SFR a confirmé jeudi avoir été victime en juillet d'une fuite de données visant des abonnés fibre, après la diffusion de courriers adressés aux clients. L'incident, détecté le 2 juillet par les équipes de sécurité de l'opérateur, a affecté un outil de gestion des raccordements fibre et a pu rendre temporairement accessibles certaines données personnelles liées aux lignes abonnés.
Ce qui a fuité et ce qui ne l'a pas été
Selon le courrier cité par l'AFP, les informations potentiellement consultables comprenaient notamment l'adresse, l'e-mail et le numéro de téléphone des abonnés. SFR indique cependant que « les mots de passe et données bancaires ne sont pas concernés ». L'opérateur n'a pas précisé le nombre total d'abonnés affectés.
« SFR a détecté un incident de sécurité suite à un acte de cyber malveillance dont les conséquences ont pu se traduire par l'accessibilité temporaire de données liées aux lignes d'abonnés Fibre comme l'adresse, l'e-mail ou le numéro de téléphone. »
Mesures prises et suites judiciaires
À la découverte de la faille, SFR affirme avoir immédiatement coupé l'accès incriminé et renforcé les protections autour de l'outil concerné. L'incident a été notifié à la Commission nationale de l'informatique et des libertés (CNIL), comme l'exige la réglementation française depuis 2018, et une plainte a été déposée auprès du Procureur de la République.
Ces démarches visent à établir l'ampleur précise de la compromission, identifier les responsables et prévenir d'éventuels usages malveillants des données. La notification à la CNIL permet également de définir les obligations d'information des personnes concernées et les mesures correctrices à appliquer.
Contexte : un opérateur déjà visé par des cyberattaques
SFR avait déjà été la cible d'une attaque en 2024 au cours de laquelle des coordonnées bancaires de certains clients avaient été compromises. Ce nouvel incident s'inscrit dans un contexte plus large de hausse des atteintes informatiques touchant administratives et entreprises : la Direction générale des finances publiques (DGFiP) et d'autres acteurs ont récemment été concernés par des vols de données.
Pour les abonnés, la nature des informations potentiellement exposées — adresse postale, courriel, numéro de téléphone — pose principalement un risque d'hameçonnage (phishing), d'usurpation d'identité téléphonique ou d'envoi ciblé de courriers frauduleux. Les mots de passe et données bancaires, éléments plus sensibles, restent selon l'opérateur hors de portée des auteurs de l'attaque.
Conséquences pratiques pour les abonnés
Concrètement, les abonnés concernés doivent rester vigilants face à :
- des tentatives d'hameçonnage par e-mail ou SMS ;
- des appels ou messages usurpant l'identité d'organismes légitimes ;
- des courriers physiques ciblés demandant des informations ou des paiements.
Les recommandations usuelles s'appliquent : ne pas cliquer sur des liens suspects, vérifier l'adresse de l'expéditeur, ne pas communiquer d'informations sensibles par téléphone ou courriel et signaler toute démarche douteuse aux autorités compétentes.
| Élément | Information |
|---|---|
| Date de détection | 2 juillet |
| Données potentiellement accessibles | Adresse, e-mail, numéro de téléphone |
| Données exclues | Mots de passe, données bancaires |
| Actions entreprises | Couper l'accès, mesures de protection renforcées, notification CNIL, plainte au parquet |
Sur le plan économique, ces incidents répétés mettent en lumière les coûts directs et indirects supportés par les opérateurs : interventions techniques, procédures juridiques, et surtout la perte de confiance des clients. Pour les consommateurs, le risque est surtout opérationnel et d'ordre pratique — démultiplication de courriers frauduleux ou tentatives de phishing — mais il peut aussi conduire à des démarches de réparation lorsque des préjudices sont constatés.
Face à la fréquence des attaques, l'enjeu pour les opérateurs est double : renforcer les systèmes techniques de protection et améliorer la communication aux abonnés afin de limiter les conséquences des fuites lorsqu'elles surviennent. Les autorités de régulation et la justice seront désormais attentives aux suites de la plainte déposée par SFR et à l'évaluation par la CNIL.
