Fuite chez SFR

Le 24 novembre 2024, SFR — l'un des principaux opérateurs mobile et fixe en France — a été mis en cause dans une nouvelle fuite de données après qu'un cybercriminel a mis en circulation un fichier contenant les informations personnelles d'environ 3,6 millions de ses clients. Il s'agissait de la troisième fuite associée à l'opérateur au cours de l'année 2024, survenant quelques semaines seulement après un incident de septembre qui avait déjà exposé des IBAN de clients.

Le jeu de données publié contenait les informations personnelles des abonnés concernés, notamment :

• Nom et prénom
• Adresse e-mail
• Adresse postale, code postal et ville
• Date et département de naissance
• Numéro de téléphone

En complément du fichier principal, l'attaquant a mis en vente sur le dark web un lot distinct d'environ 150 000 IBAN (identifiants de comptes bancaires). SFR a d'abord contesté la révélation, qualifiant les données d'anciennes et recyclées à partir d'incidents précédents et affirmant l'absence de preuve d'une nouvelle fuite. L'attaquant a réagi en publiant gratuitement l'intégralité du fichier, ne conservant que les 150 000 IBAN réservés à la vente.

Avec des noms, des coordonnées et des dates de naissance désormais en circulation publique, les clients concernés sont exposés à un risque accru de hameçonnage, d'usurpation d'identité et de prise de contrôle de comptes. À la date des publications, l'incident restait contesté et non résolu ; les clients ont été invités à la vigilance face aux messages frauduleux exploitant les informations divulguées.