L’article en bref
- Un IBAN seul ne permet ni d'accéder à votre banque en ligne ni d'émettre un virement depuis votre compte.
- Le risque réel identifié par la CNIL : des ordres de prélèvement illégitimes créés à partir de faux mandats SEPA.
- Vous pouvez demander à votre banque une liste blanche ou une liste noire de prélèvements : « votre banque est tenue d'y répondre » (Banque de France).
- Un prélèvement non autorisé se conteste sans tarder et au plus tard dans les 13 mois ; la banque rembourse au plus tard à la fin du premier jour ouvrable suivant.
- Un prélèvement autorisé peut, lui, être remboursé sur demande dans les 8 semaines suivant le débit.
- Changer d'IBAN n'est imposé par aucun texte : surveillance, listes de créanciers et contestation suffisent dans la plupart des cas.
Non, pas directement. Un IBAN ne permet ni de se connecter à votre espace bancaire ni d'émettre un virement depuis votre compte. Le risque réel : des prélèvements frauduleux adossés à de faux mandats SEPA. Surveillez vos opérations, vérifiez la liste des créanciers autorisés, demandez une liste blanche ou une liste noire de prélèvements – votre banque est tenue d'y répondre – et contestez tout prélèvement non autorisé dans les 13 mois : la banque doit rembourser.
Faits et sources vérifiés le 21 août 2026 à 18 h 36.
Un IBAN suffit-il pour prélever mon compte ?
L'IBAN est l'identifiant international de votre compte bancaire. Il figure sur vos RIB, vos factures, vos baux : c'est une donnée largement diffusée, et régulièrement exposée lors des fuites de données. La Banque de France le relève elle-même : « Les IBAN utilisés pour ces faux prélèvements peuvent notamment avoir été obtenus à la suite de fuites de données personnelles. »
Connaître votre IBAN ne donne accès à rien : ni à votre banque en ligne, ni à vos moyens de paiement. En revanche, le prélèvement SEPA repose sur un mandat que le créancier conserve, sans validation systématique par votre banque à chaque opération. La CNIL identifie donc deux risques concrets en cas de vol d'IBAN : l'émission d'« ordres de prélèvement illégitimes » et l'usurpation de votre IBAN lors de la création d'un mandat. Un fraudeur qui se fait passer pour vous auprès d'un organisme, ou qui crée un faux mandat, peut ainsi tenter de faire débiter votre compte.
Le point clé : ces prélèvements frauduleux sont des opérations non autorisées, que le Code monétaire et financier vous permet de contester et que votre banque doit rembourser, dans les conditions détaillées plus bas. Un IBAN volé crée un risque de débits à détecter et à contester, pas un accès direct à votre argent.
Peut-on faire un virement avec mon IBAN ?
Il faut distinguer deux situations. Recevoir un virement : votre IBAN sert précisément à cela, et quiconque le connaît peut vous envoyer de l'argent. Émettre un virement depuis votre compte : c'est impossible avec le seul IBAN. Un virement sortant suppose d'accéder à votre espace bancaire, avec vos identifiants et, pour les opérations sensibles, une authentification forte.
Le danger lié aux virements est ailleurs : l'ingénierie sociale. Un fraudeur qui connaît votre IBAN, votre nom et votre banque dispose d'un décor crédible pour se faire passer pour votre conseiller et vous faire valider vous-même des opérations. La Cour de cassation a jugé, dans une affaire de faux conseiller au numéro usurpé, que la banque doit prouver la négligence grave du client et que la validation d'opérations par un client mis en confiance par le procédé frauduleux ne constitue pas une telle négligence : la banque a été condamnée à rembourser (Cass. com., 23 octobre 2024, n° 23-16.267). Retenez la règle simple : un conseiller de banque ne vous demande jamais vos codes, et ne vous fait jamais valider une opération « pour l'annuler ».
