Vous vous apprêtez à vendre un meuble sur LeBonCoin et l’acheteur vous demande votre IBAN pour vous payer. Une petite voix s’allume dans votre tête : « Est-ce que c’est sûr ? Que peut-il faire avec ? »
Cette angoisse est normale. On donne son IBAN à son employeur, à sa salle de sport ou à son fournisseur d’énergie sans y penser. Mais le donner à un inconnu ? L’idée qu’il puisse prélever de l’argent directement sur notre compte est terrifiante.
Mettons les pieds dans le plat : cette peur, bien que légitime, se trompe de cible. Le danger n’est pas (ou presque pas) le prélèvement direct.
Le vrai danger ? L’arnaque au « faux IBAN ». Une fraude qui a coûté 312 millions d’euros en 2023.
Alors, quels sont les risques réels de donner son IBAN ? On fait le tri entre le mythe qui fait peur et la réalité qui doit vous rendre vigilant.
Les infos à retenir (si vous n’avez pas le temps de tout lire)
- 🛡️ Le mythe du prélèvement : Non, on ne peut pas vider votre compte avec un simple IBAN. Pour un prélèvement, il faut une autorisation signée (un mandat SEPA).
- 🎣 Le vrai danger : C’est « l’arnaque au faux IBAN », où un escroc vous pousse à envoyer de l’argent vers son IBAN en se faisant passer pour votre propriétaire ou un fournisseur.
- 🔑 Statut : « Non confidentiel » : L’IBAN n’est pas une donnée secrète (dixit la CNIL). C’est une « adresse » de compte, pas un mot de passe.
- 💰 Un chiffre choc : En 2023, la fraude au virement (dont l’arnaque au faux IBAN est la star) a représenté 312 millions d’euros de pertes en France.
- ⏰ Vous avez 13 mois : Si vous repérez un prélèvement vraiment non autorisé (sans mandat), vous avez 13 mois pour le contester auprès de votre banque et être remboursé.
Peut-on vider un compte avec un simple IBAN ? Le mythe du prélèvement direct
C’est l’angoisse numéro une : si je donne mon IBAN, une personne malveillante peut-elle mettre en place un prélèvement et aspirer mon argent ?
La réponse est non.
Pour bien comprendre, il faut voir votre IBAN (International Bank Account Number) comme l’adresse de votre maison.
- Avec cette adresse, quelqu’un peut vous envoyer un colis (un virement).
- En revanche, il ne peut pas entrer chez vous et prendre votre télévision (un prélèvement).
Pour qu’un organisme (salle de sport, EDF, impôts…) puisse prélever de l’argent sur votre compte, il a besoin de deux choses :
- Votre IBAN (l’adresse).
- Un mandat de prélèvement SEPA (la clé).
Ce mandat est un contrat que vous signez (électroniquement ou sur papier) qui autorise spécifiquement cet organisme à prélever de l’argent sur votre compte. Sans cette autorisation, aucun prélèvement légal n’est possible.
Un escroc qui n’a que votre IBAN ne peut donc légalement rien prélever. S’il tentait de le faire en falsifiant votre signature sur un mandat, il s’agirait d’une fraude caractérisée, et vous seriez protégé (on y revient).
Le risque de prélèvement direct par un inconnu n’est donc pas le vrai problème. Le vrai problème est beaucoup plus vicieux.
Le vrai danger : L’arnaque au « faux IBAN » (la fraude à 312M€)
Le vrai danger de donner son IBAN n’est pas qu’on vous prenne de l’argent, mais qu’on vous persuade d’en envoyer au mauvais endroit.
Selon l’Observatoire de la sécurité des moyens de paiement (OMSP), la fraude au virement en France a atteint 312 millions d’euros en 2023. Près de la moitié (48%) est liée à des arnaques au « faux IBAN ».
Le principe est simple : l’escroc n’essaie pas de pirater votre compte, il pirate votre cerveau. C’est ce qu’on appelle « l’ingénierie sociale ». Voici les deux scénarios les plus courants.
1. Scénario 1 : La substitution d’IBAN (L’arnaque au fournisseur)
C’est la fraude la plus redoutable, visant les entreprises comme les particuliers.
- L’interception : L’escroc pirate la boîte mail de votre propriétaire, de votre syndic ou d’un artisan qui doit vous envoyer une facture.
- La modification : Il attend le bon moment (l’envoi du loyer, la facture des travaux) et intercepte l’email. Il remplace l’IBAN du vrai destinataire par le sien sur la facture en pièce jointe.
- Le paiement : Vous recevez un email qui semble 100% légitime, de la part d’une personne de confiance. Vous faites le virement vers l’IBAN frauduleux.
L’argent est instantanément transféré et disparaît, souvent vers un compte à l’étranger.
2. Scénario 2 : L’usurpation d’identité (L’arnaque au faux conseiller)
Ici, l’escroc a récupéré votre IBAN (souvent lors d’une fuite de données) ainsi que votre nom et votre numéro de téléphone.
- L’appel : L’escroc vous appelle en se faisant passer pour un « conseiller sécurité » de votre banque. Il connaît votre nom et votre IBAN, ce qui le rend crédible.
- La panique : Il vous alerte d’une « tentative de fraude » ou d’un « prélèvement suspect » sur votre compte. Pour « annuler l’opération », il vous demande de valider une notification sur votre application bancaire ou de lui donner un code reçu par SMS.
- Le piège : En réalité, vous n’êtes pas en train d’annuler une opération. Vous êtes en train d’autoriser un virement vers le compte de l’escroc. C’est un détournement vicieux de l’authentification forte, le même mécanisme qui peut parfois vous afficher un paiement refusé malgré une authentification réussie pour des raisons techniques.
