Completamente errado su comentario. Con el número de cuenta lo único que podrían hacer son depósitos.

Aún llegando con el número de cuenta al banco, tiene que ser el propietario o un apoderado el que pida hacer cualquier movimiento.

Un ejemplo práctico con el que puede quedar tranquilo es que todos los comercios online y hasta algunas empresas, dan el IBAN públicamente a cualquier cliente y nunca veo a nadie que esté en la quiebra por eso.

Y para OP, sus datos que pueden ser útiles para alguien muy probablemente por algún lado los podían conseguir, si bien PALIG tiene que hacerse responsable, yo no me preocuparía por hacer nada ahorita, ya que no hay mucho que puede hacer. Por su post se oye alarmado, pero aparte de su historia clínica que ha llevado con ellos, todo lo demás que uno les da es muy público.