La cybersécurité bancaire ne se résume pas à un cadenas dans le navigateur : elle combine des obligations réglementaires imposées aux établissements et des précautions qui restent à la charge du client. Cet article précise ce que la banque est tenue de faire, puis la marche à suivre lorsque des données bancaires sont exposées. Le volet « droits sur vos données » est traité dans notre article sur les banques et le RGPD.
Que doit faire une banque pour protéger vos données ?
Trois textes structurent aujourd’hui la sécurité des établissements financiers européens. Ils fixent des obligations de moyens et de procédure, pas une garantie de résultat.
| Texte | Ce qu’il impose | Ce que cela protège |
|---|---|---|
| DSP2 (services de paiement) | Authentification forte : confirmation d’au moins deux facteurs de catégories différentes (possession, connaissance, inhérence). Encadrement des prestataires tiers (agrégation, initiation de paiement), agréés par l’ACPR. | L’accès au compte et la validation des paiements. Vous pouvez révoquer l’accès d’un prestataire tiers via votre banque. |
| DORA (règlement européen 2022/2554) | Gestion des risques informatiques, signalement des incidents, tests de résilience, maîtrise des prestataires informatiques critiques. Applicable depuis le 17 janvier 2025 ; supervision par l’ACPR en France. | La continuité des services et la solidité des systèmes d’information de la banque. |
| RGPD (articles sur les violations) | Notification à la CNIL dans un délai maximal de 72 heures après la connaissance d’une violation, tenue d’un registre des violations, information des personnes en cas de risque élevé. | La transparence après un incident et la capacité d’agir des personnes concernées. |
Pour approfondir le premier point, voir notre article sur l’authentification forte. Ces règles visent les établissements relevant du droit européen et français. Le mot « banque » ne suffit pas à désigner un acteur agréé pour ouvrir des comptes : une institution multilatérale de financement du développement comme la Banque africaine de développement (afdb.org), dont le site présente la mission au service des pays africains membres, n’a pas vocation à gérer le compte courant d’un particulier en France. La vérification de l’agrément d’un établissement est détaillée dans le guide Banque en ligne fiable.
La banque doit-elle vous prévenir en cas de fuite de données ?
Pas systématiquement. Selon la CNIL, la banque (responsable du traitement) notifie la violation à l’autorité dans un délai maximal de 72 heures après en avoir eu connaissance ; l’information individuelle des clients n’est obligatoire qu’en cas de risque élevé pour leurs droits et libertés. Des exceptions existent, par exemple lorsque les données exposées étaient chiffrées et incompréhensibles pour un tiers, ou lorsque le risque a été neutralisé par la suite. Dans ce cas, une communication publique peut remplacer le message individuel.
Une fuite peut aussi survenir chez un commerçant, un service en ligne ou un prestataire, sans que votre banque soit en cause. Les actualités de la presse généraliste relaient les incidents les plus médiatisés ; elles ne remplacent ni la notification officielle de l’organisme concerné, ni la vérification de vos propres comptes.
Quels risques après une fuite de données bancaires ?
| Donnée exposée | Risque principal | Réflexe |
|---|---|---|
| IBAN | Ordres de prélèvement illégitimes, création de mandats à votre nom (CNIL) | Surveiller régulièrement les opérations, contrôler dans l’espace bancaire la liste des organismes autorisés à prélever, faire opposition si nécessaire |
| E-mail, téléphone, adresse | Hameçonnage ciblé : un escroc se présente au nom d’un organisme pour obtenir des informations confidentielles ou faire valider une opération (Cybermalveillance.gouv.fr) | Ne communiquer ni code ni mot de passe, rappeler l’organisme par un canal connu |
| Mot de passe réutilisé | Prise de contrôle de comptes | Changer le mot de passe du compte concerné et de tous ceux qui le partagent, activer la double authentification |
| Numéro de carte | Paiements frauduleux | Surveiller les opérations, faire opposition en cas de doute (voir l’article sur la contestation d’une opération frauduleuse) |
Que faire dès qu’une fuite est connue ?
