Aller au contenu
France Cyberwatch
enfr

Retour aux incidents

31 janvier 2026

DGFiP / FICOBA

Administration Finances / fiscalité

Critique Confirmé

De fin janvier au 13 février 2026, un attaquant a utilisé les identifiants d’un fonctionnaire extérieur à la DGFiP habilité à interroger FICOBA dans le cadre des échanges interministériels. Environ 1,2 million d’enregistrements de comptes bancaires — moins de 1 % du fichier — ont été consultés ou extraits.

Le chiffre de 1,2 million désigne des comptes bancaires, pas des personnes uniques. Une personne peut détenir plusieurs comptes, et un compte peut avoir plusieurs titulaires.

Faits datés dans le dossier public

  1. Début des consultations illégitimes de FICOBA à l’aide des identifiants d’un fonctionnaire habilité extérieur à la DGFiP.

  2. Dernier jour de la fenêtre d’accès illégitime indiquée dans les réponses parlementaires ultérieures.

  3. La DGFiP procède à sa première notification à la CNIL, selon une réponse parlementaire ultérieure.

  4. Le ministère des Finances rend public l’incident et le périmètre d’environ 1,2 million de comptes.

  5. La DGFiP complète sa notification à la CNIL.

  6. Les banques commencent à recevoir, par voie sécurisée, les informations sur leurs comptes figurant dans l’ensemble consulté.

  7. Réponse parlementaire : le compte compromis appartenait à une autre administration, et non à une faille logicielle de FICOBA.

Comment cela s’est passé

L’attaque a utilisé des identifiants valides rattachés à un utilisateur interministériel habilité, extérieur à la DGFiP. Les autorités n’ont pas publié comment ces identifiants ont été volés. Une réponse parlementaire indique que l’incident vient de l’usage d’un compte dans une administration tierce, et non d’une vulnérabilité logicielle de FICOBA.

Ce qui a été exposé

Identifiants de comptes bancaires (RIB, IBAN), identité du titulaire et adresse postale. Le ministère des Finances a indiqué que l’identifiant fiscal n’avait pas été consulté lors des accès illégitimes.

Ce qui n’était pas dans le périmètre

FICOBA ne contient ni soldes ni historiques d’opérations. L’incident n’a pas compromis les mots de passe bancaires, les mots de passe impots.gouv.fr ni l’accès aux espaces fiscaux sécurisés. Un IBAN est sensible pour la fraude, mais ce n’est pas un identifiant qui donne le contrôle d’une banque en ligne.

Ce que cela a changé concrètement

Les préjudices en aval les plus crédibles sont l’hameçonnage bancaire et fiscal ciblé, la fraude à l’identité et les tentatives de prélèvements non autorisés. La combinaison d’une identité réelle, d’une adresse et d’un IBAN est particulièrement utile pour une arnaque au faux conseiller bancaire ou à l’usurpation administrative.

Ce qui a suivi

La DGFiP a restreint les accès externes, travaillé avec l’ANSSI et les responsables de sécurité du ministère, notifié la CNIL, déposé plainte, contacté les usagers concernés et transmis aux banques les informations compte par compte pour renforcer la surveillance et les alertes clients. Les réponses parlementaires ultérieures indiquent que les accès externes sont restés coupés le temps des travaux de sécurisation.

Ce que les suites ont modifié

Les documents parlementaires ultérieurs confirment le premier récit public et précisent la frontière de sécurité : les identifiants compromis appartenaient à un fonctionnaire extérieur à la DGFiP, et l’incident n’était pas une faille logicielle de FICOBA.

Dans leurs mots

  • usurpé les identifiants d’un fonctionnaire

    Ministère de l’Économie et des Finances, 18 février 2026

  • 1,2 millions de comptes

    Ministère de l’Économie et des Finances, 18 février 2026

Qu’est-ce que cela veut dire ?

Hameçonnage
Un message ou un appel qui imite une vraie organisation pour vous faire donner un mot de passe, un code ou un paiement.
IBAN
Votre numéro de compte bancaire au format international. Le connaître permet à un escroc de paraître crédible ; cela ne suffit pas à prélever de l’argent.
Identifiants
Un couple identifiant / mot de passe, ou la clé équivalente utilisée par une application pour se connecter.