D’après la télévision publique flamande VRT, qui a publié l’information le 4 octobre 2026, les données personnelles de 700 000 personnes attribuées à la base d’un réseau wallon de formation en alternance auraient été remises en accès libre sur un forum du dark web. La cyberattaque remonterait au mois de février et la base remise en circulation contiendrait, d’après le site spécialisé qui recense l’annonce et que cite la VRT, environ 85 000 numéros de compte bancaire, aux côtés de l’identité, de l’adresse postale, de l’adresse électronique, du numéro de téléphone et de la date de naissance, avec pour certaines personnes un numéro de registre national belge et des informations bancaires. La VRT précise que des IBAN seuls ne suffiraient pas à exécuter des paiements depuis un compte, mais qu’associés à une identité et à d’autres données personnelles, ils pourraient faciliter certaines formes de fraude et rendre les tentatives d’hameçonnage plus crédibles. À la date de rédaction, aucune fraude individualisée commise grâce à ces données n’a été constatée par une source officielle, et aucune responsabilité n’est établie : les contrats signés priment sur toute analyse générale, et seul le juge décide. Pour un lecteur qui vit en France, qui a suivi une formation en Wallonie ou dont l’IBAN figure dans des fichiers en circulation, la question est directe : comment bloquer les utilisations frauduleuses de son compte, dans quel délai contester, et comment obtenir de sa banque le remboursement des opérations non autorisées. Cet article répond point par point, textes et jurisprudence à l’appui.
I. IBAN publié sur le dark web : que peuvent faire les fraudeurs et comment bloquer votre compte
A. Prélèvement, virement et faux conseiller : ce que l’IBAN permet quand il circule avec votre identité
Un IBAN n’est pas un moyen de paiement à lui seul : connaître le numéro de compte de quelqu’un ne permet pas de retirer de l’argent comme avec une carte et son code. C’est le point que souligne la VRT dans son article du 4 octobre 2026 : les numéros de compte publiés ne suffiraient pas, à eux seuls, à exécuter des paiements. Le risque naît de la combinaison. Quand l’IBAN circule avec l’identité complète, l’adresse, le téléphone et la date de naissance, comme dans les fichiers décrits par la presse belge, plusieurs modes opératoires deviennent possibles, et chacun appelle une parade différente. Le premier est le prélèvement SEPA frauduleux : un créancier n’a besoin que de l’IBAN, du BIC et de l’identité du débiteur pour présenter un mandat de prélèvement, et un mandat fabriqué de toutes pièces peut passer les premiers contrôles avant d’être détecté. Le deuxième est l’ajout de bénéficiaire après hameçonnage : le fraudeur, qui connaît déjà votre identité et votre banque, vous envoie un courriel ou un SMS imitant votre établissement, récupère vos identifiants et vos codes, ajoute un bénéficiaire, puis vide le compte par virements successifs. C’est exactement le scénario jugé par la chambre commerciale de la Cour de cassation le 30 avril 2025 : un ajout de bénéficiaire de virement par IBAN enregistré sur le service en ligne, puis sept virements débités entre le 27 novembre et le 3 décembre, après un clic sur un courriel présenté comme venant de la banque (Cass. com., 30 avril 2025, pourvoi n° 24-10.149). Le troisième est l’arnaque au faux conseiller : l’escroc appelle en affichant le numéro de votre agence, récite vos données personnelles pour prouver qu’il vous connaît, annonce un piratage en cours et vous fait valider des opérations que vous croyez protectrices. La Cour de cassation a jugé le 23 octobre 2024 une affaire de ce type portant sur 54 500 euros de virements frauduleux, où la victime avait ajouté des bénéficiaires avec ses propres données de sécurité à la demande d’une personne se présentant comme l’assistante de sa conseillère bancaire (Cass. com., 23 octobre 2024, pourvoi n° 23-16.267). Dans tous les cas, le droit français pose une règle simple, à l’article L. 133-7 du code monétaire et financier : « En l’absence d’un tel consentement, l’opération ou la série d’opérations de paiement est réputée non autorisée. » Autrement dit, un paiement que vous n’avez pas consenti selon la forme convenue avec votre banque reste juridiquement un paiement non autorisé, et c’est ce régime, protecteur, qui s’applique aux débits issus de vos données volées. Les démarches générales à accomplir après le piratage d’un organisme de formation, du verrouillage des comptes jusqu’à la plainte, sont détaillées dans les démarches générales après le piratage d’un organisme de formation : le présent article se concentre sur la suite bancaire, opposition, contestation et remboursement.
