L’affaire a commencé fin janvier 2026, lorsqu’un accès anormal est détecté au sein du Fichier des comptes bancaires (FICOBA), base nationale recensant l’ensemble des comptes bancaires ouverts en France. Ce n’est que le 18 février qu’elle a été dévoilée au grand public, dans un communiqué du ministère de l’Économie.
Ce fichier, administré par la Direction générale des finances publiques, contient des données telles que l’identité des titulaires, leurs adresses, les établissements bancaires, les numéros IBAN et, dans certains cas, des éléments à caractère fiscal. Environ 1,2 million de comptes auraient été consultés de manière frauduleuse.
L’intrusion ne résulterait pas d’un piratage technique du système central, mais de l’usurpation des identifiants d’un agent disposant d’un accès légitime, révélant une faille dans les mécanismes de contrôle interne. Si les soldes et opérations bancaires n’ont pas été compromis, la divulgation de coordonnées bancaires expose les usagers à des risques accrus de fraude et d’usurpation d’identité. Le ministère a déposé plainte et saisi la CNIL afin d’évaluer le respect des obligations du RGPD.
Cette affaire soulève d’importantes questions relatives à l’obligation de sécurité pesant sur l’administration en tant que responsable de traitement. Le RGPD impose des mesures techniques et organisationnelles appropriées : protection contre les accès non autorisés, authentification forte, gestion rigoureuse des habilitations et traçabilité des accès aux bases sensibles. L’usurpation des identifiants d’un agent laisse supposer une insuffisance des dispositifs de contrôle interne, alors que la nature bancaire et fiscale des données traitées appelle un niveau d’exigence particulièrement élevé.
En cas de manquement caractérisé, la CNIL pourrait prononcer des mesures correctrices, voire des sanctions ; la responsabilité administrative de l’État pourrait également être engagée. Cet événement met une nouvelle fois en lumière les fragilités persistantes de la cybersécurité des fichiers publics sensibles en France.
Sources : Franceinfo ; France 24.