FICOBA : après des accès illégitimes, ce que doivent faire les clients et les conseillers

La DGFiP a identifié des accès illégitimes au fichier FICOBA, qui recense l’ensemble des comptes bancaires ouverts en France. Environ 1,2 million de comptes seraient concernés. Au-delà de l’incident, l’enjeu est de comprendre ce que contient ce fichier, ce que l’administration a déjà engagé, et quelles mesures de vigilance adopter pour éviter les fraudes opportunistes.
 

Ce qui s’est passé fin janvier 2026
Selon les investigations de la Direction générale des Finances publiques, un acteur malveillant aurait usurpé les identifiants d’un fonctionnaire et consulté une partie du fichier à compter de fin janvier 2026. FICOBA centralise des données sensibles : coordonnées bancaires (RIB/IBAN), identité du titulaire, adresse, et dans certains cas l’identifiant fiscal. La DGFiP estime qu’environ 1,2 million de comptes ont été concernés par ces consultations illégitimes. Il est important de noter que l’incident décrit porte sur des consultations non autorisées : le risque principal est l’exploitation des informations pour des fraudes ciblées.
 

La principale difficulté, dans ce type d’événement, est la temporalité : même si l’accès est rapidement fermé, des données déjà consultées peuvent circuler, alimenter des tentatives d’hameçonnage (phishing) ou de fraude à l’ingénierie sociale. La « valeur » de ces informations n’est pas dans un vol immédiat, mais dans la capacité à rendre crédible un message frauduleux en citant des éléments exacts.
 

Réaction des autorités et renforcement de la sécurité
Dès la détection, la DGFiP indique avoir mis en œuvre des mesures de restriction d’accès. Les équipes informatiques travaillent avec le service du Haut Fonctionnaire de Défense et de Sécurité et l’ANSSI pour renforcer la sécurité du système d’information. L’incident a été notifié à la CNIL et fait l’objet d’un dépôt de plainte. Les usagers concernés doivent recevoir une information individuelle, et un contact a été établi avec les établissements bancaires.
 

Ces étapes sont importantes : elles structurent la réponse publique (notification, plainte, coordination) et elles conditionnent les actions de prévention. Pour les clients, la réception d’un courrier officiel n’élimine pas le risque, mais fournit un repère sur le calendrier et la nature des données potentiellement exposées.
 

Vigilance : les bons réflexes à répéter
La DGFiP rappelle une règle simple : l’administration fiscale ne demande jamais d’identifiants ni de numéro de carte bancaire par message. En cas de doute sur un courrier électronique ou un SMS, il faut éviter de cliquer, ne pas répondre, et contacter directement son service des impôts via la messagerie sécurisée ou par téléphone. En cas de suspicion d’utilisation frauduleuse de données personnelles, il est recommandé de conserver toutes les preuves et de consulter le site Cybermalveillance.gouv.fr.
 

Pour les conseillers en gestion de patrimoine, l’alerte a un effet direct : elle peut concerner un nombre significatif de clients, donc générer des inquiétudes et des sollicitations. Le rôle du conseil est alors de ramener la discussion au concret : vérifier les opérations inhabituelles, renforcer l’hygiène numérique, rappeler les canaux officiels, et éviter les réactions disproportionnées. Ce type d’incident crée un environnement propice aux arnaques « à rebond » ; la prévention est donc autant psychologique que technique, car la crédibilité d’un message frauduleux repose souvent sur la peur et l’urgence.
 

Ce que les clients peuvent faire, concrètement
Sans céder à la panique, quelques gestes simples réduisent le risque : se méfier de tout message qui exige une action immédiate, activer quand c’est possible les alertes de l’établissement bancaire, et vérifier régulièrement la présence d’opérations inhabituelles. En cas de tentative d’escroquerie, conserver les captures d’écran, les numéros appelants et les contenus de messages facilite les démarches. Et si un échange semble provenir d’un organisme public, le bon réflexe est de passer par un canal indépendant : retrouver soi-même le numéro officiel, ou se connecter à son espace en ligne via son navigateur.
 

Pour les professionnels du conseil, l’incident est aussi un rappel de méthode : sécuriser les échanges avec les clients, éviter les demandes d’informations sensibles par e-mail, et prévenir en amont des scénarios d’arnaques les plus fréquents. Plus un message paraît « personnalisé », plus il faut ralentir et vérifier. C’est dans ces moments, quand l’actualité crée du bruit, que les fraudeurs trouvent leurs meilleures fenêtres de tir.
 

Source : Communiqué DGFiP, février 2026.