IBAN divulgué ou volé : quels risques et comment se protéger

Un courriel vous annonce que vos données ont fuité chez un fournisseur, une mutuelle ou un club de sport, et que votre IBAN fait partie du lot. Faut-il paniquer ? Non, mais il faut agir. Un IBAN ne permet pas de vider un compte comme le ferait un numéro de carte, mais il ouvre la porte à plusieurs fraudes bien connues. Voici ce qu’un escroc peut en faire, et les gestes recommandés par la CNIL et par le ministère de l’Intérieur sur sa plateforme Ma Sécurité.

Que peut faire un escroc avec votre IBAN ?

Selon la CNIL, des pirates peuvent d’abord émettre des prélèvements illégitimes sur votre compte. Ils peuvent aussi usurper votre IBAN lors de la création d’un mandat de prélèvement : ils souscrivent un service en indiquant vos coordonnées bancaires, et c’est vous qui payez.

Le danger ne s’arrête pas là. Les données volées peuvent être revendues ou croisées avec celles d’autres fuites, rappelle la CNIL. Un fraudeur qui connaît votre nom, votre adresse, votre téléphone et votre banque devient beaucoup plus crédible. Trois scénarios reviennent souvent :

• L’hameçonnage ciblé : un SMS ou un courriel qui semble venir de votre banque ou d’un organisme connu, avec des informations exactes vous concernant.
• Le faux conseiller bancaire : au téléphone, il vous presse de valider un paiement « en urgence » pour soi-disant bloquer une fraude. D’après l’Observatoire des moyens de paiement, cité par Ma Sécurité, environ un tiers (32 %) de la fraude à la carte en 2024 venait d’escrocs se faisant passer pour des conseillers bancaires.
• La fraude à la carte SIM (SIM swapping) : muni de vos données, le fraudeur obtient une nouvelle carte SIM auprès de votre opérateur et reçoit alors vos SMS, vos appels et vos codes à usage unique.

Enfin, un IBAN mêlé à d’autres données personnelles peut servir à une usurpation d’identité : la CNIL conseille alors de vérifier qu’aucun compte n’a été ouvert à votre nom à votre insu.

Les gestes à faire dès que vous apprenez la fuite

La CNIL précise qu’elle ne peut pas vous confirmer si vos données figurent dans une fuite : c’est à l’organisme concerné qu’il faut s’adresser. Elle déconseille aussi les sites qui prétendent pouvoir le vérifier. Ensuite, suivez ces étapes :

1. Surveillez vos comptes régulièrement et repérez toute opération que vous ne reconnaissez pas.
2. Vérifiez la liste des créanciers autorisés dans votre espace de banque en ligne. Un créancier inconnu doit vous alerter.
3. Faites opposition si besoin. Si des opérations suspectes concernent votre carte, Ma Sécurité recommande de contacter votre banque le plus vite possible pour la bloquer.
4. Lisez attentivement tout mandat prérempli ou toute prétendue « mise à jour » de vos coordonnées : contrôlez le nom et les informations du créancier avant de valider.
5. Changez vos mots de passe, en commençant par les services importants : messagerie, impôts, banques, sites de commerce en ligne. N’utilisez pas deux fois le même mot de passe ; un gestionnaire de mots de passe aide.
6. Activez l’authentification multifacteur partout où vos services de confiance la proposent.

Déjouer l’hameçonnage et les faux conseillers

Après une fuite, les messages frauduleux peuvent paraître très crédibles. La CNIL donne des règles simples :

• n’ouvrez pas les pièces jointes, ne répondez pas et ne cliquez pas sur les liens d’un SMS ou d’un courriel douteux ;
• pour accéder à un service, saisissez vous-même son adresse officielle dans votre navigateur ;
• si un « conseiller » vous appelle pour valider un paiement en urgence, raccrochez, puis appelez votre conseiller au numéro qui figure sur vos relevés de compte.

Côté téléphone mobile, signalez à votre opérateur toute perte inexpliquée d’accès au réseau : c’est le signe typique d’une fraude à la carte SIM.

Si la fraude a déjà eu lieu : les démarches

1. Prévenez votre banque sans attendre et faites opposition sur le moyen de paiement concerné.
2. Portez plainte auprès de la police ou de la gendarmerie en cas d’usurpation d’identité, d’arnaque ou de paiements frauduleux. Ma Sécurité propose un outil pour trouver le point d’accueil le plus proche, ainsi que la démarche en ligne Perceval pour signaler une fraude à la carte bancaire.
3. Cherchez de l’aide en ligne sur 17Cyber.gouv.fr, service commun de la police nationale, de la gendarmerie et de cybermalveillance.gouv.fr, cité par la CNIL.
4. Si l’usurpation d’identité est confirmée, vérifiez votre éventuelle inscription au fichier des incidents de remboursement des crédits aux particuliers de la Banque de France, et consultez le fichier FICOBA depuis votre espace particulier sur impots.gouv.fr (rubrique « Autres services ») pour repérer un compte ouvert à votre insu.
5. Saisissez la CNIL par une plainte si vous estimez que l’organisme n’a pas suffisamment protégé vos données.

Pensez aussi à vos proches : s’ils peuvent être concernés par la même fuite, transmettez-leur ces conseils, surtout aux personnes âgées ou peu à l’aise avec Internet.

Ce que l’organisme victime de la fuite doit faire

Une entreprise qui subit une violation de données doit la notifier à la CNIL, en décrivant sa nature, ses conséquences et les mesures prises. Lorsque la fuite présente un risque élevé, elle doit en principe informer directement les personnes concernées. L’enjeu est massif : la CNIL a reçu 5 629 notifications de violation en 2024, soit 20 % de plus qu’en 2023. Pour une TPE qui conserve les IBAN de ses clients ou de ses salariés, c’est un rappel utile.

Questions fréquentes

Peut-on vider mon compte avec mon seul IBAN ?

Les risques cités par la CNIL sont les prélèvements illégitimes et l’usurpation de votre IBAN dans un mandat de prélèvement. D’où l’importance de surveiller vos comptes et la liste de vos créanciers autorisés.

Comment savoir si mon IBAN fait partie d’une fuite ?

Adressez-vous à l’organisme qui a subi la fuite. La CNIL indique qu’elle ne peut pas vous le confirmer et déconseille les sites qui prétendent le vérifier.

Faut-il changer de compte bancaire ?

Les sources consultées ne le recommandent pas systématiquement. Elles conseillent surtout de surveiller les opérations, de contrôler les créanciers et de faire opposition en cas d’anomalie. Pour votre situation, demandez conseil à votre banque.

Un conseiller de ma banque m’appelle pour valider une opération : que faire ?

Raccrochez et rappelez votre conseiller au numéro inscrit sur vos relevés.

Où porter plainte ?

Auprès de la police ou de la gendarmerie pour une fraude ou une usurpation d’identité, et auprès de la CNIL si vos données n’ont pas été suffisamment protégées par l’organisme.

Sources

• Fuite de données sur internet et vol de votre IBAN : comment vous protéger si vous êtes concerné ? — CNIL, 2025-08-08
• Vol de coordonnées bancaires — Ma Sécurité (ministère de l'Intérieur), 2026-04-03