Dans les deux cas, le problème n’est pas l’IBAN en lui-même. C’est le fait qu’il est utilisé dans un scénario de manipulation pour vous amener à faire une action irréversible.
Que faire concrètement si votre IBAN a été volé ou compromis ?
Pas de panique. Avoir son IBAN « dans la nature » n’est pas une catastrophe, mais cela impose de passer d’un mode « confiant » à un mode « vigilant ».
1. Surveiller (vraiment) vos relevés de compte
C’est le réflexe de base. N’attendez pas la fin du mois. Jetez un œil à vos opérations au moins une fois par semaine depuis votre application. Vous devez être capable de reconnaître 100% des lignes de prélèvement.
2. Contester immédiatement tout prélèvement inconnu
Vous voyez un prélèvement « Fitness Club BDX » alors que vous vivez à Lille ? Ou, cas très fréquent, un prélèvement SPB dont vous ignorez totalement l’origine ? N’attendez pas.
- Contactez votre banque immédiatement.
- La loi vous protège : Pour un prélèvement SEPA non autorisé (c’est-à-dire pour lequel vous n’avez jamais signé de mandat), vous disposez d’un délai de 13 mois après le débit pour le contester.
Votre banque a l’obligation de vous rembourser immédiatement les fonds, sauf si elle a de bonnes raisons de suspecter une fraude de votre part.
3. Porter plainte et signaler
Si vous êtes victime d’une fraude (un virement que vous avez été poussé à faire) ou si vous repérez un prélèvement frauduleux :
- Portez plainte au commissariat ou à la gendarmerie.
- Faites un signalement sur la plateforme officielle du gouvernement :
cybermalveillance.gouv.fr. C’est essentiel pour aider les autorités à traquer ces réseaux.
4. Utiliser les listes blanches/noires
C’est une option méconnue que proposent certaines banques. Vous pouvez configurer votre compte pour :
- Liste blanche : N’autoriser que les prélèvements des organismes que vous avez validés (Impôts, EDF, Loyer…). Tout le reste est bloqué.
- Liste noire : Bloquer spécifiquement un organisme qui vous aurait prélevé à tort.
IBAN confidentiel ou non ? Ce que dit la CNIL pour s’y retrouver
C’est le cœur du problème. Doit-on protéger son IBAN comme un mot de passe ?
La réponse de la CNIL (Commission Nationale de l’Informatique et des Libertés) est claire : l’IBAN n’est pas une donnée confidentielle.
Vous êtes obligé de le communiquer pour recevoir votre salaire, payer vos factures ou être remboursé par la Sécurité Sociale. Il est conçu pour être partagé.
La CNIL le qualifie plutôt de « donnée sensible » lorsqu’il est associé à d’autres informations.
- IBAN seul = Risque faible.
- IBAN + Nom + Prénom + Adresse + Numéro de téléphone (suite à une fuite de données de votre mutuelle, par exemple) = Risque élevé.
Ce « kit » complet est une mine d’or pour les escrocs qui montent des arnaques au faux conseiller. Ils deviennent instantanément crédibles. C’est un peu le même principe que de donner les 4 derniers chiffres de sa carte bancaire : l’info seule n’est pas critique, mais combinée à d’autres, elle devient un maillon faible.
Le vrai réflexe n’est donc pas de cacher son IBAN à tout prix. Le vrai réflexe est de ne jamais faire confiance à quelqu’un sous prétexte qu’il connaît votre IBAN.
En conclusion, la paranoïa autour des risques de donner son IBAN est mal placée. Votre IBAN est une simple adresse. Le vrai danger, c’est l’humain.
La meilleure protection n’est pas de cacher son IBAN, mais de faire preuve d’une vigilance de tous les instants :
- Ne jamais valider une opération bancaire suite à un appel, même s’il semble venir de votre banque. Raccrochez et appelez vous-même votre conseiller.
- Toujours vérifier verbalement l’IBAN d’un fournisseur ou d’un propriétaire avant de faire un virement important, surtout s’il vous annonce « un changement de RIB ».
Les risques liés à l’IBAN sont faibles, mais les risques d’une mauvaise vérification sont colossaux.
FAQ : Questions fréquentes
On m’a demandé mon IBAN sur LeBonCoin pour un achat, c’est dangereux ?
Non, c’est normal pour recevoir un paiement. Assurez-vous simplement que c’est pour un virement bancaire classique. Si l’acheteur commence à vous parler de « validation de paiement », de « cliquer sur un lien » ou vous demande autre chose que votre IBAN et votre nom, c’est une arnaque. Fuyez.
Quelle est la différence entre IBAN et RIB ?
Le RIB (Relevé d’Identité Bancaire) est le document qui contient vos coordonnées bancaires. L’IBAN est la longue ligne de chiffres et de lettres sur ce document, qui sert d’identifiant international. Le RIB contient aussi le code BIC (ou SWIFT). Donner son RIB, c’est donner son IBAN.
Ma banque me rembourse-t-elle si je me fais avoir par un faux IBAN ?
C’est très compliqué. Si c’est un prélèvement 100% non autorisé (vous n’avez rien signé), oui, la banque vous rembourse (délai de 13 mois). Mais si vous avez validé le virement (victime d’une arnaque au faux conseiller ou au faux fournisseur), la banque considérera souvent qu’il y a eu « négligence grave » de votre part et refusera le remboursement. La vigilance est votre seule assurance.
