Il 3 ottobre 2026 la Regione Hauts-de-France, nel nord della Francia, ha annunciato che due suoi fornitori, Atexo e Docaposte, avevano subito un attacco informatico che ha dato accesso a dati personali trattati per suo conto: cognomi, nomi, indirizzi email e «potenzialmente dei RIB» (Next, Clubic). Il RIB, o relevé d'identité bancaire, è il documento che le banche francesi rilasciano con le coordinate del conto: IBAN, BIC e nome del titolare. Due giorni dopo Xavier Bertrand, presidente della Regione, parlava di quasi 545.000 persone: al massimo 515.000 iscritti alla piattaforma degli aiuti regionali e quasi 30.000 beneficiari e partner della carta Génération #HDF, per i quali si tratterebbe soprattutto di contratti di apprendistato e di RIB (AFP via Techniques de l'Ingénieur). L'autore che ha rivendicato l'attacco afferma di avere 90.011 file PDF, tra cui 15.118 attestations d'hébergement (le dichiarazioni con cui chi ti ospita conferma che abiti da lui, usate in Francia come prova di residenza), e il sito FrenchBreaches vi ha contato 36.720 RIB (Clubic). La Regione non ha confermato queste cifre e dice di non essere in grado di confermare «il volume e altre categorie di documenti estratti».
Non è un caso isolato. A febbraio 2026 la DGFiP, il fisco francese, ha reso noti accessi illegittimi al FICOBA, il registro nazionale dei conti bancari che gestisce: erano coinvolti circa 1,2 milioni di conti, con il loro IBAN e l'identità e l'indirizzo dei titolari (impots.gouv.fr). Ad agosto Solimut, una mutua sanitaria francese, ha segnalato un'intrusione; l'attaccante rivendica più di 770.000 IBAN, una cifra non confermata (Selectra). Secondo un barometro di Cybermalveillance.gouv.fr, il servizio pubblico francese di assistenza alle vittime di reati informatici, e dell'istituto di sondaggi Ipsos bva, pubblicato a settembre, il 45% dei francesi tra i 18 e i 75 anni dice di essere stato informato di una fuga dei propri dati negli ultimi dodici mesi (Selectra). Queste fughe sono francesi, come gli enti e le procedure citati in questo articolo, ma le regole di pagamento che ci stanno dietro sono europee (SEPA): ti riguardano se hai un conto in Francia o se hai dato le tue coordinate bancarie a un'organizzazione francese. Se vivi in Italia, più avanti trovi un riquadro sulle regole italiane.
Bisogna preoccuparsi? Sì, ma per le ragioni giuste, e sapendo cosa fare.
Cosa non può fare un truffatore con il tuo IBAN?
Prima la parte rassicurante: un IBAN non è una carta di pagamento. Serve a ricevere denaro e ad autorizzare addebiti diretti, non a farne uscire a piacimento. La Banque de France, la banca centrale francese, lo ha ricordato a proposito della fuga dal FICOBA: questi dati «non permettono di accedere ai saldi dei conti» e «non sono sufficienti per effettuare operazioni bancarie» (Banque de France). Nessuno può fare un bonifico dal tuo conto, né prelevarvi denaro, con il solo IBAN.
E allora cosa può fare?
Gli usi fraudolenti documentati sono tre.
Creare un falso mandato di addebito diretto. È il rischio principale. Nel sistema SEPA, l'area unica dei pagamenti in euro, il mandato di addebito diretto è gestito dal creditore (chi incassa il pagamento), non dalla tua banca. Un truffatore può quindi sottoscrivere un abbonamento o fare un acquisto indicando il tuo IBAN, e gli addebiti partiranno dal tuo conto. La Banque de France descrive addebiti emessi «tramite mandati fittizi», con IBAN che possono provenire da fughe di dati (Banque de France), e la CNIL, l'autorità francese per la protezione dei dati, conferma che un IBAN può «permettere a un pirata informatico di emettere ordini di addebito illegittimi» (CNIL). Lo nota anche LegalPlace, piattaforma francese di servizi legali: con un documento d'identità o una firma, dei malintenzionati «possono predisporre una falsa autorizzazione di addebito» (LegalPlace). Gli importi possono essere bassi, e quindi facili da non notare sull'estratto conto.
