SFR a commencé le 20 août à prévenir des abonnés fibre, dont des clients RED by SFR, que leurs données personnelles avaient été exposées. L’opérateur a détecté l’incident le 2 juillet, soit près de sept semaines avant les premiers e-mails. Il ne donne pas de nombre de personnes concernées ; l’auteur revendiqué affirme avoir extrait plus de 2,1 millions de lignes, un chiffre non confirmé par SFR.
Quelles données ont fuité
D’après le courrier envoyé par SFR à ses abonnés, les informations concernées sont :
- civilité, nom et prénom ;
- adresse postale ;
- numéro de téléphone mobile ;
- identifiant de contrat ;
- « données techniques liées à la ligne ».
SFR ne détaille pas ces données techniques. IT-Connect avance qu’il pourrait s’agir d’informations comme l’adresse MAC ou le numéro de série de la box, l’identifiant de l’ONT ou des adresses IPv4, sans confirmation de l’opérateur. SFR assure que ni les mots de passe ni les informations bancaires ne sont concernés.
Un compte valide, pas une faille
L’attaque visait un outil interne de gestion et d’analyse des raccordements fibre. D’après IT-Connect, l’intrus n’a pas exploité de vulnérabilité : il s’est servi d’un compte valide compromis ayant accès à cet outil. SFR indique avoir désactivé le compte, bloqué et placé sous surveillance les adresses IP à l’origine des connexions, et renforcé sa surveillance.
La revendication, publiée le 17 juillet sur un forum cybercriminel, est signée ZeroBytes, le pseudonyme déjà associé aux fuites revendiquées ce mois-ci contre la DGFiP. Elle mentionne un portail interne nommé NOVA et fait remonter l’intrusion au 30 juin. SFR, de son côté, ne désigne aucun auteur.
Chronologie
| Date | Événement |
|---|---|
| 30 juin | Début de l’intrusion, selon l’auteur revendiqué |
| 2 juillet | Détection par les équipes de sécurité de SFR |
| 17 juillet | Revendication sur un forum cybercriminel (2 104 093 lignes annoncées) |
| 20 août | SFR confirme l’incident et commence à prévenir ses abonnés |
SFR indique avoir notifié la CNIL et porté plainte auprès du procureur de la République. Ce n’est pas la première alerte pour l’opérateur : en septembre 2024, une fuite avait déjà touché des clients RED by SFR, IBAN compris cette fois.
Le risque : le faux technicien fibre
Un nom, une adresse, un numéro de mobile et un identifiant de contrat suffisent pour se faire passer de façon très convaincante pour SFR. Les scénarios les plus probables : un faux conseiller qui appelle pour une « mise à jour de votre contrat », un SMS annonçant une coupure de ligne à régulariser, ou un faux technicien qui se présente à domicile pour une « intervention fibre ».
Si quelqu’un vous appelle ou sonne à votre porte au nom de SFR pour une intervention que vous n’avez pas demandée, vérifiez d’abord auprès du service client, depuis votre espace client ou le numéro officiel. Ne communiquez jamais un code reçu par SMS.
Que faire si vous êtes abonné fibre SFR ou RED
- Lisez l’e-mail de SFR si vous l’avez reçu, mais ne cliquez pas sur les liens d’un message qui prétendrait en être la suite : connectez-vous vous-même à votre espace client.
- Refusez toute demande de coordonnées bancaires ou de code de vérification par téléphone, même si l’interlocuteur connaît votre identifiant de contrat.
- Signalez les SMS frauduleux au 33700.
- Surveillez les tentatives de portabilité ou de changement de carte SIM sur votre ligne mobile, que votre numéro rend désormais plus faciles à cibler.