L’émission Cash Investigation, diffusée le 10 septembre sur France 2, consacre une large place aux fuites de données survenues chez des opérateurs télécoms. Le cas de Free y est particulièrement détaillé, notamment à travers un extrait où l’avocate de l’entreprise tente de relativiser la portée du piratage ayant touché ses clients.
Une intrusion longue de plusieurs semaines
Les faits remontent à octobre 2024. Un attaquant a pénétré les systèmes de Free en passant par le VPN utilisé par les salariés en télétravail. Il a ensuite trompé d’autres employés en se faisant passer pour le service informatique. Cette méthode lui a permis de rester infiltré plusieurs semaines, aspirant des fichiers sans être détecté. Au final, les données liées à 24 millions de contrats Free et Free Mobile ont été exposées : noms, adresses postales, coordonnées téléphoniques et, pour une partie des victimes, leurs IBAN.
L’attaquant a affirmé avoir revendu ces données, ce qui a conduit à l’ouverture d’une enquête. La Cnil s’est saisie du dossier après avoir reçu plus de 2 500 plaintes.
Les critiques de la Cnil et la réponse de Free
Lors de l’enquête, le rapporteur de la Cnil a estimé que Free « n’avait pas mis en œuvre des mesures adaptées pour détecter des comportements anormaux ». Il a également pointé un manque d’information des clients sur les risques encourus. C’est sur ce point que la réponse de l’avocate de l’opérateur a suscité la controverse : « À part l’IBAN, on ne parle absolument pas de données sensibles », a-t-elle déclaré.
Cette affirmation est contestable. La combinaison de noms, adresses postales et coordonnées permet de rendre les tentatives d’hameçonnage plus crédibles et ciblées. Ces données, même sans IBAN, facilitent l’usurpation d’identité ou la manipulation des victimes. De plus, lorsqu’elles sont croisées avec d’autres bases piratées, elles deviennent d’autant plus dangereuses.
Sanction et conséquences
Le 13 janvier 2026, la Cnil a infligé une amende de 42 millions d’euros, répartie entre 27 millions pour Free Mobile et 15 millions pour Free. L’autorité reproche aussi à l’opérateur une conservation excessive des données : des IBAN et d’autres informations d’anciens abonnés étaient conservés bien au-delà de la durée nécessaire. Cette pratique a mécaniquement élargi le nombre de victimes et pesé dans le montant de la sanction. Free conteste la décision et a formé un recours devant le Conseil d’État.
Réflexes à adopter en cas de fuite
Face à une fuite de données, plusieurs mesures permettent de limiter les risques :
- Changer sans attendre les mots de passe des comptes concernés ;
- Modifier également les mots de passe identiques ou similaires utilisés sur d’autres services ;
- Utiliser des mots de passe uniques et solides, éventuellement via un gestionnaire de mots de passe ;
- Activer la double authentification (2FA) partout où c’est possible ;
- Activer les Passkeys lorsque l’option est disponible ;
- Rester vigilant face aux courriels, SMS ou appels suspects dans les semaines suivant la fuite ;
- Ne jamais cliquer sur un lien ou télécharger une pièce jointe en cas de doute ;
- Prévenir ses contacts si le piratage peut les concerner ;
- Mettre à jour ses appareils et logiciels pour corriger les failles de sécurité ;
- En cas de virement frauduleux, effectuer un signalement sur la plateforme Perceval.
Ce qui est confirmé : l’intrusion, le nombre de contrats touchés, la nature des données exposées, les critiques de la Cnil et le montant de l’amende. Ce qui reste incertain : l’issue du recours déposé par Free devant le Conseil d’État et l’ampleur exacte des utilisations frauduleuses qui pourraient découler de cette fuite.