Mon IBAN a fuité : les bons réflexes immédiats
La CNIL a publié une fiche dédiée au vol d'IBAN. Ses recommandations tiennent en trois gestes :
- « Surveillez régulièrement les opérations sur votre compte bancaire et faites opposition si nécessaire » ;
- « Vérifiez la liste des créanciers autorisés (c'est-à-dire les bénéficiaires des prélèvements) dans votre espace de banque » ;
- Redoublez de vigilance « lors de la réception d'un mandat de prélèvement prérempli, ou d'une prétendue mise à jour de celui-ci ».
Ajoutez-y la conservation des preuves : la notification de la fuite reçue de l'organisme concerné, les relevés faisant apparaître les opérations litigieuses, tout échange avec votre banque. Ces éléments dateront votre connaissance de l'incident et appuieront vos demandes de remboursement, voire une action indemnitaire.
IBAN volé : quels risques, quelles actions ?
| Donnée exposée | Risque d'exploitation | Action utile |
|---|---|---|
| IBAN seul | Ordres de prélèvement illégitimes via un faux mandat SEPA | Surveiller les opérations ; contester tout prélèvement non autorisé dans les 13 mois |
| IBAN + identité et coordonnées | Faux conseiller bancaire, faux mandat prérempli très crédible | Ne jamais communiquer codes ou mots de passe ; raccrocher et rappeler la banque à son numéro officiel |
| IBAN utilisé pour un mandat frauduleux | Prélèvements récurrents au profit d'un créancier inconnu | Vérifier la liste des créanciers ; demander une liste noire ou une liste blanche à sa banque |
| Opérations frauduleuses constatées | Débits répétés, préjudice financier | Signalement à la banque sans tarder, remboursement, conservation des preuves, plainte |
Listes blanche et noire : ce que votre banque est tenue de vous proposer
C'est l'outil le plus efficace, et le moins connu. La Banque de France le rappelle dans sa foire aux questions consacrée au prélèvement SEPA : vous pouvez demander à votre prestataire de services de paiement de « bloquer n'importe quel prélèvement sur votre compte », de « bloquer n'importe quel prélèvement initié par un ou plusieurs créanciers spécifiés (liste noire) », ou de « n'autoriser que les prélèvements initiés par un ou plusieurs bénéficiaires spécifiés (liste blanche) ». Et surtout : « Si vous sollicitez l'une de ces trois options, votre banque est tenue d'y répondre. » Ce droit repose sur le règlement européen SEPA de 2012, le règlement (UE) n° 260/2012.
Après une fuite d'IBAN, la liste blanche offre la protection la plus complète : seuls vos créanciers habituels, que vous désignez, peuvent encore prélever votre compte. Tout mandat frauduleux créé avec votre IBAN devient inopérant. La liste noire, elle, cible un créancier indésirable déjà identifié. Dans les deux cas, adressez la demande à votre banque, par écrit de préférence, et gardez-en la trace.
Complément utile : vous pouvez révoquer un mandat de prélèvement « à tout moment », auprès du créancier, en informant votre banque. Et un mandat resté inutilisé devient caduc après 36 mois sans prélèvement.
Contester un prélèvement frauduleux : délais et remboursement
Pour un prélèvement sans mandat, donc non autorisé, la règle est protectrice. Vous devez le signaler à votre banque « sans tarder et au plus tard dans les 13 mois à compter de la date de débit » (article L. 133-24 du Code monétaire et financier ; le délai tombe à 70 jours si l'établissement du bénéficiaire se situe hors Union européenne et Espace économique européen). La banque « devra alors rembourser la somme débitée au plus tard à la fin du premier jour ouvrable suivant » et vous restituer les agios et frais liés (article L. 133-18). Elle rétablit le compte dans l'état où il se serait trouvé sans l'opération.
