RIB piraté : ce qu’un fraudeur peut en faire et comment contester un prélèvement SEPA

23,8 millions d’euros. C’est ce que la fraude au prélèvement a coûté aux Français au seul premier semestre 2025, selon l’Observatoire de la sécurité des moyens de paiement de la Banque de France. Une hausse de 58 % en un an, et presque uniquement de faux ordres de prélèvement.

Et votre RIB a de bonnes chances de traîner quelque part. Le 3 octobre 2026, c’était au tour de la Région Hauts-de-France d’annoncer une cyberattaque chez deux prestataires, avec « potentiellement des RIB » dans les fichiers. Avant elle, la Mutuelle Générale de Prévoyance, l’ASP, l’Afpa. Plutôt que de paniquer à chaque nouvelle fuite, voici ce qu’un fraudeur peut vraiment faire de votre RIB, et la marche à suivre pour récupérer votre argent s’il se sert.

RIB, IBAN : ce qu’un fraudeur peut en faire (et ce qu’il ne peut pas)

Petit rappel : le RIB (relevé d’identité bancaire) est le document, l’IBAN est le numéro de compte international qu’il contient. C’est l’IBAN qui intéresse les escrocs. Et commençons par la bonne nouvelle : avec un IBAN seul, personne ne peut faire de virement depuis votre compte ni s’y connecter. Un IBAN sert à recevoir de l’argent et à être prélevé, pas à en sortir à votre initiative.

Le problème commence quand l’IBAN voyage avec votre nom, votre adresse ou votre e-mail. Ce qui est presque toujours le cas dans une fuite de données. Le fraudeur peut alors :

• signer un faux mandat de prélèvement à votre nom ;
• souscrire des abonnements (téléphonie, streaming, assurance) que vous paierez ;
• s’en servir pour une usurpation d’identité plus large ;
• vous appeler en faux conseiller bancaire, IBAN à l’appui, pour vous faire valider une opération.

Le faux mandat marche pour une raison simple : le mandat de prélèvement est conservé chez le créancier, pas chez votre banque. Votre banque exécute l’ordre sans voir de signature. Il faut certes un identifiant créancier SEPA (ICS) attribué par la Banque de France pour prélever, mais les escrocs passent par une société enregistrée. La DGCCRF a ainsi relayé l’appel à victimes du parquet de Marseille contre une société marseillaise qui, avec un ICS bien réel, prélevait 3,99 euros par mois sur la base de faux mandats. Préjudice estimé : environ 7 millions d’euros entre 2020 et 2025. Des petites sommes, sur des milliers de comptes, que personne ne remarque.

Le second usage est plus fréquent : la crédibilité. Un faux conseiller qui vous lit vos coordonnées bancaires, ça désarme. C’est le ressort du vishing, le phishing par téléphone.

Comment repérer un prélèvement frauduleux

Le fraudeur au prélèvement ne vide pas un compte. Il grignote. Cherchez sur vos relevés les petits montants réguliers (quelques euros), les libellés vagues du type « ASSUR » ou « SERVICE », et tout créancier dont le nom ne vous dit rien. Votre relevé indique aussi la référence du mandat et l’ICS du créancier : notez-les, ils serviront pour la contestation.

Petit conseil : activez les notifications de mouvement dans l’application de votre banque. Un prélèvement inconnu repéré le jour même se règle en deux minutes. Repéré dix mois plus tard, il vous aura coûté dix mensualités, même remboursables.

Contester un prélèvement SEPA : les délais à connaître

Tout dépend d’une question : avez-vous, oui ou non, signé un mandat pour ce créancier ?

Premier cas, vous n’avez jamais autorisé ce prélèvement. C’est la situation du faux mandat. Vous avez 13 mois à compter du débit pour le signaler (article L133-24 du Code monétaire et financier). La banque doit vous rembourser immédiatement, et au plus tard à la fin du premier jour ouvrable suivant votre signalement (article L133-18). Elle ne peut s’y opposer que si elle a de bonnes raisons de soupçonner une fraude de votre part, et doit alors le déclarer par écrit à la Banque de France.

