FICOBA : comment la fuite de 1,2 million de comptes menace les entreprises

Fuite FICOBA : les entreprises aussi dans la ligne de mire des arnaqueurs

Le 18 février 2026, le ministère de l’Économie annonçait une mauvaise nouvelle qui a largement occupé les médias : 1,2 million de comptes bancaires avaient fait l’objet d’un accès illégitime au sein du fichier national des comptes bancaires (FICOBA). Un acteur malveillant avait usurpé les identifiants d’un fonctionnaire pour accéder à cette base de données gérée par la Direction générale des Finances publiques.

Mais au-delà des particuliers, cette fuite représente une menace bien réelle pour les entreprises, associations et organismes publics. Car le FICOBA, c’est loin d’être une simple base de données de particuliers : il recense l’ensemble des comptes bancaires ouverts en France, sans distinction entre personnes physiques et personnes morales.

Des données partielles, mais exploitables

L’attaque s’est déroulée de façon classique : un cybercriminel a utilisé les accès d’un agent public pour consulter le fichier. Les bonnes nouvelles, c’est que les soldes et les mouvements financiers n’ont pas été exposés. Les mauvaises nouvelles, en revanche, sont plus nombreuses.

Les données d’identification liées aux comptes ont bel et bien été accessibles. Cela inclut le nom du titulaire, l’adresse et, surtout, les références bancaires complètes. Pour une entreprise, cette combinaison d’informations représente un trésor pour les arnaqueurs. Un IBAN précis associé à une raison sociale et une adresse physique constitue la base idéale pour concevoir des fraudes ciblées et convaincantes.

Trois scénarios d’arnaque qui menacent les directions financières

La fraude au faux fournisseur est le risque le plus immédiat. Un escroc disposant des coordonnées bancaires d’une entreprise peut contacter ses partenaires commerciaux en prétendant représenter cette entreprise, en annonçant qu’un nouveau RIB doit être utilisé pour les prochains paiements. Les données vraies tirées du FICOBA renforcent dramatiquement la crédibilité de l’arnaque. Les équipes comptables, bombardées de factures et de demandes de paiement, peuvent facilement se laisser piéger.

La CEO fraud (ou fraude au président) change de cible mais utilise le même ressort. Un message frauduleux arrive au service financier, simulant une instruction urgente du dirigeant ou d’un responsable. Le fait de mentionner un IBAN exact, connu des arnaqueurs grâce à la fuite, crée une pression psychologique redoutable. Le demandeur « connaît » précisément le compte de l’entreprise : cela paraît authentique.

L’ingénierie sociale auprès des fournisseurs fonctionne sur un principe similaire. Un acteur malveillant contacte un partenaire commercial en prétendant représenter l’entreprise dont les données ont fuité. Fort des informations exactes tirées du FICOBA, il peut convaincre de demander un virement d’urgence ou un changement de modalités de paiement. L’usurpation d’identité gagne alors en efficacité.

Au-delà de la fraude directe : le risque réputationnel

Ce qui complique encore la situation, c’est que les entreprises ne sont pas à l’abri d’une autre menace : le risque réputationnel. Si une tentative d’arnaque exploite les données bancaires d’une organisation, même sans la moindre faute de sa part, la confiance des partenaires peut être fragilisée. Les fournisseurs et clients pourraient se montrer plus méfiants, compliquer les processus de paiement ou réévaluer la relation commerciale.

Face à cette exposition de données, les entreprises doivent rapidement intégrer ce risque dans leur stratégie de gestion des risques, leur cartographie des menaces et leurs plans de résilience. Les directions financières, conformité et RSE ont intérêt à sensibiliser les équipes comptables et administratives aux tactiques d’arnaque exploitant des données réelles, et à renforcer les protocoles de vérification avant tout mouvement financier.