La charge de la preuve pèse sur la banque. Si elle refuse de rembourser, c'est à elle de prouver votre fraude ou votre négligence grave ; le simple enregistrement de l'opération « ne suffit pas nécessairement » à l'établir (article L. 133-23). En cas d'instrument de paiement perdu ou volé, votre reste à charge est plafonné à 50 €, et il disparaît si la banque n'a pas exigé d'authentification forte (article L. 133-19). Un prélèvement frauduleux issu d'un IBAN volé, que vous n'avez jamais autorisé, ne relève d'aucune négligence de votre part : documentez la fuite et maintenez la contestation.
Cas distinct : le prélèvement autorisé que vous souhaitez finalement contester, par exemple un montant anormal. La demande de remboursement s'exerce alors dans les 8 semaines suivant le débit, un droit que le mandat SEPA doit obligatoirement mentionner (Banque de France).
Si votre banque persiste à refuser un remboursement qui vous paraît dû, une mise en demeure argumentée sur les articles L. 133-18 et suivants change souvent l'issue. Un avocat fraude bancaire peut structurer cette réclamation, puis l'action en justice si nécessaire. Chaque situation est particulière.
Faut-il changer d'IBAN ou de compte bancaire ?
Aucun texte ne l'impose, et aucune autorité ne le recommande systématiquement. Changer d'IBAN suppose d'ouvrir un nouveau compte, puis de basculer tous vos prélèvements et virements récurrents ; le service de mobilité bancaire peut alléger la démarche, mais l'opération reste lourde. Dans la plupart des cas, le triptyque surveillance, liste blanche ou noire, contestation dans les délais protège efficacement votre compte sans en changer.
Le changement de compte peut se discuter dans des situations particulières : prélèvements frauduleux répétés malgré les blocages, ou exposition de l'IBAN conjointement à de nombreuses autres données. Parlez-en à votre banque : la décision s'apprécie au cas par cas, sans automatisme.
Prévenir la banque, conserver les preuves, porter plainte
Prévenez votre banque dès que vous apprenez la fuite de votre IBAN, même sans débit suspect : le signalement facilite la détection et fonde vos demandes ultérieures. Faites opposition si nécessaire. Conservez la notification de violation reçue de l'organisme à l'origine de la fuite : elle établit la compromission de votre IBAN.
En cas d'opérations frauduleuses avérées, déposez plainte auprès de la police ou de la gendarmerie, en joignant relevés et preuves. La plainte documente le préjudice et alimente les enquêtes. Depuis le 7 mai 2026, un fichier national des comptes signalés pour risque de fraude (FNC-RF), tenu par la Banque de France et issu de la loi du 6 novembre 2025 contre la fraude bancaire, recense par ailleurs les IBAN suspects utilisés par les fraudeurs, afin de permettre aux banques de renforcer leurs contrôles avant d'exécuter un virement vers un compte signalé.
Enfin, l'organisme qui a laissé fuiter votre IBAN engage sa propre responsabilité. La CNIL a sanctionné Free et Free Mobile de 42 millions d'euros au total en janvier 2026, après la violation d'octobre 2024 qui portait sur 24 millions de contrats, IBAN inclus. Et une indemnisation du préjudice, y compris moral, reste possible sur le fondement de l'article 82 du RGPD, à condition de démontrer un dommage et un lien de causalité. Notre page dédiée détaille ce volet : avocat en violation de données personnelles.
L'actualité fournit hélas des cas d'application directs : la fuite touchant des adhérents de salles de sport via le logiciel Resamania inclut des IBAN pour une partie des personnes. Notre article dédié fait le point : comment savoir si mes données ont fuité via Resamania ?
Questions fréquentes sur la fuite d'IBAN
Un pirate peut-il vider mon compte avec mon IBAN ?
Non, pas directement. L'IBAN ne donne accès ni à votre banque en ligne ni à vos moyens de paiement. Le risque réel est le prélèvement frauduleux via un faux mandat SEPA : une opération non autorisée, contestable dans les 13 mois et remboursable par votre banque.
Un IBAN suffit-il pour mettre en place un prélèvement ?