B. Opposition et preuves : les réflexes des premières heures après la fuite
Quand votre IBAN et votre identité circulent, la rapidité conditionne tout : chaque heure gagnée réduit la fenêtre pendant laquelle un prélèvement frauduleux ou un bénéficiaire ajouté à votre insu peut produire ses effets. Le premier réflexe consiste à surveiller et à bloquer. Connectez-vous à votre espace bancaire, vérifiez ligne par ligne les opérations des dernières semaines, activez les alertes par SMS ou par notification pour chaque débit, et abaissez provisoirement les plafonds de virement si votre banque le permet. Dès que vous avez connaissance d’une utilisation non autorisée de vos données de paiement, la loi vous impose d’agir vite : aux termes de l’article L. 133-17 du code monétaire et financier, « Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci. » Concrètement, appelez le numéro d’opposition de votre banque, disponible jour et nuit, faites bloquer l’instrument compromis, et exigez un numéro d’enregistrement de votre opposition : ce numéro prouvera la date et l’heure de votre signalement si la banque conteste ensuite votre diligence. Parallèlement, changez les mots de passe de votre espace bancaire et de votre adresse électronique, car le contrôle de la messagerie permet souvent au fraudeur d’intercepter les codes de validation, et ne rappelez jamais un numéro reçu par SMS : composez vous-même le numéro officiel de votre banque. Le deuxième réflexe consiste à figer les preuves. Conservez les relevés de compte au format PDF, photographiez ou exportez chaque opération suspecte avec sa date, sa libellé et son montant, gardez intacts les courriels, SMS et journaux d’appels frauduleux sans cliquer sur leurs liens, et notez par écrit la chronologie des faits : date de découverte de la fuite, date de l’opposition, échanges avec la banque. Ces pièces serviront deux fois : d’abord pour la contestation bancaire, ensuite pour la plainte. Le troisième réflexe consiste à signaler. Déposez un signalement sur la plateforme officielle PHAROS, accessible depuis le site internet-signalement.gouv.fr, qui centralise les contenus et comportements illicites en ligne, et préparez une pré-plainte en ligne via le service dédié du ministère de l’Intérieur avant de la signer au commissariat ou à la gendarmerie. Enfin, retenez le délai qui ne pardonne pas : l’article L. 133-24 du code monétaire et financier dispose que « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion ». Treize mois à compter du débit, pas à compter de la découverte : passé ce délai, la contestation est forclose et le remboursement devient pratiquement inaccessible, sauf si la banque ne vous avait pas fourni les informations sur l’opération. Notez donc chaque débit suspect dans un tableau de suivi avec sa date limite de contestation, et contestez par écrit, de préférence par lettre recommandée avec accusé de réception, en visant expressément les opérations non autorisées.
