« Cette attaque a donné lieu à un accès non autorisé à certaines données personnelles associées à votre compte abonné : prénom, nom, adresses email et postale, numéro de téléphone, identifiant de l’abonné, IBAN et données contractuelles (type d’offre souscrite, date de souscription, actif). abonnement ou non). » Dans un mail envoyé à ses abonnés ce lundi matin, Free, deuxième opérateur téléphonique de France, confirme avoir été « victime d’une cyberattaque visant un outil de gestion ». La rumeur circulait depuis lundi dernier, sachant qu’un hacker aurait mis en vente les données personnelles de 19 millions de clients Free sur le Dark Web. Et pas seulement ça. 20 minutes fait le point.
Ce qui s’est passé?
Free a été « victime d’une cyberattaque visant un outil de gestion » ayant conduit à « un accès non autorisé à une partie des données personnelles associées aux comptes de certains abonnés », a confirmé ce samedi le deuxième opérateur téléphonique de France dans un communiqué. « Aucun impact opérationnel n’a été constaté sur (ses) activités et (ses) services », a ajouté Free, qui n’a pas précisé la date ni l’ampleur de l’attaque.
Depuis, les données personnelles de 19,2 millions de clients Free et les coordonnées bancaires de plus de cinq millions d’entre eux sont en vente sur le Dark Web. Cette révélation a été faite sur X par le hacker éthique et expert en cybersécurité SaxX. Une révélation repérée la semaine dernière par le site Presse-Citron. Clément Domingo, alias SaxX, a également assuré que l’attaque avait été revendiquée par un cybercriminel et avait eu lieu le 17 octobre dernier.
Quelles données sont concernées par cette attaque ?
Dans le détail, le cybercriminel à l’origine de l’attaque proposerait un premier fichier de plus de 43 gigaoctets qui comprendrait les noms, prénoms, adresses postales, numéros de téléphone, e-mails et même les identifiants Freebox des clients. Le hacker affirme également avoir mis la main sur les coordonnées bancaires (Iban) de plus de 5,11 millions d’abonnés. Ceux-ci seraient contenus dans un deuxième fichier.
« Aucun mot de passe », « pas de carte bancaire », « aucun contenu des communications (e-mails, SMS, messages vocaux, etc.) » ne sont concernés, de son côté, a assuré l’entreprise ce samedi.
Comment les abonnés sauront-ils s’ils sont concernés ?
« Les abonnés concernés ont été ou seront informés par courrier électronique prochainement », a indiqué samedi l’opérateur. Et, ce lundi matin, dans un mail envoyé à ses abonnés, Free a assuré ses clients : « Aucun de vos mots de passe n’est concerné. » « Toutes les mesures nécessaires ont été prises immédiatement pour mettre fin à cette attaque et renforcer la protection de nos systèmes d’information », avance encore l’opérateur.
« Nous vous invitons à être extrêmement vigilants quant aux risques d’emails, SMS ou appels frauduleux. Attention, nos conseillers ne vous demanderont jamais vos mots de passe oralement », prévient Free, qui dit « regretter sincèrement cette violation de la confidentialité » des informations de ses abonnés.
« Nous vous invitons à être extrêmement vigilants quant aux risques d’emails, SMS ou appels frauduleux. Attention, nos conseillers ne vous demanderont jamais vos mots de passe oralement », conseille l’opérateur. Et communiquez un numéro vert (0 805921100) et l’email du service officiel d’aide aux victimes du numérique www.cybermalveillance.gouv.fr.
Selon le hacker éthique SaxX, difficile de savoir s’il s’agit d’un bluff destiné à faire pression sur l’opérateur ou si les données ont bien été volées. En cas de doute, il est recommandé aux clients Free de modifier leurs codes d’accès, d’utiliser un gestionnaire de mots de passe et d’activer l’authentification à deux facteurs. S’ils sont victimes de phishing, ils devront également être vigilants face à tout lien suspect reçu par email ou SMS.
Enfin, il est conseillé de vérifier fréquemment vos comptes bancaires afin de détecter rapidement une transaction inhabituelle.
Où en est l’enquête ?
« Une plainte pénale a été déposée auprès du procureur de la République », a déclaré Free samedi, à l’issue d’une enquête interne de plusieurs jours. La Commission nationale de l’informatique et des libertés (Cnil) et l’Agence nationale de la sécurité des systèmes d’information (Anssi) ont été saisies, comme prévu par la loi.
« Une plainte pénale a également été déposée auprès du procureur de la République. L’auteur de ce délit encourt une peine de cinq ans d’emprisonnement et de 150 000 euros d’amende », a assuré ce lundi l’opérateur dans son mail adressé à ses abonnés. Pour l’instant, aucun prix n’a été annoncé par un quelconque pirate même si, toujours selon Presse-Citron et RTL, le malfaiteur a annoncé vouloir vendre ces fichiers via un « Escrow Agreement », méthode faisant intervenir un tiers de confiance. du Dark Web pour garantir que la transaction se déroule sans accroc.
