Votre IBAN a fuité ? Surveillez vos relevés, contrôlez vos créanciers de prélèvements, méfiez-vous des faux conseillers. Un IBAN ne permet pas de vider un compte, mais il sert à monter des prélèvements frauduleux et des appels très crédibles. L’affaire Bourse Direct du 28 octobre 2026 (800 comptes touchés) le rappelle.
Dans la nuit du mardi 27 au mercredi 28 octobre 2026, le courtier en ligne Bourse Direct a subi une intrusion. Le 30 octobre, les clients concernés recevaient un courriel de notification : leur nom, leur numéro de compte client et leur IBAN avaient été exposés. Le 31 octobre, la rédaction de Cyberattaque.org confirme auprès de la société que 800 comptes sont touchés sur près de 435 000 clients à fin septembre 2026 (soit environ 0,18 %, chiffres Cyberattaque.org).
Ce cas illustre une situation qui touche aussi bien les clients de courtiers que ceux de mutuelles, d’associations ou de sites marchands. L’IBAN est un identifiant bancaire qui désigne votre compte, rien de plus. Il circule dans presque tous les paiements par virement ou par prélèvement, donc il finit par fuiter. Voici ce qu’un IBAN fuité permet vraiment, et surtout la liste des gestes qui comptent.
Contrairement à un mot de passe, un IBAN n’est pas une clé d’accès. Bourse Direct le rappelle dans sa propre notification : ces informations ne permettent pas, à elles seules, d’accéder aux comptes ni d’y effectuer des opérations. Impossible, avec un simple IBAN, de faire un virement sortant depuis votre compte. Personne ne peut se connecter à votre espace bancaire avec ces coordonnées.
Le vrai risque est ailleurs. La CNIL explique qu’un pirate peut émettre des ordres de prélèvement illégitimes ciblant les IBAN obtenus frauduleusement, ou usurper votre IBAN en le communiquant lors de la création d’un mandat de prélèvement, par exemple pour souscrire un abonnement à votre place. Le mécanisme SEPA exige normalement un mandat signé par le titulaire du compte : la CNIL invite donc à rester vigilant sur les informations décrivant le créancier quand un mandat prérempli arrive.
| Avec votre IBAN fuité, un fraudeur peut… | Il ne peut pas… |
|---|---|
| Tenter des prélèvements SEPA frauduleux via un mandat monté à votre insu (source : CNIL) | Se connecter à votre espace bancaire |
| Vous appeler en se faisant passer pour votre banque, avec votre nom et vos références sous la main | Faire un virement sortant depuis votre compte |
| Monter des messages d’hameçonnage crédibles, personnalisés avec vos données | Retirer de l’argent à un guichet ou payer avec votre carte |
C’est la question que posent les clients de Bourse Direct depuis le 30 octobre. La démarche tient en trois gestes, dans cet ordre.
1. Surveillez vos relevés. Dans votre espace bancaire en ligne, vérifiez la liste des créanciers autorisés, c’est-à-dire ceux qui peuvent prélever sur votre compte. La CNIL recommande ce contrôle comme premier réflexe. Tout créancier inconnu ou libellé qui cloche doit être signalé à votre banque sans attendre.
2. Contester tout prélèvement non autorisé. La règle est fixée par la réglementation SEPA : un prélèvement que vous n’avez pas autorisé se conteste dans les 13 mois suivant le débit, comme le rappelle la Banque de France. La banque doit alors rembourser l’opération contestée. Si vous avez autorisé le mandat mais que le montant était erroné, le délai est plus court, 8 semaines.
3. Anticipez les appels de faux conseillers. C’est le risque le plus concret de cette affaire. Un fraudeur qui connaît votre nom, votre numéro de client et votre IBAN sonne crédible au téléphone. Il peut évoquer un problème de sécurité ou une vérification réglementaire, puis vous demander un code de validation ou un transfert vers un prétendu compte sécurisé. Bourse Direct met ses clients en garde contre exactement ce scénario. Si un appel vous presse, raccrochez, puis rappelez votre établissement au numéro figurant sur vos relevés.
Aucun solde, aucun titre, aucun mot de passe n’a fui. L’incident reste réel parce que la combinaison nom + référence + IBAN relie une identité à une relation bancaire précise. Le numéro de client donne du poids à un faux conseiller qui vous appelle : il peut citer une référence exacte que vous croyez secrète. La CNIL avait déjà couvert ce cas dans une fiche d’août 2025 consacrée aux fuites d’IBAN, signal que le problème dépasse largement ce courtier.
Si vous avez reçu le courriel de notification, appliquez les trois gestes ci-dessus et gardez le courriel. La société indique avoir contenu l’incident, renforcé ses mesures de sécurité et engagé la notification auprès des autorités compétentes. Son service client est joignable au 01 56 88 90 90 (choix 1) ou par la messagerie sécurisée de l’espace personnel. Un doute sur un message reçu ? Ne cliquez sur aucun lien et passez par le site officiel saisi à la main dans votre navigateur.
Changer d’IBAN sur un coup de tête n’est pas une procédure prévue : le numéro désigne le compte lui-même : en changer suppose de changer de compte. Changer son mot de passe bancaire après une fuite d’IBAN ne protège contre rien, puisque le mot de passe n’a pas fui. Quant aux sites qui promettent de vous dire si vos données circulent, la CNIL déconseille de les utiliser : seul l’organisme responsable de la fuite peut vous confirmer votre cas.
Une fuite d’IBAN se gère avec de la surveillance et du calme, pas avec des gestes spectaculaires. Contrôlez vos relevés régulièrement, vérifiez vos créanciers de prélèvement, contestez dans les 13 mois ce qui n’a pas été autorisé et traitez chaque appel bancaire inattendu comme suspect tant que preuve n’est pas faite. Si l’affaire s’étend à une usurpation d’identité, Cybermalveillance.gouv.fr accompagne gratuitement les victimes, et une plainte au commissariat ou à la gendarmerie s’impose. Pour aller plus loin sur les mots de passe, lisez que faire en cas de mot de passe compromis et comment vérifier si votre email a fuité.
Sources : Cyberattaque.org, notification de Bourse Direct et confirmation de la société (30 octobre 2026) ; Fuites Infos, fiche incident Bourse Direct (30 octobre 2026) ; CNIL, « Fuite de données et vol de votre IBAN : comment vous protéger », 8 août 2025 ; Banque de France, FAQ prélèvement SEPA.