Deuxième cas, vous aviez bien signé un mandat, mais vous contestez le prélèvement (un montant inattendu, un abonnement résilié). Vous avez 8 semaines après le débit (article L133-25). Pour un prélèvement SEPA, c’est un droit inconditionnel : vous n’avez pas à vous justifier. La banque rembourse sous 10 jours ouvrables.

Au passage, ces délais concernent le prélèvement. Un virement que vous avez vous-même envoyé à un escroc ne bénéficie pas de cette protection : d’où l’importance de ne jamais valider une opération à la demande d’un « conseiller ».

La démarche, étape par étape

1. Rassemblez les infos : nom du créancier, ICS, référence du mandat, date et montant de chaque prélèvement suspect.
2. Contactez votre banque par l’espace client ou l’application (beaucoup proposent un formulaire de contestation). Écrivez clairement : « je n’ai jamais signé de mandat pour ce créancier, prélèvement non autorisé ».
3. Confirmez par écrit si l’appli ne propose rien : lettre recommandée avec accusé de réception, copie conservée.
4. Faites opposition aux prochains prélèvements de ce créancier, pour couper le robinet.
5. Portez plainte au commissariat ou à la gendarmerie si votre identité a été usurpée. Ce n’est pas une condition légale du remboursement, mais ça renforce votre dossier.
6. Relancez si besoin : la banque doit répondre à une réclamation sur un paiement sous 15 jours ouvrables (35 au maximum dans des cas exceptionnels). Faute de réponse satisfaisante deux mois après votre réclamation écrite, saisissez le médiateur de votre banque, gratuitement.

Trois mots qu’on confond souvent. L’opposition bloque un prélèvement à venir, auprès de votre banque. La révocation met fin à un mandat, auprès du créancier. La contestation sert à récupérer l’argent déjà prélevé. Face à un faux mandat, vous avez besoin de la première et de la troisième.

Inutile en revanche de chercher du côté de Perceval, la plateforme officielle de signalement : elle ne traite que les fraudes à la carte bancaire, pas les prélèvements.

Liste blanche ou liste noire : le verrou à poser maintenant

Le règlement européen sur les prélèvements SEPA oblige votre banque à vous permettre de limiter ou bloquer les prélèvements. Deux options. La liste noire interdit les créanciers que vous désignez. La liste blanche n’autorise que ceux que vous avez choisis : impôts, énergie, box, assurance. Tout le reste est rejeté d’office. Vous pouvez aussi plafonner les montants ou la fréquence.

Mon avis : si votre RIB a fuité et que vous avez moins d’une dizaine de prélèvements réguliers, prenez la liste blanche. La liste noire arrive toujours après le fraudeur, la liste blanche avant. Seul inconvénient : pensez à y ajouter chaque nouveau créancier légitime, sinon votre prochain abonnement sera rejeté.

RIB piraté : faut-il changer de compte bancaire ?

Non, dans la grande majorité des cas. Ni la Banque de France, ni la CNIL, ni Cybermalveillance.gouv.fr ne le recommandent après une fuite. Prévenez votre banque, posez une liste blanche, surveillez vos relevés. Changer de compte devient pertinent si les prélèvements frauduleux se répètent malgré tout, ou si votre identité est usurpée à grande échelle.

Ce qui fuit avec votre RIB, en revanche, ne se change pas : votre nom et votre adresse. Ce sont eux qui nourrissent les faux SMS et les faux appels qui suivent chaque fuite. Mon guide pour reconnaître une arnaque par SMS vous aidera à les trier.

Ce qu’il faut retenir

Trois gestes. Activez les notifications de votre banque et relisez vos relevés. Posez une liste blanche de créanciers. Contestez sans attendre tout prélèvement que vous n’avez pas autorisé : vous avez 13 mois, mais plus vous tardez, plus le fraudeur se sert.

Si je ne devais garder qu’une règle : votre RIB ne permet à personne de sortir de l’argent de votre compte, sauf à vous. Le vrai risque, c’est le coup de fil qui vous pousse à le faire. Pour un exemple concret de fuite massive d’IBAN, relisez mon article sur la fuite de la Mutuelle Générale de Prévoyance, et méfiez-vous des faux e-mails de la CNIL qui promettent d’effacer vos données.