Première question, c’est quoi un IBAN ? C’est l’International Bank Account Number, c’est-à-dire « l’identifiant international de votre compte bancaire auprès d’une institution financière dans un pays donné », rappelle la Banque de France.

• Quels risques pose une fuite de données bancaires ?

C’est quoi un IBAN ?

L’IBAN commence par le code pays (FR pour France, DE pour Allemagne…) et il comprend au maximum 34 caractères alphanumériques. On y retrouve aussi le numéro de compte national (BBAN pour « Basic Bank Account Number ») et une clé de contrôle..

En France, un IBAN dispose de 27 caractères et commence donc par FR. « Il est suivi d’une clé de contrôle, puis du BBAN qui est composé du code banque, du code guichet, du numéro de compte et de la clé RIB du compte français, tels qu’inscrits sur le relevé d’identité bancaire (RIB) ». Un RIB est donc rattaché à votre compte, et on ne peut pas le changer sans changer de compte.

La Banque rappelle que l’IBAN est nécessaire pour un prélèvement ou un virement SEPA, mais aussi pour des transactions internationales. En cas de fuite, quels sont les risques ?

Risque de phishing

Le premier concerne la réutilisation des données personnelles de votre IBAN pour se faire passer pour votre banque et/ou un service auquel vous êtes abonné. Les pirates peuvent alors tenter de vous soutirer davantage d’informations ou un paiement par carte bancaire, prétextant par exemple un problème avec un prélèvement.

Prudence donc si une personne se présente comme un conseiller Free ou SFR dans le cas présent, mais cette prudence doit s’étendre à toutes les personnes qui vous contactent en affirmant appartenir à telle ou telle société. N’oubliez pas non plus le risque de spoofing, qui consiste à afficher un autre numéro que celui de l’appelant.

• Arnaque au faux conseiller bancaire : pas de « négligence grave » de la victime, tranche la justice

Risque de prélèvements frauduleux

Le second risque est évidemment un prélèvement frauduleux sur votre compte. La Banque de France affirme que « communiquer son RIB n’est pas risqué en soi », mais elle ajoute bien rapidement que, « comme pour tout document contenant des informations personnelles, il convient de bien identifier la personne à laquelle vous communiquez un RIB. Un escroc pourrait utiliser ces informations de manière malveillante (ex : usurpation d’identité) ».

En théorie, « pour qu’un bénéficiaire prélève votre compte, vous devez l’en autoriser en signant un mandat de prélèvement ». En pratique, la vérification de la signature est plus ou moins stricte… Néanmoins, « si vous constatez un prélèvement non autorisé, il est possible de le contester auprès de votre banque, qui devra remettre votre compte dans l’état où il se serait trouvé avant cette opération », nous y reviendrons.

Les signatures des prélèvements se font généralement de manière électronique. Des pirates peuvent donc utiliser des IBAN récoltés suite à des fuites. Par exemple, lors de la souscription à un forfait Sosh (mais c’est aussi le cas pour bon nombre d’autres services), la signature consiste à recevoir par SMS ou email un code à saisir, puis à cliquer sur autoriser.

Si des personnes malintentionnées pourraient utiliser un IBAN récupéré sur Internet pour s’abonner à des services en ligne, ce n‘est qu’un exemple parmi d’autres. Le risque d’avoir des prélèvements frauduleux est réel et doit être pris au sérieux.

Entre 70 jours et 13 mois pour contester

Pour éviter le drame, il est important de surveiller son compte régulièrement afin de détecter au plus vite des opérations frauduleuses. « Pour contester un prélèvement non autorisé, le délai est de 13 mois après la date du débit », explique Service Public. Mais attention, c’est uniquement le cas en Europe.

« Lorsque l'établissement du bénéficiaire du paiement se situe en dehors de l'Union européenne ou de l'Espace économique européen (EEE) ce délai est ramené à 70 jours. Il peut éventuellement être prolongé par contrat, sans toutefois dépasser 120 jours ». Si le pirate est en dehors de l’Europe, le délai varie entre deux et quatre mois, d’où l’intérêt d’être attentif.

« La banque doit vous rembourser la somme débitée au plus tard à la fin du premier jour ouvrable suivant la réception de votre demande. Si des frais bancaires vous ont été prélevés, ils devront vous être remboursés », ajoute le Service Public. Ce dernier propose aussi un modèle de lettre pour contester une opération.

Petite précision : ce que nous venons d’expliquer est valable en cas de prélèvement non autorisé. Si vous l’avez autorisé, les risques ne sont pas les mêmes : « Vous devez faire votre demande de contestation dans un délai de 8 semaines après la date du débit. Dans ce cas, la banque vous rembourse dans les 10 jours ouvrables suivant la réception de votre demande. Si des frais bancaires vous ont été prélevés, ils devront vous être remboursés ».

Mettre en place des listes noires ou blanches

Suivant les banques, il est possible de mettre en place des protections pour encadrer les créanciers autorisés à prélever ou non sur votre compte. La Banque Postale dresse une liste :

• La liste noire permet de bloquer tout prélèvement SEPA provenant d'un (ou plusieurs) créancier(s) sur votre compte.
• La liste blanche permet de n'autoriser que les prélèvements SEPA initiés par un ou plusieurs créanciers préalablement identifiés par le client.
• Le filtre permet de limiter les prélèvements selon les critères suivants (critères cumulables) :
  • montant maximum par prélèvement,
  • nombre maximum de prélèvements sur une période définie.
• Le blocage permet de bloquer tout prélèvement sur votre compte (quel que soit le créancier).

Dans le cadre d’un dossier sur le prélèvement SEPA, l’UFC-Que Choisir donne une lettre type à envoyer à votre banque pour « empêcher le passage de prélèvements non-désirés ». Nos confrères ajoutent que « votre banquier a l’obligation d’accepter vos demandes de blocage de tout prélèvement, à l’exception d’entreprises identifiées par vous (liste blanche) ».

Les banques permettent de voir la liste des autorisations de prélèvement accordées dans votre espace client, pensez à faire un tour sur votre compte pour vérifier que tout est en ordre.