II. Opérations non autorisées : contester dans les treize mois et obtenir le remboursement de la banque
A. Remboursement immédiat, plafond de 50 euros et preuve à la charge de la banque : vos droits face au refus
Une fois l’opération frauduleuse identifiée et signalée, la loi organise un remboursement rapide, et c’est à la banque de prouver qu’elle n’a rien à rembourser, non à vous de prouver votre innocence. Le texte central est l’article L. 133-18 du code monétaire et financier : « En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 , le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. » Le remboursement est donc immédiat, au plus tard le premier jour ouvré suivant votre signalement, avec remise du compte dans l’état où il se serait trouvé sans l’opération, et tout retard au-delà fait courir des intérêts au taux légal majoré de cinq, dix puis quinze points. La banque ne peut refuser que dans deux cas : votre fraude, qu’elle doit signaler par écrit à la Banque de France, ou votre manquement intentionnel ou par négligence grave à vos obligations de sécurité. Le régime de la négligence est strictement encadré. En cas d’opération consécutive à la perte ou au vol de l’instrument, l’article L. 133-19 du code monétaire et financier prévoit que « le payeur supporte, avant l’information prévue à l’article L. 133-17 , les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 € », et votre responsabilité n’est pas engagée du tout si l’opération a été effectuée sans vos données de sécurité personnalisées, en détournant à votre insu l’instrument ou ses données, ou par contrefaçon alors que vous aviez conservé l’instrument. Surtout, la banque qui invoque votre négligence grave doit d’abord prouver que l’opération était techniquement régulière. L’article L. 133-23 du code monétaire et financier dispose qu’« il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre », et que « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ». La Cour de cassation applique cette règle avec constance. Le 1er juillet 2026, elle a cassé un arrêt qui présumait le consentement d’une société à trois virements au motif que les relevés bancaires établissaient l’usage des identifiants et d’un boîtier à code, en rappelant qu’« une opération de paiement est autorisée si le payeur a donné son consentement à son exécution, et qu’en l’absence d’un tel consentement, donné sous la forme convenue entre le payeur et le prestataire de service de paiement, l’opération est réputée non autorisée » (Cass. com., 1er juillet 2026, pourvoi n° 25-13.134). Le 30 avril 2025, elle a cassé l’arrêt qui faisait supporter à un client les sept virements émis après un hameçonnage au motif de sa négligence grave, parce que la cour d’appel n’avait pas vérifié au préalable que la banque prouvait l’authentification, l’enregistrement et l’absence de déficience technique des opérations : « s’il entend faire supporter à l’utilisateur d’un instrument de paiement doté d’un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L. 133-16 et L 133-17 de ce code, le prestataire de services de paiement doit au préalable prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre » (Cass. com., 30 avril 2025, pourvoi n° 24-10.149). La protection est encore renforcée pour les opérations à distance, qui sont précisément celles que permet l’exploitation d’un IBAN volé : l’article L. 133-44 du code monétaire et financier impose à la banque d’« appliquer l’authentification forte du client » quand le payeur accède à son compte en ligne, initie un paiement électronique ou agit à distance avec un risque de fraude. Le 22 octobre 2025, la Cour de cassation a rejeté le pourvoi d’une banque qui refusait de rembourser un virement obtenu par hameçonnage aux codes d’activation : « le prestataire de service de paiement doit appliquer l’authentification forte du client définie au f) de l’article L. 133-4 du même code en cas d’opération de paiement à distance et qu’à défaut, il doit rembourser au payeur le montant de l’opération non autorisée, sauf agissement frauduleux du payeur » (Cass. com., 22 octobre 2025, pourvoi n° 24-19.749). Autrement dit, l’authentification forte s’apprécie opération par opération, et son absence fait échec au refus de remboursement même en présence d’une négligence du client, hors fraude de celui-ci. Quant au faux conseiller téléphonique, la Cour de cassation a jugé le 23 octobre 2024 que le « spoofing », qui affiche le numéro de l’agence sur le téléphone de la victime, « a mis M. [J] en confiance et a diminué sa vigilance », de sorte que « la négligence grave de M. [J] n’était pas caractérisée » et que la banque restait tenue de restituer les 54 500 euros détournés (Cass. com., 23 octobre 2024, pourvoi n° 23-16.267). En pratique, si votre banque refuse le remboursement, répondez par écrit en visant les articles L. 133-18, L. 133-23 et L. 133-44, exigez la preuve de l’authentification forte opération par opération, puis saisissez le médiateur bancaire et, à défaut d’accord, le tribunal judiciaire, ces décisions récentes constituant des précédents directement invoquables. Ce régime européen, issu de la directive (UE) 2015/2366 sur les services de paiement, protège de la même manière tout compte tenu en France, quel que soit le pays d’où proviennent les données exploitées par les fraudeurs.
