1,2 million de comptes bancaires extraits de manière malveillante du fichier national

La Direction Générale des Finances publiques (DGFiP) annonce qu’un acteur malveillant a consulté et extrait de l’ordre de 1,2 millions de comptes du fichier national des comptes bancaires (FICOBA). Ces accès illégitimes ont débuté à la fin janvier 2026.

Travaux en cours pour rétablir le service de manière protégée

Des mesures de restriction d’accès ont été mises en œuvre afin de stopper l’attaque, de limiter l’ampleur des données consultées et extraites de cette base. Des travaux sont en cours pour rétablir le service dans les meilleures conditions de protection. Les usagers concernés recevront dans les prochains jours une information individuelle les alertant qu’un accès à leurs données a pu être constaté.

A compter de la fin janvier 2026, un acteur malveillant a usurpé les identifiants d’un fonctionnaire. Celui-ci dispose d’accès dans le cadre de l’échange d’information entre les ministères. Cet acteur a pu consulter une partie du fichier qui recense l’ensemble des comptes bancaires ouverts dans les établissements bancaires français. Ce fichier contient des données à caractère personnel : coordonnées bancaires (RIB / IBAN), identité du titulaire, adresse et, dans certains cas, l’identifiant fiscal de l’usager.

Les équipes informatiques de la DGFIP interviennent

Un contact été établi avec les établissements bancaires afin de sensibiliser les clients à la plus grande vigilance. Les équipes informatiques de la DGFiP interviennent afin de traiter cet incident et de renforcer la sécurité du système d’information (SI). Elles sont en lien avec les services du ministère des finances (service du haut fonctionnaire de défense et de sécurité – HFDS) et avec l’Agence nationale de la sécurité des systèmes d’information (ANSSI). L’incident a été notifié à la Commission nationale de l’informatique et des libertés (CNIL) et fait l’objet d’un dépôt de plainte.

Le ministère des finances appelle les usagers à la vigilance. Il rappelle que de nombreuses tentatives d’escroqueries circulent par email ou SMS dans le but d’obtenir des informations ou des paiements de la part des usagers. Ces fraudes touchent désormais tous les publics, particuliers et professionnels. Au moindre doute, il est préférable de ne pas répondre directement.

Pas de demande des identifiants de la part de l’administration

L’administration fiscale ne doit pas demander les identifiants ou le numéro de carte bancaire par message. Même si l’expéditeur semble être un interlocuteur de la DGFiP, il est conseillé de contacter directement son service des impôts via la messagerie sécurisée de son espace ou par téléphone afin de vérifier l’authenticité du message reçu.

En cas de suspicion de l’utilisation frauduleuse de ses données personnelles, il est recommandé de conserver toutes les preuves (messages, adresse du site web, captures d’écran…).