Les guides
Mon IBAN a fuité : quels risques, que faire ?
C’est la ligne qui inquiète le plus dans un bilan de fuite, et on comprend pourquoi : un numéro de compte bancaire ne se change pas comme un mot de passe. Voici ce qu’un IBAN permet vraiment, ce qu’il ne permet pas, et les trois gestes qui suffisent dans la plupart des cas.
Ce qu’un IBAN permet, et ce qu’il ne permet pas
Un IBAN identifie votre compte. C’est une donnée que vous communiquez souvent : à votre employeur pour le salaire, à votre bailleur, à votre opérateur, à votre assurance. Elle n’a jamais été faite pour rester secrète, et c’est plutôt rassurant.
Avec votre IBAN seul, on ne peut pas retirer d’argent, faire un virement depuis votre compte ni se connecter à votre banque en ligne. Un virement part de votre espace bancaire, protégé par vos identifiants, pas du numéro de compte.
Ce qu’on peut tenter : mettre en place un prélèvement. Un prélèvement suppose normalement un mandat signé, mais un fraudeur peut en déclencher un sans mandat valable, en espérant que vous ne regardiez pas vos relevés. C’est réversible, et la loi prévoit pour cela des délais de contestation longs.
Le risque le plus sérieux n’est pas celui qu’on croit
Dans la pratique, un IBAN volé sert surtout à rendre une arnaque crédible. Quelqu’un qui vous appelle « du service fraude de votre banque » en connaissant votre nom, votre agence et les derniers chiffres de votre compte obtient une confiance qu’un inconnu n’aurait jamais. Vient ensuite la demande : valider une opération dans l’application, lire un code reçu par SMS ou « mettre vos fonds à l’abri » sur un autre compte.
Une règle vaut toutes les protections techniques : une banque ne demande jamais de valider une opération, de communiquer un code ou de déplacer de l’argent par téléphone. Si on vous le demande, quelle que soit la qualité du discours, mieux vaut raccrocher et rappeler le numéro inscrit au dos de votre carte. Le guide arnaques après une fuite détaille les scénarios.
Les trois gestes qui suffisent
- Regarder vos relevés une fois par mois. C’est la seule façon de repérer un prélèvement frauduleux, souvent de petit montant pour passer inaperçu. Les notifications de mouvement de votre application bancaire aident aussi.
- Contester ce que vous ne reconnaissez pas. En zone SEPA, un prélèvement que vous n’avez jamais autorisé se conteste jusqu’à treize mois après le débit, et dans les huit semaines s’il s’agit d’un prélèvement autorisé dont vous contestez le montant. La demande se fait par écrit à votre banque, qui doit en principe rembourser un prélèvement non autorisé.
- Utiliser les outils de contrôle des prélèvements. La plupart des banques permettent, depuis l’application ou l’espace en ligne, de bloquer un émetteur, de plafonner les prélèvements ou de n’autoriser que des émetteurs connus. C’est gratuit et ça ferme la porte durablement.
Faut-il changer de RIB ?
Rarement. Changer de numéro de compte veut dire reprendre le salaire, les prélèvements, les abonnements, les remboursements de santé : des semaines de démarches, avec un risque d’oubli à chaque ligne.
La question se pose vraiment dans un seul cas : des tentatives répétées malgré les blocages. Votre conseiller est alors le bon interlocuteur : il verra si une restriction des émetteurs suffit ou si le changement se justifie.
Le cas français : la fuite Free d’octobre 2024
Si vous lisez ce guide, c’est peut-être à cause d’elle. La cyberattaque contre l’opérateur Free a exposé, pour une partie des abonnés Freebox, l’IBAN utilisé pour le prélèvement de l’abonnement, en plus des noms, adresses et téléphones. Le détail est sur notre page la fuite Free.
Free n’est pas la seule : d’autres fuites de notre registre contiennent aussi des IBAN. Pour savoir si votre adresse email est dans l’une d’elles, vous pouvez faire le bilan gratuit.
Les gestes ci-dessus s’appliquent tels quels. Une donnée bancaire exposée ne « périme » pas : le risque ne disparaît pas au bout de quelques mois. Il devient une vigilance de fond, ce qui n’est pas une urgence.