B. Plainte, CNIL et indemnisation : punir les fraudeurs et réparer le préjudice lié à la fuite
Le remboursement bancaire n’épuise pas vos droits : l’exploitation de vos données volées constitue aussi des infractions pénales, et la fuite elle-même ouvre un droit à réparation contre l’organisme qui n’a pas protégé vos données. Sur le plan pénal, trois qualifications entrent typiquement en jeu quand un IBAN et une identité publiés servent à vider un compte. D’abord l’escroquerie de l’article 313-1 du code pénal : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque », punie de cinq ans d’emprisonnement et de 375 000 euros d’amende. Le faux conseiller qui se fait passer pour votre banque pour vous faire valider des virements correspond trait pour trait à cette définition. Ensuite l’atteinte aux systèmes de traitement automatisé de données : l’article 323-1 du code pénal punit de trois ans d’emprisonnement et de 100 000 euros d’amende « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données », et l’article 323-3 du même code punit de cinq ans d’emprisonnement et de 150 000 euros d’amende « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient », ce qui vise l’exfiltration et la revente des bases. Enfin l’usurpation d’identité de l’article 226-4-1 du code pénal : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. » Déposez plainte au commissariat ou à la gendarmerie, muni de votre chronologie, de vos relevés et de votre numéro d’opposition, après avoir préparé votre dossier via le service de pré-plainte en ligne du ministère de l’Intérieur ; la plainte avec constitution de partie civile devant le juge d’instruction reste ouverte si le procureur ne poursuit pas, et elle permet de demander des dommages et intérêts dans le procès pénal lui-même. Sur le plan des données personnelles, le droit européen vous donne deux leviers. D’une part, vous pouvez saisir l’autorité de contrôle : le règlement (UE) 2016/679, dit RGPD, reconnaît à toute personne le droit d’introduire une réclamation auprès d’une autorité de contrôle, en pratique la CNIL pour un résident français, y compris quand l’organisme à l’origine de la fuite est établi dans un autre État membre, les autorités européennes coopérant ensuite entre elles. Vérifiez au passage si l’organisme vous a correctement informé : en cas de violation susceptible d’engendrer un risque élevé pour vos droits, il doit vous notifier individuellement la nature de la fuite et les mesures prises, et il doit notifier l’autorité dans les soixante-douze heures. L’absence de notification, ou une notification tardive et vague, constitue un indice de manquement utile pour la suite. D’autre part, vous pouvez demander réparation du préjudice subi du fait de la violation. La chambre sociale de la Cour de cassation a rappelé le 24 juin 2026, au visa de l’article 82, paragraphe 1, du RGPD, qu’« toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi », en précisant, dans le sillage de la Cour de justice de l’Union européenne du 4 mai 2023, que la simple violation ne suffit pas à elle seule à ouvrir droit à réparation, mais qu’aucun seuil de gravité n’est exigé pour le préjudice moral et que le montant se fixe selon les règles internes de chaque État membre (Cass. soc., 24 juin 2026, pourvoi n° 24-22.792). Concrètement, documentez un préjudice réel : débits frauduleux restés à votre charge, temps passé au blocage et aux démarches, angoisse liée à l’exposition de votre identité bancaire, refus de crédit ou surveillance renforcée de vos comptes, et chiffrez chaque poste avec justificatifs avant de saisir le juge civil. L’action contre l’organisme n’exclut pas l’action contre votre banque : les deux réparations se cumulent quand les préjudices sont distincts, le remboursement des opérations d’un côté, le trouble et les frais liés à la fuite de l’autre.
Conclusion
La remise en circulation de fichiers contenant des IBAN associés à des identités complètes, telle que la décrit la presse belge pour la base attribuée à un réseau wallon de formation, ne permet pas à elle seule de vider un compte, mais elle fournit aux fraudeurs la matière première du prélèvement frauduleux, de l’hameçonnage ciblé et du faux conseiller. Face à ce risque, le droit français des paiements vous arme efficacement : informez votre banque sans tarder aux fins de blocage, contestez chaque opération par écrit dans les treize mois du débit, exigez le remboursement immédiat, et contestez tout refus en rappelant que la preuve de l’authentification, de l’enregistrement et de l’authentification forte opération par opération incombe à la banque, comme l’ont jugé quatre arrêts récents de la chambre commerciale. En parallèle, faites punir les fraudeurs par la plainte pénale et faites réparer le préjudice lié à la fuite elle-même sur le fondement du RGPD, sans accepter qu’on vous oppose un seuil de gravité pour votre préjudice moral. À la date de rédaction, aucun accident, aucune intrusion ni aucun dommage individualisé n’a été constaté par une source officielle dans cette affaire, aucune responsabilité n’est établie, les contrats signés priment sur toute analyse générale, et seul le juge, saisi de votre situation personnelle et des preuves que vous aurez conservées, tranchera vos droits.