Fuite de 143 000 IBAN à l’État : ce qu’un pirate peut vraiment faire avec votre IBAN (et ce qu’il ne peut pas)

Encore une, et pas des moindres. L’Agence de services et de paiement (ASP), un organisme public qui verse de nombreuses aides de l’État, a confirmé une fuite de données touchant les bénéficiaires d’un dispositif d’aide à l’énergie. Selon les informations rapportées, plus de 143 000 personnes verraient leurs coordonnées exposées, avec cette fois un élément qui inquiète particulièrement : leur IBAN.

Dès qu’on entend « coordonnées bancaires volées », la panique monte. À raison ? En partie seulement. Car un IBAN volé n’est pas une carte bancaire volée, et comprendre précisément ce qu’un escroc peut, et ne peut pas, faire avec est la clé pour réagir intelligemment plutôt que dans l’affolement. Décryptage.

Ce que l’on sait de la fuite

D’après la notification adressée aux personnes concernées, l’incident s’est produit le 27 août 2026 et a été détecté dès le lendemain. La cause, une fois de plus, est d’une banalité frappante : un accès frauduleux à un compte utilisateur du portail lié au dispositif d’aide, en l’occurrence le « Coup de pouce énergie » de certaines régions. L’ASP précise que rien n’indique une compromission de l’ensemble de son système : c’est un compte du portail qui a été détourné.

Les documents exfiltrés seraient des avis de paiement contenant :

• les noms et prénoms ;
• les adresses postales ;
• les numéros de bénéficiaire ;
• les coordonnées bancaires (IBAN et BIC) ;
• les montants des aides versées.

Le chiffre de plus de 143 000 personnes provient de l’analyse de médias spécialisés, un forum cybercriminel revendiquant précisément 143 518 dossiers ; il n’émane pas de la notification officielle. Point aggravant : ce n’est pas le premier incident de l’année pour l’ASP. En avril 2026, un autre de ses portails, lié à la rémunération des stagiaires, avait déjà laissé fuiter identités, numéros de Sécurité sociale et IBAN.

Un IBAN volé : démêlons le vrai du faux

C’est le cœur du sujet. Contrairement à une idée très répandue, un IBAN seul ne permet pas de vider votre compte. Votre IBAN n’est pas un mot de passe : c’est une simple coordonnée, que vous communiquez d’ailleurs régulièrement à votre employeur, à vos clients ou à des organismes pour être payé. Le connaître ne donne pas les clés de votre compte.

Cela dit, « pas de panique » ne veut pas dire « aucun risque ». Voici ce qu’un escroc peut réellement tenter avec votre IBAN, et comment vous êtes protégé.

Le risque réel : le prélèvement frauduleux

Le principal danger d’un IBAN volé, c’est la mise en place de prélèvements SEPA non autorisés. Un fraudeur peut tenter de faire passer des prélèvements en se servant de votre IBAN, en espérant qu’ils passent inaperçus au milieu de vos opérations habituelles.

La bonne nouvelle, c’est que la réglementation européenne vous protège solidement sur ce point : vous disposez d’un délai de 13 mois pour contester un prélèvement non autorisé et en obtenir le remboursement (ce délai est ramené à 8 semaines pour un prélèvement autorisé mais contesté). Encore faut-il le repérer, d’où l’importance de surveiller vos comptes.

Le risque indirect, et le plus grave : le phishing ciblé

Au-delà du prélèvement, le vrai danger de cette fuite est ailleurs. En combinant votre nom, votre adresse, votre IBAN et le montant d’une aide sociale que vous avez réellement perçue, un escroc dispose de tout le nécessaire pour un hameçonnage d’un réalisme redoutable. Imaginez un courrier ou un e-mail se présentant comme l’ASP ou votre région, mentionnant le bon dispositif et le bon montant, et vous demandant de « confirmer vos coordonnées » ou de « régulariser un versement ». La fuite fournit les munitions ; votre vigilance est le bouclier.

C’est d’autant plus sensible que les bénéficiaires de cette aide sont, par définition, des foyers modestes, souvent plus vulnérables face à ce type de manipulation.

Concerné par la fuite ? Les bons réflexes

Si vous avez perçu le « Coup de pouce énergie » ou dans le doute, voici comment réagir sans céder à la panique :

1. Surveillez vos relevés bancaires de près dans les prochains mois. Traquez tout prélèvement inhabituel, même de petit montant : les fraudeurs testent parfois avec de faibles sommes. Au moindre doute, contestez auprès de votre banque.
2. Mettez en place une surveillance renforcée. Vous pouvez demander à votre banque la liste de vos mandats de prélèvement actifs, et faire opposition à un émetteur suspect. Certaines banques permettent aussi de « verrouiller » les prélèvements de tiers inconnus.
3. Traitez tout message « ASP », « région » ou « aide énergie » avec méfiance. Un courrier ou message mentionnant votre aide n’est pas légitime pour autant. Ne cliquez sur aucun lien, ne renvoyez aucune coordonnée : contactez directement l’organisme via ses canaux officiels connus.
4. Aucun organisme public ne vous demandera votre mot de passe, un code reçu par SMS ou une « confirmation » de RIB par e-mail pour continuer à vous verser une aide. Cette règle déjoue l’essentiel des arnaques.
5. Méfiez-vous du faux conseiller bancaire. Une fuite de coordonnées bancaires est souvent suivie d’appels d’escrocs se faisant passer pour votre banque, prétextant justement une « fraude sur votre compte » pour vous faire valider des opérations. Raccrochez et rappelez le numéro au dos de votre carte.

Et vos comptes en ligne dans tout ça ?

L’IBAN n’a pas fuité seul : il est venu avec un jeu complet de données personnelles, qui alimentera les campagnes de phishing des mois à venir. Or ces campagnes visent, in fine, à s’emparer de vos comptes. C’est là que votre hygiène numérique fait la différence :

• Des mots de passe uniques et robustes pour chaque compte, à commencer par votre banque en ligne et votre messagerie. Ainsi, même si une arnaque vous soutire un identifiant, elle n’ouvre pas le reste. Générez-les en quelques secondes avec FortixPass.
• La double authentification partout où c’est possible : un identifiant volé devient alors inutilisable seul.

Ce qu’il faut retenir

La fuite à l’ASP confirme deux choses. D’abord, le refrain devenu monotone de l’année : un accès mal protégé (ici un compte utilisateur détourné) suffit à exposer les données de plus de 143 000 personnes. Ensuite, une vérité utile pour garder la tête froide : un IBAN volé n’est pas une catastrophe immédiate, car la loi vous protège des prélèvements non autorisés sur une longue période. Le vrai danger n’est pas l’IBAN en lui-même, c’est l’usage qu’en feront les escrocs pour rendre leurs arnaques crédibles.

La parade ne change pas : surveiller ses comptes, ne jamais donner suite à une sollicitation entrante, et verrouiller ses accès avec des mots de passe uniques et une double authentification. Prenez cinq minutes pour sécuriser vos comptes sur FortixPass, et cette fuite restera pour vous une simple vigilance à maintenir, pas un problème.

Cet article a une visée informative et ne constitue pas un conseil juridique ou financier. Pour une situation personnelle, rapprochez-vous de votre banque ou d’un professionnel du droit.