A 3 de outubro de 2026, a região de Hauts-de-France, no norte de França, anunciou que dois dos seus prestadores de serviços, a Atexo e a Docaposte, tinham sofrido um ciberataque que deu acesso a dados pessoais tratados por conta da região: nomes, apelidos, endereços de e-mail e «potencialmente RIB» (Next, Clubic). Um RIB (relevé d'identité bancaire) é o documento que os bancos franceses emitem com os dados da conta — IBAN, BIC e nome do titular —, o equivalente ao nosso comprovativo de IBAN. Dois dias depois, Xavier Bertrand, presidente da região, falava em cerca de 545 000 pessoas: no máximo 515 000 inscritos na plataforma dos apoios regionais e cerca de 30 000 beneficiários e parceiros do cartão Génération #HDF, da região, relativamente aos quais estariam em causa sobretudo contratos de aprendizagem e RIB (AFP via Techniques de l'Ingénieur). O autor que reivindica o ataque afirma ter 90 011 ficheiros PDF, entre os quais 15 118 attestations d'hébergement (declarações em que alguém confirma que o aloja, usadas em França como comprovativo de morada), e o site FrenchBreaches contou entre eles 36 720 RIB (Clubic). A região não confirmou estes números e diz não estar em condições de confirmar «o volume e outras categorias de documentos extraídos».
Não é caso isolado. Em fevereiro de 2026, a DGFiP, a administração fiscal francesa, revelou acessos ilegítimos ao FICOBA, o ficheiro nacional das contas bancárias que ela própria gere: cerca de 1,2 milhões de contas foram afetadas, com o respetivo IBAN e a identidade e a morada dos titulares (impots.gouv.fr). Em agosto, a Solimut, uma mútua de saúde francesa, comunicou uma intrusão; o atacante reivindica mais de 770 000 IBAN, um número que não foi confirmado (Selectra). Segundo um barómetro do Cybermalveillance.gouv.fr, a plataforma do Estado francês de apoio às vítimas de cibercrime, e da empresa de sondagens Ipsos bva, publicado em setembro, 45% dos franceses entre os 18 e os 75 anos dizem ter sido informados de uma fuga dos seus dados nos últimos doze meses (Selectra). Estas fugas são francesas, tal como os organismos e os procedimentos referidos neste artigo, embora as regras de pagamento que os enquadram sejam europeias (SEPA): dizem-lhe respeito se tem conta num banco francês ou se deu os seus dados a uma entidade francesa. Se vive em Portugal, a caixa mais abaixo explica como as coisas funcionam por cá.
Há motivo para preocupação? Há, mas pelas razões certas, e sabendo o que fazer.
O que é que um burlão não consegue fazer com o seu IBAN?
Primeiro, o que tranquiliza: um IBAN não é um cartão bancário. Serve para receber dinheiro e para autorizar débitos diretos, não para tirar dinheiro da conta à vontade. O Banque de France, o banco central francês, lembrou-o a propósito da fuga do FICOBA: estes dados «não permitem aceder aos saldos das contas» e «não bastam para realizar operações bancárias» (Banque de France). Ninguém consegue fazer uma transferência a partir da sua conta, nem levantar dinheiro dela, só com o seu IBAN.
Então, o que pode fazer?
Há três utilizações fraudulentas documentadas.
Criar uma falsa autorização de débito direto. É o risco principal. No sistema SEPA, a Área Única de Pagamentos em Euros, a autorização de débito (o «mandato») é gerida pelo credor, e não pelo seu banco. Um burlão pode, por isso, subscrever um serviço ou fazer uma compra indicando o seu IBAN, e os débitos sairão da sua conta. O Banque de France descreve débitos diretos emitidos «com recurso a mandatos fictícios», com IBAN que podem ter origem em fugas de dados (Banque de France), e a CNIL, a autoridade francesa de proteção de dados, confirma que um IBAN pode «permitir a um pirata informático emitir ordens de débito direto ilegítimas» (CNIL). A LegalPlace, uma plataforma francesa de serviços jurídicos, também o assinala: com um documento de identificação ou uma assinatura, pessoas mal-intencionadas «podem elaborar uma falsa autorização de débito direto» (LegalPlace). Os montantes podem ser baixos e, por isso, passar facilmente despercebidos num extrato.