Chiamarti fingendosi la tua banca. Un truffatore che conosce il tuo nome, la tua banca e il tuo IBAN risulta credibile (l'IBAN basta, tra l'altro, a identificare la tua banca e la tua filiale). È lo scenario del «falso operatore bancario»: segnala un'operazione sospetta, poi ti chiede di convalidare un'operazione nella tua app o di comunicargli un codice ricevuto via SMS (Cybermalveillance.gouv.fr). Il ministero dell'Economia francese lo riassume così: «Al minimo dubbio, riattaccate» (economie.gouv.fr). E se ti chiedono di fare tu un bonifico, guarda l'esito della verifica del beneficiario: dal 9 ottobre 2025 le banche dell'area euro, comprese quelle francesi, controllano prima di ogni bonifico che il nome inserito corrisponda all'IBAN (service-public.fr). Un avviso di mancata corrispondenza deve fermarti, qualunque cosa ti dica chi è al telefono; descriviamo questo controllo e i suoi limiti in fatture false e IBAN falsi.
Completare un dossier per il furto d'identità. Da sole, le coordinate bancarie non bastano. Ma insieme alla copia di un documento d'identità e a una prova di residenza formano un dossier quasi completo. E un'attestation d'hébergement serve proprio ad aprire un conto in banca, attivare una linea telefonica o rinnovare un documento d'identità (LegalPlace). Tra gli usi fraudolenti di un'identità rubata, Cybermalveillance.gouv.fr cita l'apertura di linee telefoniche o di conti bancari e la sottoscrizione di prestiti (Cybermalveillance.gouv.fr). Per questo una fuga che mette insieme RIB, attestations d'hébergement e documenti d'identità è più preoccupante di un semplice elenco di IBAN.
Quali sono i tuoi diritti contro un addebito fraudolento?
Sono solidi, a patto di tenere d'occhio gli estratti conto. Le regole qui sotto sono quelle francesi, che recepiscono la direttiva europea sui servizi di pagamento.
- Addebito che non hai mai autorizzato: segnalalo alla tua banca senza indugio, e al più tardi entro 13 mesi dall'addebito (70 giorni se la banca del creditore si trova fuori dallo Spazio economico europeo). La banca deve rimborsarti al più tardi entro la fine del primo giorno lavorativo successivo alla tua richiesta (service-public.fr). Trascorsi 13 mesi non puoi più ottenere il rimborso, come ricorda la DGCCRF, l'autorità francese per la tutela dei consumatori (DGCCRF).
- Addebito autorizzato ma contestato: 8 settimane dall'addebito, senza dover motivare la richiesta (il rimborso è incondizionato). La banca rimborsa entro dieci giorni lavorativi (Banque de France).
- Blocco preventivo: puoi chiedere alla tua banca di bloccare tutti gli addebiti diretti, di autorizzare solo alcuni creditori (lista bianca) o di rifiutarne alcuni (lista nera). La Banque de France precisa che la banca «è tenuta a darvi seguito».
Cosa fare se i tuoi dati sono trapelati?
Il 1° ottobre 2026, in occasione del Cybermois, il mese francese di sensibilizzazione alla sicurezza informatica, la CNIL e Cybermalveillance.gouv.fr hanno pubblicato un pieghevole in tre passaggi (CNIL). Ecco i loro consigli, integrati da quelli della scheda «Fuga o violazione di dati personali» (Cybermalveillance.gouv.fr) e della Banque de France:
- Controlla gli estratti conto per diversi mesi, compresi i piccoli importi.
- Avvisa la tua banca e, se serve, attiva una lista bianca di creditori.
- Non firmare nessun mandato di addebito se non sei sicuro della sua provenienza.
- Diffida delle chiamate e dei messaggi che citano i tuoi dati: la tua banca non ti chiederà mai di convalidare un'operazione che non hai avviato tu.
- Fai attenzione ai segnali di furto d'identità: posta inattesa, una richiesta di prestito che non riconosci, un contratto o un abbonamento sottoscritto a tua insaputa. Nel dubbio, in Francia puoi chiedere l'elenco dei conti aperti a tuo nome (FICOBA) tramite la messaggistica sicura del tuo spazio personale su impots.gouv.fr, il sito del fisco francese, e verificare presso la Banque de France di non essere schedato nei suoi archivi degli incidenti di pagamento e di credito (Banque de France).
- In caso di frode, sporgi denuncia e conserva tutte le prove.
Due precisazioni utili. Perceval, il servizio online francese che viene spesso citato, riguarda solo le frodi con carta di pagamento, non gli addebiti diretti (service-public.fr). E cambiare IBAN in genere non è necessario: equivale a cambiare conto. Nelle sue domande frequenti sulla fuga dal FICOBA, la DGFiP scrive che «non è necessario cambiare coordinate bancarie» (impots.gouv.fr). Diffida infine dei siti che affermano di avere i dati e di poterti dire se sei coinvolto: la CNIL sconsiglia di usarli (CNIL).