Cybermalveillance.gouv.fr et la CNIL décrivent une marche à suivre commune :
- Lire la notification pour identifier les données concernées (identité, coordonnées, IBAN, identifiants).
- Rester vigilant face aux messages : après une fuite, des escrocs peuvent se faire passer pour un organisme officiel.
- Changer les mots de passe du compte touché et de ceux qui utilisent le même, puis activer la double authentification quand elle est proposée.
- Prévenir la banque si des coordonnées bancaires sont exposées, afin qu’elle renforce sa surveillance, et vérifier la liste des créanciers autorisés.
- Demander le retrait des contenus publiés auprès des plateformes, puis le déréférencement auprès des moteurs de recherche.
- Déposer plainte en cas d’usage frauduleux, en conservant toutes les preuves ; saisir la CNIL si les données ne sont pas retirées au bout d’un mois.
Les gestes de prévention sont détaillés dans l’article sur la protection contre la fraude. Pour le cas de la biométrie, voir cet article sur la biométrie bancaire.
Où trouver des consignes officielles sur les risques cyber ?
Le portail gouvernement.fr oriente vers des conseils aux usagers sur les risques cyber, dans sa rubrique consacrée à la prévention des risques majeurs. Pour une situation concrète (fuite, hameçonnage, usurpation), les fiches réflexes de Cybermalveillance.gouv.fr détaillent les étapes, et la CNIL traite les questions de protection des données.
À lire aussi
Questions fréquentes
Une banque peut-elle garantir que mes données ne seront jamais piratées ?
Non. DSP2, DORA et le RGPD imposent des mesures de sécurité, de résilience et de notification, mais aucun texte ne garantit l’absence d’incident. Elles servent à réduire la probabilité d’une attaque et à en limiter les conséquences.
Qu’est-ce que DORA, en deux phrases ?
Le règlement européen 2022/2554 sur la résilience opérationnelle numérique du secteur financier s’applique depuis le 17 janvier 2025 aux banques, établissements de paiement et assureurs notamment. Il porte sur la gestion des risques informatiques, le signalement des incidents, les tests de résilience et le suivi des prestataires informatiques critiques.
Mon IBAN a fuité : faut-il en changer ?
La CNIL recommande de surveiller les opérations, de contrôler la liste des créanciers autorisés à prélever et de faire opposition aux prélèvements illégitimes. Les sources consultées ne mentionnent pas de changement d’IBAN : la question se pose à la banque, qui connaît les options de votre contrat.
L’authentification forte suffit-elle à me protéger après une fuite ?
Elle protège l’accès au compte et la validation des paiements, mais elle ne neutralise pas l’hameçonnage : un escroc peut chercher à vous faire valider vous-même une opération. Ne communiquez jamais de code de confirmation.
Où signaler un usage frauduleux de mes données ?
Auprès de votre banque d’abord, puis au commissariat ou à la gendarmerie par un dépôt de plainte. La CNIL peut être saisie si un organisme ne retire pas des données dans un délai d’un mois.
Sources
- Banque de France — page sur les changements introduits par la DSP2 (authentification forte, prestataires tiers)
- ACPR — page sur le règlement DORA (date d’application, entités concernées, quatre piliers)
- CNIL — page sur les violations de données (notification sous 72 heures, information des personnes) et page sur la fuite de données et le vol d’IBAN
- Cybermalveillance.gouv.fr — fiche « Violation ou fuite de données personnelles, que faire ? »
- info.gouv.fr (ex-gouvernement.fr) — page d’accueil : rubrique sur les risques cyber
- Service-Public.fr : fraude à la carte bancaire — démarches en cas de fraude à la carte bancaire et remboursement
- Cybermalveillance.gouv.fr : que faire en cas de phishing ou d’hameçonnage ? — fiche réflexe sur l’hameçonnage
Article informatif ne constituant pas un conseil financier, juridique ou fiscal personnalisé. Les offres, frais et conditions évoluent : vérifiez les informations officielles et à jour de chaque établissement avant toute décision.