Telefonar-lhe a fazer-se passar pelo seu banco. Um burlão que sabe o seu nome, o seu banco e o seu IBAN parece credível (aliás, o IBAN basta para identificar o seu banco e a sua agência). É o esquema do «falso funcionário do banco»: assinala uma operação suspeita e depois pede-lhe que valide uma operação na aplicação do banco ou que lhe dite um código recebido por SMS (Cybermalveillance.gouv.fr). O Ministério da Economia francês resume-o assim: «À mínima dúvida, desligue» (economie.gouv.fr). E se lhe pedirem que seja o próprio a fazer uma transferência, veja o resultado da verificação do beneficiário: desde 9 de outubro de 2025, os bancos da área do euro, franceses incluídos, verificam antes de cada transferência se o nome introduzido corresponde ao IBAN (service-public.fr). Um alerta de não correspondência deve fazê-lo parar, diga o seu interlocutor o que disser; explicamos este controlo e os seus limites em Fatura falsa, IBAN falso.
Completar um dossier para usurpar a sua identidade. Sozinho, um RIB não chega. Mas, junto com uma cópia de um documento de identificação e um comprovativo de morada, forma um dossier quase completo. Ora, uma attestation d'hébergement serve precisamente para abrir uma conta bancária, contratar uma linha de telemóvel ou renovar um documento de identificação (LegalPlace). Entre as utilizações fraudulentas de uma identidade roubada, o Cybermalveillance.gouv.fr cita a abertura de linhas telefónicas ou de contas bancárias e a contratação de créditos (Cybermalveillance.gouv.fr). É por isso que uma fuga que junta RIB, attestations d'hébergement e documentos de identificação é mais preocupante do que uma simples lista de IBAN.
Que direitos tem perante um débito direto fraudulento?
São sólidos, desde que vá vigiando os seus extratos. As regras abaixo são francesas e transpõem a Diretiva europeia dos Serviços de Pagamento.
- Débito direto que nunca autorizou: comunique-o ao seu banco sem demora e, o mais tardar, nos 13 meses seguintes ao débito (70 dias se o banco do credor estiver fora do Espaço Económico Europeu). O banco tem de o reembolsar, o mais tardar, até ao final do primeiro dia útil a seguir ao seu pedido (service-public.fr). Passados 13 meses, já não consegue obter o reembolso, como lembra a DGCCRF, a autoridade francesa de defesa do consumidor (DGCCRF).
- Débito direto autorizado, mas contestado: 8 semanas a contar do débito, sem ter de justificar o pedido (o reembolso é incondicional). O banco reembolsa no prazo de dez dias úteis (Banque de France).
- Bloqueio preventivo: pode pedir ao seu banco que bloqueie todos os débitos diretos, que só aceite os de certos credores (lista positiva, a «lista branca» dos franceses) ou que recuse os de alguns (lista negativa, a «lista negra»). O Banque de France precisa que o banco «é obrigado a dar seguimento» ao pedido.
O que fazer se os seus dados foram divulgados?
A 1 de outubro de 2026, por ocasião do Cybermois, o mês de sensibilização para a cibersegurança em França, a CNIL e o Cybermalveillance.gouv.fr publicaram um folheto em três passos (CNIL). Eis os seus conselhos, completados pelos da ficha «Fuga ou violação de dados pessoais» (Cybermalveillance.gouv.fr) e pelos do Banque de France:
- Vigie os seus extratos durante vários meses, incluindo os pequenos montantes.
- Informe o seu banco e, se for preciso, crie uma lista positiva de credores.
- Não assine nenhuma autorização de débito direto de origem duvidosa.
- Desconfie de chamadas e mensagens que citem os seus dados: o seu banco nunca lhe vai pedir que valide uma operação que não foi o próprio a iniciar.
- Esteja atento aos sinais de usurpação: correspondência inesperada, um pedido de crédito que desconhece, um contrato ou uma subscrição feitos sem o seu conhecimento. Em caso de dúvida, em França pode pedir a lista das contas abertas em seu nome (FICOBA) através das mensagens seguras da sua área pessoal em impots.gouv.fr, o portal fiscal francês, e confirmar junto do Banque de France que não consta dos seus ficheiros de incidentes de pagamento e de crédito (Banque de France).
- Se for vítima de fraude, apresente queixa e guarde todas as provas.
Duas precisões úteis. A plataforma Perceval, o serviço online francês muitas vezes referido, só trata fraudes com cartão bancário, não débitos diretos (service-public.fr). E mudar de IBAN, em geral, não é necessário: equivale a mudar de conta. Nas perguntas frequentes sobre a fuga do FICOBA, a DGFiP escreve que «não é necessário mudar de dados bancários» (impots.gouv.fr). Por fim, desconfie dos sites que afirmam ter os dados e poder dizer-lhe se foi afetado: a CNIL desaconselha a sua utilização (CNIL).
