Fuite chez RED by SFR

Le 18 septembre 2024, RED by SFR — la marque mobile low-cost de l'opérateur français SFR — a commencé à informer ses clients d'une fuite de données touchant plusieurs dizaines de milliers de personnes. SFR indique avoir détecté l'intrusion le 3 septembre 2024 et l'avoir immédiatement colmatée. L'incident concerne principalement les clients ayant récemment souscrit un forfait RED ou commandé un smartphone.

Selon l'entreprise, les attaquants ont obtenu un accès non autorisé à un outil de gestion des commandes, ce qui leur a ensuite ouvert l'accès à des serveurs hébergeant les bases de données clients concernées. SFR a précisé que les mots de passe, les relevés d'appels et le contenu des SMS n'étaient pas touchés.

Les données exposées sont particulièrement sensibles et propices à la fraude et à des tentatives d'hameçonnage convaincantes :

• Nom et prénom
• Adresse email et adresse postale
• Numéro de téléphone
• IBAN (coordonnées bancaires)
• Type de forfait/contrat
• Identifiant de la carte SIM
• Identifiant du smartphone (IMEI)

SFR a notifié la CNIL, déposé une plainte et renforcé les procédures d'authentification pour toute demande de modification des coordonnées d'un client. L'opérateur a également mis en place une ligne d'assistance dédiée et invité les clients concernés à se méfier des tentatives d'hameçonnage et de détournement de carte SIM (SIM-swap). Aucun groupe n'a été publiquement mis en cause ; un pirate avait par ailleurs revendiqué environ 50 000 fiches clients RED à la même période. Le nombre exact de personnes touchées n'a pas été officiellement confirmé.