Fraude au virement : la Banque de France ouvre son fichier national des IBAN suspects

La Banque de France met en service le 7 mai 2026 ^[1] le Fichier national des comptes signalés pour risque de fraude (FNC-RF) ^[2], un registre centralisé que les banques pourront alimenter et consulter en temps réel pour bloquer les virements vers des IBAN suspects. Issu de la loi du 6 novembre 2025 ^[3], le dispositif crée une exception inédite au secret bancaire ^[4].

LES ENJEUX

Une exception inédite au secret bancaire

Le FNC-RF n'aurait pas pu exister sans la loi du 6 novembre 2025, qui crée une dérogation au secret bancaire pour permettre le partage entre établissements.

Le risque de faux positifs et de discrimination des IBAN

Des fintechs alertent sur le risque qu'un signalement erroné bloque en chaîne les virements de PME ou de clients de banques en ligne, sans qu'aucune association de consommateurs ne soit consultée publiquement.

Une responsabilité juridique contestée

La Banque de France se dit simple hébergeur sans pouvoir de jugement, mais la CNIL la qualifie de responsable conjointe avec les prestataires: la contradiction n'est pas tranchée par les arrêtés.

Un dispositif qui anticipe le cadre européen

La France devance le règlement PSR et la directive DSP3 qui prévoient un fichier européen similaire.

Une extension prévue aux Urssaf et administrations

La loi contre les fraudes sociales et fiscales, en cours d'examen, ferait glisser le FNC-RF d'un outil bancaire vers une fonction de contrôle social et fiscal.

Au jour de la mise en service, ni la Banque de France ni les arrêtés du 24 avril 2026 ^[5] ne communiquent publiquement le nombre exact d’établissements effectivement raccordés à la plateforme, ni les volumes d’une éventuelle phase pilote. Les sources disponibles évoquent un objectif « à terme » de 225 établissements ^[6], sans calendrier détaillé. L’article qui suit décrit donc un dispositif tel qu’il est conçu et encadré par les textes - pas tel qu’il fonctionnerait après plusieurs mois d’usage.

L’urgence, elle, est documentée. Au premier semestre 2025 ^[7], la fraude par manipulation a atteint 245 millions d’euros ^[8], soit 40 % de la valeur totale de la fraude aux moyens de paiement ^[9], selon l’Observatoire de la sécurité des moyens de paiement (OSMP) de la Banque de France ^[10]. Sur la même période, le virement est devenu le moyen de paiement générant le plus de fraude, avec 37 % ^[11] du total des montants détournés, devant la carte bancaire (34 % ^[12]) et le chèque (20 % ^[13]). Un an plus tôt, le virement représentait 29 % ^[14]: une progression de huit points en douze mois qui a précipité la réponse législative.

Comment fonctionne le FNC-RF

Le mécanisme est simple sur le papier. Quand un établissement identifie un compte impliqué dans une fraude, il le signale au fichier ^[15]. Les autres banques consultent ensuite ce registre avant d’exécuter un paiement ^[16]. Si l’IBAN de destination y figure, une alerte se déclenche ^[17] et l’opération peut être ralentie, mise en attente ou refusée pour mener les contrôles ^[18]. Les prestataires doivent actualiser leurs instances locales du fichier au moins une fois par jour ^[19], ou avant toute nouvelle opération de paiement ^[20].

Les données collectées sont précisément cadrées: numéro IBAN ou BBAN ^[21], code BIC de l’établissement teneur ^[22], date de détection ^[23], catégorie et type d’opération frauduleuse ^[24][25]. Le périmètre couvre les arnaques au faux RIB, les usurpations d’identité, les escroqueries au « faux conseiller » et les comptes « mules » ^{[26][27][28][29]}. Les informations sont conservées treize mois ^[30] à compter de la déclaration.

Près de 225 établissements financiers ^[6] doivent à terme être raccordés à la plateforme, selon la presse économique. La consultation est strictement réservée aux professionnels habilités, sous la supervision de la Commission nationale de l’informatique et des libertés (CNIL) ^[31].

Le cadre légal: une exception au secret bancaire

Le FNC-RF repose sur l’article L. 521-6-1 du code monétaire et financier ^[32], introduit par la loi n° 2025-1058 du 6 novembre 2025 ^[33]. Deux arrêtés du 24 avril 2026 ^[5], publiés au Journal officiel le 28 avril ^[34], ont précisé les modalités quelques jours avant le lancement.

L’établissement teneur d’un compte signalé doit procéder « sans délai » à des vérifications pour évaluer le caractère frauduleux ^[35], puis partager le résultat du contrôle ^[36]. En cas de levée du doute, la Banque de France radie le signalement sans délai ^[37].

L’angle mort: qui répond d’un signalement erroné?

C’est la contradiction centrale du dispositif. La Banque de France se présente comme un simple hébergeur sans pouvoir de jugement: « La Banque de France ne portera pas de jugement sur le caractère frauduleux ou non d’un compte, car ce ne sont pas ses opérations ^[38] », a déclaré Clément Bourgeois, chef adjoint du service des moyens de paiement scripturaux à la Banque de France ^[39]. Ce sont les prestataires qui décident de déclarer un compte et d’utiliser l’information ^[40]. Mais la CNIL conteste cette lecture: dans son avis, l’autorité considère que la Banque de France et les prestataires de services de paiement sont conjointement responsables des traitements de centralisation et de partage des données ^[41] - une qualification que le projet d’arrêté n’a pas explicitement retenue. Citant les lignes directrices du Comité européen de la protection des données du 4 octobre 2017 ^[42], la CNIL rappelle que « les notions de responsable du traitement et de sous-traitant sont des concepts fonctionnels: ils visent à répartir les responsabilités en fonction des rôles réels des parties ^[43] ». Elle invite donc le ministère à modifier le projet d’arrêté ^[44] pour acter cette responsabilité conjointe.