Un prélèvement SEPA exige en principe un mandat signé par le titulaire du compte. Mais la CNIL identifie le risque d'ordres de prélèvement illégitimes et de mandats créés frauduleusement avec un IBAN volé. D'où l'intérêt de vérifier la liste des créanciers et de demander une liste blanche.
Peut-on faire un virement avec mon IBAN ?
On peut seulement vous en envoyer. Émettre un virement depuis votre compte suppose vos identifiants bancaires et une authentification forte, que l'IBAN ne fournit pas. Le vrai risque : un faux conseiller qui vous fait valider vous-même des opérations.
Qu'est-ce que la liste blanche et la liste noire de prélèvements ?
La liste blanche n'autorise que les prélèvements des créanciers que vous désignez ; la liste noire bloque ceux des créanciers que vous excluez ; vous pouvez aussi bloquer tout prélèvement. Selon la Banque de France, si vous sollicitez l'une de ces options, votre banque est tenue d'y répondre.
Comment contester un prélèvement frauduleux ?
Signalez-le à votre banque sans tarder, par écrit, en indiquant que l'opération n'est pas autorisée. La banque doit rembourser au plus tard à la fin du premier jour ouvrable suivant et restituer les frais liés (article L. 133-18 du Code monétaire et financier).
Dans quel délai puis-je contester ?
Au plus tard 13 mois après la date de débit pour un prélèvement non autorisé (70 jours si la banque du bénéficiaire est hors UE/EEE). Pour un prélèvement autorisé que vous contestez, la demande de remboursement s'exerce dans les 8 semaines suivant le débit.
Ma banque peut-elle refuser de me rembourser ?
Uniquement si elle prouve votre fraude ou votre négligence grave : la charge de la preuve pèse sur elle, et l'enregistrement de l'opération ne suffit pas (article L. 133-23). Elle doit motiver un éventuel soupçon de fraude par écrit à la Banque de France.
Faut-il changer d'IBAN après une fuite ?
Aucun texte ne l'impose. Surveillance des opérations, liste blanche ou noire et contestation dans les délais protègent efficacement dans la plupart des cas. Le changement de compte se discute seulement en cas de fraudes répétées malgré les blocages.
Faut-il porter plainte ?
Oui en cas d'opérations frauduleuses avérées : la plainte documente le préjudice et sert les enquêtes. Prévenez d'abord votre banque, conservez relevés et notification de la fuite, puis déposez plainte auprès de la police ou de la gendarmerie.
Sources officielles
- CNIL, « Fuite de données sur internet et vol de votre IBAN : comment vous protéger si vous êtes concerné ? », 8 août 2025 – cnil.fr
- Banque de France, foire aux questions « Le prélèvement SEPA » (listes blanche et noire, délais de contestation, révocation du mandat) – banque-france.fr
- Articles L. 133-18, L. 133-19, L. 133-23 et L. 133-24 du Code monétaire et financier – Légifrance
- Cass. com., 23 octobre 2024, n° 23-16.267, publié au bulletin (fraude au faux conseiller bancaire) – Légifrance
- Règlement (UE) n° 260/2012 (SEPA), fondement des listes blanche et noire de prélèvements – Banque de France
- DG Trésor, lancement du fichier national des comptes signalés pour risque de fraude (FNC-RF), 11 mai 2026 – tresor.economie.gouv.fr
- CNIL, sanctions Free et Free Mobile du 13 janvier 2026 (42 M€, violation incluant des IBAN) – cnil.fr
Voir aussi, sur les fuites de cet été et leurs suites : piratage de la DGFiP, quels droits pour les personnes concernées ? et après le piratage de SFR, faut-il surveiller son compte bancaire ?
Cet article présente l'état du droit à titre d'information générale, tel que vérifié le 21 août 2026 à 18 h 36. Il ne constitue pas une consultation juridique. Chaque situation est particulière et mérite une analyse dédiée. Contenu conforme aux règles déontologiques de la profession d'avocat.
