Des abonnés de SFR ont reçu le 20 août 2026 une notification les informant qu'un accès non autorisé avait visé un outil interne d'analyse des raccordements fibre. Leur nom, leur adresse postale, leur numéro de mobile et leur identifiant de contrat font partie des données concernées. L'opérateur de télécommunications, présent sur le fixe, le mobile et la fibre, ne communique aucun nombre de clients touchés.
Ce que SFR a indiqué à ses abonnés après la cyberattaque
Selon la notification, l'accès non autorisé a été détecté le 2 juillet 2026. Il a porté sur la civilité, le nom, le prénom, l'adresse postale, le numéro de téléphone mobile, l'identifiant de contrat et des données techniques liées à la ligne. SFR précise que les mots de passe et les informations bancaires ne sont pas concernés.
L'opérateur indique avoir désactivé le compte utilisé pour accéder à l'outil et bloqué les adresses IP à l'origine de l'accès. L'incident a été notifié à la CNIL et a donné lieu à une plainte auprès du procureur de la République.
Une base mise en vente avant la notification
Le 17 juillet 2026, plus d'un mois avant la notification aux abonnés, un pirate mettait en vente sur un forum cybercriminel une base présentée comme extraite de ce même outil. Selon cette revendication, elle compterait environ 2,1 millions de lignes, et un échantillon de 1 000 lignes était diffusé en accès libre. Ce volume n'est pas confirmé par SFR.
Pour les abonnés, l'association du nom, de l'adresse, du numéro de mobile et de l'identifiant de contrat donne à un fraudeur de quoi se faire passer de façon convaincante pour le service client de SFR, par exemple à propos d'un prétendu problème de raccordement ou d'une intervention technique. Les informations sur la ligne et l'adresse du logement raccordé rendent ces appels ou SMS d'autant plus crédibles.
Détails techniques :
- Accès non autorisé détecté le 2 juillet 2026, notification aux abonnés le 20 août 2026
- Outil visé : outil interne d'analyse des raccordements fibre
- Compte d'accès désactivé et adresses IP bloquées
- CNIL notifiée, plainte déposée auprès du procureur de la République
- Base annoncée le 17 juillet 2026 : environ 2,1 millions de lignes, échantillon de 1 000 enregistrements en accès libre
- Mots de passe et informations bancaires non concernés selon SFR
Données concernées :
- Civilité et nom complet
- Adresse postale, ville et code postal
- Géolocalisation
- Numéro de téléphone mobile
- Adresse IP
- Données d'appareil et données techniques de la ligne
- Identifiant interne (identifiant de contrat)
- Fiche client
- Données professionnelles
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise