra que no se ha confirmado (Selectra). Según un barómetro de Cybermalveillance.gouv.fr —la plataforma pública francesa de ayuda a las víctimas de ciberdelitos— y del instituto de sondeos Ipsos bva publicado en septiembre, el 45 % de los franceses de 18 a 75 años dicen haber sido informados de una filtración de sus datos en los últimos doce meses (Selectra). Estas filtraciones son francesas, como los organismos y los trámites de este artículo, aunque las reglas de pago que hay detrás son europeas (SEPA): te afectan si tienes cuenta en un banco francés o has dado tus datos bancarios a un organismo francés. Si vives en España, más abajo te contamos en un recuadro cómo funciona aquí.
¿Hay motivos para preocuparse? Sí, pero por las razones correctas, y sabiendo qué hacer.
¿Qué no puede hacer un estafador con tu IBAN?
Primero, lo tranquilizador: un IBAN no es una tarjeta bancaria. Sirve para recibir dinero y para autorizar adeudos, no para sacarlo libremente. El Banco de Francia (Banque de France), el banco central francés, lo recordó a propósito de la filtración de FICOBA: estos datos «no permiten acceder a los saldos de las cuentas» y «no bastan para realizar operaciones bancarias» (Banque de France). Nadie puede hacer una transferencia desde tu cuenta ni sacar dinero de ella solo con tu IBAN.
Entonces, ¿qué puede hacer?
Hay tres usos fraudulentos documentados.
Crear un mandato de adeudo falso. Es el riesgo principal. En el sistema SEPA, la zona única de pagos en euros, el mandato de adeudo (la orden de domiciliación) lo gestiona el acreedor, es decir, quien cobra, no tu banco. Un estafador puede, por tanto, contratar una suscripción o hacer una compra dando tu IBAN, y los cargos saldrán de tu cuenta. El Banco de Francia describe adeudos emitidos «mediante mandatos ficticios», con IBAN que pueden proceder de filtraciones de datos (Banque de France), y la CNIL, la autoridad francesa de protección de datos, confirma que un IBAN puede «permitir a un pirata emitir órdenes de adeudo ilegítimas» (CNIL). LegalPlace, una plataforma francesa de servicios jurídicos, también lo señala: con un documento de identidad o una firma, personas malintencionadas «pueden elaborar una autorización de adeudo falsa» (LegalPlace). Los importes pueden ser pequeños y, por eso, fáciles de pasar por alto en un extracto.
Llamarte haciéndose pasar por tu banco. Un estafador que conoce tu nombre, tu banco y tu IBAN resulta creíble (el IBAN basta, de hecho, para identificar tu banco y tu oficina). Es el timo del «falso empleado del banco»: te avisa de un movimiento sospechoso y luego te pide que confirmes una operación en la app del banco o que le dictes un código que te ha llegado por SMS (Cybermalveillance.gouv.fr). El Ministerio de Economía francés lo resume así: «Ante la menor duda, cuelgue» (economie.gouv.fr). Y si te piden que hagas tú mismo una transferencia, fíjate en el resultado de la verificación del beneficiario: desde el 9 de octubre de 2025, los bancos de la zona euro, también los franceses, comprueban antes de cada transferencia que el nombre que introduces corresponde al IBAN (service-public.fr). Un aviso de que no coinciden debe frenarte, diga lo que diga quien está al otro lado del teléfono; explicamos este control y sus límites en Factura falsa, IBAN falso.
Completar un expediente de robo de identidad. Por sí solo, un RIB no basta. Pero junto con la copia de un documento de identidad y un justificante de domicilio, forma un expediente casi completo. Y una attestation d'hébergement sirve precisamente para abrir una cuenta bancaria, contratar una línea de móvil o renovar un documento de identidad (LegalPlace). Entre los usos fraudulentos de una identidad robada, Cybermalveillance.gouv.fr cita la apertura de líneas telefónicas o de cuentas bancarias y la contratación de créditos (Cybermalveillance.gouv.fr). Por eso una filtración que reúne RIB, attestations d'hébergement y documentos de identidad es más preocupante que una simple lista de IBAN.
¿Qué derechos tienes ante un adeudo fraudulento?
Son sólidos, siempre que vigiles tus extractos. Las reglas que siguen son francesas; trasponen la Directiva de servicios de pago de la UE.
- Un adeudo que nunca autorizaste: comunícaselo a tu banco sin demora y, como muy tarde, en los 13 meses siguientes al cargo (70 días si el banco del acreedor está fuera del Espacio Económico Europeo). El banco debe devolverte el dinero a más tardar al final del primer día hábil siguiente a tu solicitud (service-public.fr). Pasados 13 meses, ya no puedes recuperarlo, como recuerda la DGCCRF, la autoridad francesa de consumo (DGCCRF).
- Un adeudo que autorizaste pero impugnas: tienes 8 semanas desde el cargo, sin necesidad de justificar tu solicitud (la devolución es incondicional). El banco te devuelve el dinero en un plazo de diez días hábiles (Banque de France).
- Bloqueo preventivo: puedes pedir a tu banco que bloquee todos los adeudos, que solo autorice los de ciertos acreedores (lista blanca) o que rechace los de otros (lista negra). El Banco de Francia precisa que, ante esa solicitud, el banco «está obligado a atenderla».
¿Qué hacer si tus datos se han filtrado?
El 1 de octubre de 2026, con motivo del Cybermois, el mes de la ciberseguridad en Francia, la CNIL y Cybermalveillance.gouv.fr publicaron un folleto en tres pasos (CNIL). Estos son sus consejos, completados con los de la ficha «Filtración o violación de datos personales» (Cybermalveillance.gouv.fr) y con los del Banco de Francia:
- Vigila tus extractos durante varios meses, también los importes pequeños.
