Piratage FICOBA au ministère des Finances : 1,2 million de comptes bancaires exposés

Un scénario de film pour une faille bien réelle

Tout a commencé discrètement à la fin du mois dernier. Un pirate informatique a réussi à mettre la main sur les accès personnels d'un fonctionnaire. Ce dernier disposait de droits légitimes pour consulter le fichier national dans le cadre d'échanges entre les différents ministères. En usurpant cette identité, l'attaquant a pu naviguer dans les bases de données sans déclencher d'alerte immédiate, comme s'il faisait partie de la maison. C'est le genre de faille humaine ou technique qui rappelle que même les coffres-forts numériques de l'État ne sont jamais totalement à l'abri d'un coup bien préparé.

Ce que les pirates ont vraiment récupéré

On parle ici de 1,2 million de comptes concernés sur les quelques 300 millions que compte l'Hexagone. C'est à la fois beaucoup et peu, mais pour ceux qui sont dans le lot, les informations ne sont pas anodines. Le malfaiteur a pu mettre la main sur des RIB, des IBAN, mais aussi les noms, prénoms et adresses des titulaires. Dans certains cas, même l'identifiant fiscal a été aspiré. Par contre, et c'est le point positif, les soldes de vos comptes ou le détail de vos dernières courses n'ont pas été touchés. On ne parle pas d'un braquage de banque virtuel, mais plutôt d'un vol massif de cartes de visite ultra-détaillées.

La contre-attaque de Bercy s'organise

Dès que les services de la Direction générale des Finances publiques ont détecté l’intrusion, ils ont coupé les vannes. Les accès ont été verrouillés en urgence pour stopper l'hémorragie et empêcher que le compteur ne grimpe au-delà du million de victimes. Désormais, c'est le branle-bas de combat avec l'ANSSI et les experts en cybersécurité pour sécuriser tout ça et comprendre comment une telle usurpation a été possible. Une plainte a été déposée et la CNIL a été prévenue dans la foulée, comme le veut la procédure pour ce genre d'incident sérieux.

Un risque de vagues d'arnaques dans votre boîte mail

Le vrai danger maintenant, il est pour vous, dans votre quotidien. Avec ces infos, des escrocs peuvent monter des arnaques super crédibles. Ils connaissent votre banque, votre adresse et votre nom. Ils pourraient vous envoyer des faux mails demandant de régulariser un paiement ou même tenter de mettre en place des prélèvements frauduleux. Si vous voyez passer un courrier électronique un peu bizarre, même s'il semble venir d'un organisme officiel, ne cliquez sur rien. Le ministère va envoyer des alertes individuelles aux personnes touchées, alors si vous n'avez rien reçu d'ici une semaine, vous avez probablement eu de la chance.

Les bons réflexes pour ne pas se faire avoir

C'est le moment ou jamais de vérifier vos relevés bancaires avec un peu plus d'attention que d'habitude. Si une ligne de prélèvement vous semble inconnue, contactez votre banque directement. Rappelez-vous aussi que l'administration ne vous demandera jamais votre mot de passe ou votre numéro de carte bleue par SMS. Pour vérifier une info, passez toujours par votre espace sécurisé sur le site officiel des impôts plutôt que de suivre un lien reçu sur votre téléphone. En cas de doute, le site cybermalveillance.gouv.fr reste votre meilleur allié pour savoir quoi faire si vous pensez avoir été piégé.

La liste blanche, le bouclier ultime

Une dernière chose, depuis le passage aux normes SEPA, les banques ont l'obligation technique de proposer des outils de contrôle, même si elles ne crient pas toujours sur les toits qu'ils existent. La liste blanche (ou liste positive) est l'option la plus radicale : vous donnez à votre banque les « Identifiants Créanciers SEPA » (ICS) des organismes que vous autorisez (EDF, votre loyer, les impôts, votre opérateur mobile, etc.). Une fois activée, tout prélèvement qui ne vient pas d'un de ces émetteurs est automatiquement rejeté. Si un pirate essaie d'utiliser votre IBAN fuité pour un abonnement ou un crédit, ça bloque net.

Petit bémol : comme ces options demandent un peu de gestion informatique à la banque, certaines s'engouffrent dans la brèche pour facturer l'ajout d'un créancier sur liste blanche ou noire. Cela peut coûter entre 10 € et 15 € par ajout selon les brochures tarifaires. C'est un peu frustrant pour une mesure de sécurité, mais face au risque d'un prélèvement frauduleux de plusieurs centaines d'euros, le calcul est vite fait.

La consultation illégale des informations bancaires avérée par la DGFiP

La confirmation est tombée : la Direction générale des Finances publiques (DGFiP) a commencé à notifier individuellement les victimes de cette intrusion massive. Le message est sans équivoque sur la nature des données siphonnées entre le 28 janvier et le 13 février. Si l’administration tente de rassurer en précisant que les mots de passe des espaces personnels restent sécurisés, elle admet que le fichier FICOBA a bien été forcé.

Désormais, la balle est dans le camp des usagers. Bercy, tout en affirmant avoir porté plainte et alerté la CNIL, renvoie les contribuables vers leurs propres établissements bancaires pour surveiller les mouvements suspects. Un conseil clair : gardez l'œil ouvert, documentez chaque anomalie et ne prenez pas cette alerte à la légère. Le risque de phishing ou d'usurpation d'identité est, lui, bien réel.