E em Portugal? As regras europeias são as mesmas, transpostas pelo Decreto-Lei n.º 91/2018: um débito direto SEPA que autorizou pode ser reembolsado sem condições até oito semanas depois de debitado, e um débito não autorizado deve ser comunicado ao banco sem atraso injustificado e, no máximo, em 13 meses, tendo o banco de o reembolsar até ao final do primeiro dia útil seguinte (Decreto-Lei n.º 91/2018, artigos 112.º, 114.º, 117.º e 118.º do regime anexo). O Banco de Portugal lembra que pode fixar uma validade e um montante máximo para cada autorização (em regra, no homebanking ou no Multibanco), bloquear todos os débitos diretos ou só os de certos credores e indicar ao banco os únicos credores que aceita, numa lista positiva (Banco de Portugal, Portal do Cliente Bancário); e, desde outubro de 2025, a verificação do beneficiário, sem custos, compara o nome que escreve com os titulares da conta de destino nas transferências em euros, completando a confirmação de beneficiário que existe em Portugal desde maio de 2024 (Banco de Portugal). Se for vítima de burla, apresente queixa à Polícia Judiciária, por exemplo pela Queixa Eletrónica, com o Cartão de Cidadão (Polícia Judiciária), e pode também reportar o incidente ao CERT.PT, do Centro Nacional de Cibersegurança, o que não substitui a queixa (CNCS). Uma entidade que sofra uma fuga de dados tem, em regra, de a notificar em 72 horas à CNPD, a Comissão Nacional de Proteção de Dados, e, nos casos previstos no RGPD, avisar as pessoas afetadas; qualquer pessoa pode apresentar uma participação à CNPD (CNPD, CNPD).
Como limitar os estragos da próxima vez?
Não controlamos a segurança das entidades a quem confiamos os nossos documentos. Controlamos o que lhes enviamos, e em que forma.
Envie apenas o que lhe pedem. A CNIL e o Cybermalveillance.gouv.fr lembram que não se devem enviar documentos, RIB incluído, sem confirmar a legitimidade do destinatário, e que só se devem comunicar as informações necessárias ao procedimento (folheto do Cybermois). Para arrendar casa em França, por exemplo, o senhorio não tem o direito de exigir extratos bancários (CNIL).
Ponha uma marca de água nas suas cópias. O Cybermalveillance.gouv.fr recomenda escrever nas cópias dos documentos de identificação a finalidade do envio, a data e o destinatário (Cybermalveillance.gouv.fr). Por extensão, o mesmo vale para um RIB ou uma attestation d'hébergement: um documento marcado «RIB enviado à Região para o apoio X, outubro de 2026» perde grande parte do seu valor como comprovativo noutro processo. A marca de água não impede ninguém de copiar o IBAN, e um falsificador bem equipado consegue removê-la: marca o documento, não o protege. Pode acrescentar esta menção com a Marca de água PDF do PDFKami, diretamente no navegador, sem enviar o documento; explicamos porquê em Porquê pôr uma marca de água no documento de identificação.
Reduza antes de enviar. Uma candidatura não precisa do seu extrato completo; uma declaração não precisa do seu IBAN. Eliminar páginas ou rasurar o que está a mais também se faz localmente. Explicámos estes reflexos em Quando os serviços públicos são atacados, o que fazer com os seus documentos?
Glossário
RIB: relevé d'identité bancaire, documento emitido por um banco francês que reúne o IBAN, o BIC, o nome do titular e a morada da agência; equivale ao comprovativo de IBAN.
IBAN: identificador internacional de uma conta bancária (International Bank Account Number), que consta do RIB.
Mandato SEPA: autorização dada a um credor para cobrar por débito direto numa conta; é guardada pelo credor, e não pelo banco. Em Portugal, chama-se autorização de débito em conta.
Lista positiva, lista negativa: listas de credores autorizados ou recusados, que se podem pedir ao banco (em França, «lista branca» e «lista negra»).
FICOBA: ficheiro nacional das contas bancárias, gerido pela DGFiP, que regista as contas abertas em França.
Usurpação de identidade: utilização da identidade de outra pessoa; em França, punida com um ano de prisão e 15 000 euros de multa (artigo 226-4-1 do Código Penal francês).
Verificação do beneficiário: controlo obrigatório na área do euro desde 9 de outubro de 2025, que compara o nome do beneficiário com o IBAN antes de uma transferência.