La conséquence pratique est lourde. Un titulaire de compte signalé à tort ne sait pas, à la lecture des textes publiés, vers qui se tourner en priorité: la Banque de France, qui héberge la donnée, ou le prestataire qui l’a inscrite? La CNIL a obtenu que les vérifications soient menées « dans les plus brefs délais ^[45] », et qu’il a fallu insister pour que les demandes d’exercice des droits puissent s’adresser autant à la Banque de France qu’aux prestataires ^[46]. Une inscription dans le fichier ne vaut pas interdiction d’opérer ni clôture automatique ^[47], mais cette précaution ne dit rien des virements bloqués en chaîne pendant que dure la vérification.

Le risque des faux positifs

La crainte est documentée. Le fondateur de Qombo, fintech accompagnant les acteurs du paiement dans leur mise en conformité ^[48], a publiquement mis en garde contre « le risque de faux positifs » et la « discrimination des IBAN de certains établissements ^[49] ». Une PME, un micro-entrepreneur ou un client d’une banque en ligne moins connue pourrait voir ses virements bloqués en chaîne sur la base d’un signalement erroné.

La Banque de France oppose ses contrôles: « tout est mis en place pour que le volume de faux positifs soit très faible, voire nul ^[50] ». Une affirmation qui demandera à être vérifiée sur le terrain. On se souvient que le FICP (Fichier des incidents de remboursement des crédits aux particuliers), géré lui aussi par la Banque de France, a fait par le passé l’objet de réclamations pour inscriptions erronées ou maintenues à tort - un précédent qui invite à la vigilance sur les conditions concrètes de radiation.

Il faut surtout signaler une absence: aucune association de consommateurs, aucun syndicat bancaire et aucun représentant des néobanques ou des fintechs établies - pourtant directement exposés au risque de discrimination des IBAN - n’apparaît dans les sources publiques disponibles à l’ouverture du fichier. La voix critique externe se résume à un acteur de la conformité.

Pourquoi maintenant: le calendrier européen

Le timing n’est pas anodin. Le dispositif français anticipe le règlement européen sur les services de paiement (PSR) et la révision de la directive (DSP3) ^[51], qui prévoient une plateforme similaire au niveau européen. Il s’ajoute au mécanisme de Vérification du bénéficiaire (VOP) ^[52], applicable depuis le 9 octobre 2025 ^[53] aux banques de la zone euro et qui sera étendu aux États membres de l’Union européenne hors zone euro à compter du 9 juillet 2027, selon plusieurs sources. Le VOP oblige les prestataires concernés à vérifier la cohérence entre le nom du bénéficiaire et l’IBAN avant tout virement ^[54].

« Nous anticipons un effet direct sur la fraude au virement, dès les premiers jours. Et celui-ci ne pourra que grandir et grossir lorsqu’il y aura un lien avec un dispositif européen plus large ^[55] », avance Clément Bourgeois. La Banque de France envisage déjà un élargissement des catégories de données partagées et une intégration européenne ^[56].

Vers un outil de contrôle social?

L’extension la plus discrète du dispositif n’est pas bancaire. La loi contre les fraudes sociales et fiscales, adoptée en première lecture à l’Assemblée nationale, prévoit d’ouvrir l’accès du FNC-RF aux Urssaf ^[57][58] et, par extension, à certaines administrations chargées du recouvrement des cotisations sociales ^[59]. Concrètement, ces organismes pourraient à la fois consulter le fichier pour repérer des comptes mules utilisés dans des montages de travail dissimulé, et y inscrire eux-mêmes des comptes suspects.

Le saut qualitatif est important. Conçu comme un outil interbancaire de prévention des virements piégés, le fichier glisserait alors vers une fonction de contrôle social et fiscal, avec un croisement possible des signalements bancaires et des contentieux Urssaf. À ce stade, le texte n’a été adopté qu’en première lecture par les députés: il doit encore franchir le Sénat puis la commission mixte paritaire avant promulgation. Les sources publiques ne précisent pas la liste exhaustive des administrations qui auraient accès au fichier, ni les garanties spécifiques pour les cotisants en cas d’inscription erronée. La position publique de la CNIL sur cette extension n’apparaît pas non plus dans les avis disponibles, qui portent sur le seul périmètre bancaire.

Ce qui reste flou: sanctions et recours

Le renvoi général à l’article L. 612-39 du code monétaire et financier ^[60] tient lieu de cadre disciplinaire. Cet article régit le pouvoir de sanction de l’Autorité de contrôle prudentiel et de résolution (ACPR), théoriquement applicable à un établissement qui aurait alimenté abusivement le fichier ou l’aurait consulté sans habilitation. À ce dispositif administratif s’ajoute, en arrière-plan, le régime de protection du secret bancaire prévu par le code monétaire et financier - cadre dont le FNC-RF constitue précisément une dérogation et dont les contours, pour les données partagées hors du périmètre légal, restent à clarifier.

Restent les recours du citoyen ordinaire. Aucun texte publié ne précise la procédure concrète offerte au titulaire d’un compte injustement inscrit pour obtenir réparation: ni délai de réponse, ni voie de recours juridictionnelle dédiée, ni régime probatoire. Le FNC-RF est une réponse opérationnelle à un problème massif. Reste à savoir si le filet ne se refermera que sur les fraudeurs.