- Avisa a tu banco y, si hace falta, pide una lista blanca de acreedores.
- No firmes ningún mandato de adeudo si dudas de su origen.
- Desconfía de las llamadas y los mensajes que mencionan tus datos: tu banco nunca te pedirá que valides una operación que no has iniciado tú.
- Estate atento a las señales de robo de identidad: cartas inesperadas, una solicitud de crédito que no reconoces, un contrato o una suscripción hechos a tus espaldas. En caso de duda, en Francia puedes pedir la lista de cuentas abiertas a tu nombre (FICOBA) por la mensajería segura de tu área personal en impots.gouv.fr, la web de la Hacienda francesa, y comprobar con el Banco de Francia que no figuras en sus ficheros de incidencias de pago y de crédito (Banque de France).
- Si te han estafado, presenta una denuncia y guarda todas las pruebas.
Dos precisiones útiles. Perceval, el servicio en línea francés que se cita a menudo, solo se ocupa de los fraudes con tarjeta bancaria, no de los adeudos (service-public.fr). Y cambiar de IBAN no suele ser necesario: equivale a cambiar de cuenta. En sus preguntas frecuentes sobre la filtración de FICOBA, la DGFiP escribe que «no es necesario cambiar de datos bancarios» (impots.gouv.fr). Por último, desconfía de las webs que dicen tener los datos y poder decirte si estás afectado: la CNIL desaconseja usarlas (CNIL).
¿Y en España? Las reglas son las mismas, porque el Real Decreto-ley 19/2018 traspone la misma directiva: tienes 13 meses para comunicar a tu banco un adeudo que no autorizaste, y debe devolvértelo a más tardar al final del día hábil siguiente; para un adeudo SEPA que sí autorizaste, tienes 8 semanas y un «derecho incondicional de devolución», y el banco dispone de diez días hábiles (BOE). El Banco de España explica cómo dar de baja una domiciliación, por escrito y con fecha y firma (Banco de España), y el reglamento europeo de la SEPA te permite además pedir a tu banco que bloquee todos los adeudos, o los de ciertos acreedores, o que solo acepte los de algunos (Reglamento (UE) 260/2012, art. 5). La verificación del beneficiario también funciona aquí desde el 9 de octubre de 2025, gratis, en las transferencias en euros ordinarias e inmediatas; si el resultado es «no coincidente» y aun así sigues adelante, el dinero irá al IBAN indicado y el banco no responderá si no llega a quien querías (Banco de España). Si te han estafado, avisa a tu banco y denúncialo ante la Policía Nacional o la Guardia Civil (Banco de España); para orientarte, el 017 de INCIBE, el Instituto Nacional de Ciberseguridad, es gratuito y confidencial y atiende de 8:00 a 23:00 todos los días del año (INCIBE), y si crees que una empresa no ha protegido tus datos, puedes reclamar ante la AEPD, la Agencia Española de Protección de Datos (AEPD).
¿Cómo limitar los daños la próxima vez?
No controlas la seguridad de los organismos a los que confías tus documentos. Sí controlas lo que les envías, y en qué forma.
Envía solo lo que te piden. La CNIL y Cybermalveillance.gouv.fr recuerdan que no hay que entregar los documentos, el RIB incluido, sin haber comprobado que el destinatario es legítimo, y que solo hay que dar la información necesaria para el trámite (folleto del Cybermois). Para alquilar una vivienda en Francia, por ejemplo, el arrendador no tiene derecho a exigir extractos bancarios (CNIL).
Pon una marca de agua en tus copias. Cybermalveillance.gouv.fr recomienda escribir en las copias de los documentos de identidad el motivo del envío, la fecha y el destinatario (Cybermalveillance.gouv.fr). Por extensión, lo mismo vale para un RIB o una attestation d'hébergement: un documento marcado con «Datos bancarios enviados a la Región para la ayuda X, octubre de 2026» pierde buena parte de su valor como justificante en otro expediente. La marca de agua no impide copiar el IBAN, y un falsificador bien equipado puede quitarla: marca el documento, no lo protege. Puedes añadir esa mención con Marca de agua PDF de PDFKami, directamente en tu navegador, sin enviar el documento; te explicamos por qué en Por qué poner una marca de agua a tu documento de identidad.
Recorta antes de enviar. Una solicitud no necesita tu extracto completo; un certificado no necesita tus datos bancarios. Eliminar páginas o censurar lo que sobra también se hace en local. Hemos repasado estos reflejos en Cuando hackean a los servicios públicos, ¿qué haces con tus documentos?
Glosario
RIB: relevé d'identité bancaire, documento que expide un banco francés y que reúne el IBAN, el BIC, el nombre del titular y la dirección de la oficina; en España, lo más parecido es el certificado de titularidad bancaria.
IBAN: identificador internacional de una cuenta bancaria (International Bank Account Number), que figura en el RIB.
Mandato SEPA: autorización que se da a un acreedor para cobrar en una cuenta mediante adeudo; la conserva el acreedor, no el banco.
Lista blanca, lista negra: listas de acreedores autorizados o rechazados que puedes pedir a tu banco.
FICOBA: fichero nacional de cuentas bancarias francés, gestionado por la DGFiP, que recoge las cuentas abiertas en Francia.
Robo de identidad: uso de la identidad de otra persona; en Francia, castigado con un año de prisión y 15 000 euros de multa (artículo 226-4-1 del Código Penal francés).
Verificación del beneficiario: control obligatorio en la zona euro desde el 9 de octubre de 2025, que compara el nombre del beneficiario con el IBAN antes de una transferencia.