E in Italia? Le stesse regole europee sono recepite dal decreto legislativo 11/2010: un addebito non autorizzato va segnalato alla banca senza indugio e comunque entro 13 mesi, e la banca deve rimborsarlo al più tardi entro la fine della giornata operativa successiva; per un addebito diretto SEPA autorizzato hai diritto a un rimborso incondizionato se lo chiedi entro otto settimane, e la banca ha dieci giornate operative per rimborsarti (d.lgs. 11/2010, artt. 9 e 11, artt. 13 e 14). Come ricorda la Banca d'Italia, puoi anche fissare importi massimi autorizzati, bloccare tutti gli addebiti diretti sul conto o comunicare una lista di beneficiari indesiderati («lista nera») o graditi («lista bianca») (L'economia per tutti); e dal 9 ottobre 2025 la verifica del beneficiario è obbligatoria anche in Italia, per i bonifici ordinari e istantanei (Banca d'Italia). Contro il furto d'identità, il ministero dell'Economia ha istituito un sistema pubblico di prevenzione, gestito da Consap, con cui banche, finanziarie e altri operatori verificano l'autenticità dei documenti d'identità e di reddito di chi chiede un credito al consumo, confrontandoli con gli archivi di enti come l'Agenzia delle Entrate e l'INPS (MEF). Se sei vittima di una frode, la Banca d'Italia indica di avvisare subito la banca e di denunciare il reato alla Polizia postale e delle comunicazioni (Banca d'Italia, Polizia postale); se i dati sono trapelati da un'organizzazione italiana, puoi presentare reclamo al Garante per la protezione dei dati personali, a cui le violazioni che comportano un rischio per le persone devono essere notificate (Garante privacy, Garante privacy).
Come limitare i danni la prossima volta?
Non controlli la sicurezza degli enti a cui affidi i tuoi documenti. Controlli però cosa mandi loro, e in che forma.
Manda solo ciò che ti viene chiesto. La CNIL e Cybermalveillance.gouv.fr raccomandano di non trasmettere i propri documenti, coordinate bancarie comprese, senza essersi accertati della legittimità del destinatario, e di comunicare solo le informazioni necessarie alla pratica (pieghevole del Cybermois). Per un affitto in Francia, per esempio, il locatore non ha il diritto di esigere gli estratti conto (CNIL).
Metti una filigrana sulle copie. Cybermalveillance.gouv.fr consiglia di scrivere sulle copie dei documenti d'identità il motivo dell'invio, la data e il destinatario (Cybermalveillance.gouv.fr). Per estensione, lo stesso vale per un RIB o un'attestation d'hébergement: un documento con la dicitura «Coordinate bancarie inviate alla Regione per il contributo X, ottobre 2026» perde gran parte del suo valore come giustificativo in un'altra pratica. La filigrana non impedisce di ricopiare l'IBAN, e un falsario attrezzato può toglierla: segna il documento, non lo protegge. Puoi aggiungere questa dicitura con Filigrana PDF di PDFKami, direttamente nel browser, senza caricare il documento; spieghiamo perché in Perché mettere una filigrana sulla carta d'identità.
Riduci prima di inviare. Una candidatura non ha bisogno del tuo estratto conto completo; un'attestazione non ha bisogno delle tue coordinate bancarie. Eliminare le pagine o oscurare ciò che è superfluo si fa anche in locale. Abbiamo descritto queste abitudini in Quando i servizi pubblici vengono violati, cosa fare dei tuoi documenti?
Glossario
RIB: relevé d'identité bancaire, documento rilasciato da una banca francese che riunisce IBAN, BIC, nome del titolare e indirizzo della filiale.
IBAN: identificativo internazionale di un conto bancario (International Bank Account Number), riportato sul RIB.
Mandato SEPA: autorizzazione data a un creditore ad addebitare un conto; la conserva il creditore, non la banca.
Lista bianca, lista nera: elenchi di creditori autorizzati o rifiutati, che si possono chiedere alla propria banca.
FICOBA: registro nazionale francese dei conti bancari, tenuto dalla DGFiP, che censisce i conti aperti in Francia.
Furto d'identità: uso dell'identità altrui; in Francia è punito con un anno di reclusione e 15.000 euro di multa (articolo 226-4-1 del codice penale francese).
Verifica del beneficiario: controllo obbligatorio nell'area euro dal 9 ottobre 2025, che confronta il nome del beneficiario con l'IBAN prima di un bonifico.