« À part l'IBAN, on ne parle absolument pas de données sensibles » : Free a tenté de minimiser les risques de son piratage géant

D’après Cash Investigation, l’avocate de Free a tenté de relativiser le piratage de 24 millions de contrats survenu en 2024 en estimant que, hormis l’IBAN, les données exposées n’étaient pas sensibles. Un argument qui n’a pas convaincu la Cnil.

Piratage de Free // Source : Montage Frandroid

L’enquête de Cash Investigation, « Cyber-arnaques : État et entreprises nous protègent-ils vraiment ? », diffusée ce jeudi 10 septembre sur France 2 revient sur les grandes fuites de données de ces derniers mois, et Free y est particulièrement mis en avant. Dans un extrait qui a circulé, on apprend que l’avocate de l’opérateur a tenté de minimiser les risques engendrés après le piratage massif visant les clients de Free.

🔴 Sidérant — Après le piratage des données de 24 millions de clients de Free et Free Mobile, leur avocate minimise : « à part l’IBAN, on ne parle pas de données sensibles ».

Le pirate serait pourtant resté plusieurs semaines sans être détecté, aspirant via des comptes salariés… pic.twitter.com/LfHUWLhfbr
— Seb (@seblatombe) September 11, 2026

Le problème remonte à octobre 2024. Un attaquant s’est introduit dans les systèmes de Free via le VPN utilisé par les salariés en télétravail avant de tromper d’autres employés en se faisant passer pour le service informatique. Il est resté infiltré plusieurs semaines à aspirer des fichiers sans être repéré. Au bout du compte, les données liées à 24 millions de contrats se sont retrouvées exposées : noms, adresses postales, coordonnées et, pour une partie des victimes, leurs IBAN.

Après sa manœuvre, le pirate annonçait carrément avoir revendu ces données et une enquête a donc été ouverte. Si la Cnil a fini par se pencher sur le dossier, c’est aussi parce que la fuite a déclenché une vague de signalements : plus de 2 500 plaintes ont été déposées auprès de l’autorité, ce qui l’a conduite à contrôler les pratiques de l’opérateur.

Une protection complète de votre vie numérique.

Protégez votre vie numérique et vos appareils contre les virus, arnaques, ransomwares et menaces en ligne avec Bitdefender, primé pour sa protection et compatible avec Windows, Mac, Android et iOS.

Free a tenté de minimiser les risques

Pendant l’enquête qui en découle, le rapporteur de la Cnil affirme que Free « n’avait pas mis en œuvre des mesures adaptées pour détecter des comportements anormaux ». Pour le dire autrement, il pointe du doigt des négligences quant à la sécurisation des données clients.

En outre, le rapporteur estime que Free n’a pas suffisamment informé ses clients sur les risques provoqués par cette fuite de données. C’est précisément sur ce point que la réponse de l’avocate de Free fait tiquer. « À part l’IBAN, on ne parle absolument pas de données sensibles », avance-t-elle.

Toutes les données sont sensibles

Disons-le sans détour : cette affirmation est fausse. Aucun piratage, aucune fuite de données n’est anodine. En récupérant les noms, adresses postales et coordonnées, un pirate peut mieux cibler ses tentatives d’arnaque et rendre ses mails et messages frauduleux encore plus crédibles. Surtout s’il croise ses informations avec celles d’autres bases de données piratées pour être encore mieux informé sur ses victimes.

En outre, l’avocate a raison de considérer l’IBAN comme une information sensible, mais elle semble oublier que cette donnée devient particulièrement dangereuse si, justement, un pirate mal intentionné met également la main sur le nom, l’adresse et le numéro de téléphone par exemple. Bref, toutes ces autres données qu’elle n’estime « absolument pas » sensibles.

L’argument n’a de toute façon pas fonctionné. Le 13 janvier 2026, la Cnil a infligé 42 millions d’euros d’amende, répartis entre 27 millions pour Free Mobile et 15 millions pour Free. L’entreprise conteste la décision et a formé un recours auprès du Conseil d’État.

La détection défaillante n’est pas le seul reproche de la Cnil. L’autorité pointe aussi une conservation excessive de données : Free gardait des IBAN et d’autres informations d’anciens abonnés bien au-delà de la durée nécessaire. Un point qui a mécaniquement élargi le nombre de victimes et pesé dans le montant de l’amende.

Les bons réflexes en cas de piratage

Si vous avez été victime d’un piratage ou d’une fuite de données, quelques bonnes pratiques sont à garder en tête pour mieux vous protéger. Frandroid en a fait une liste :

Changer sans attendre les mots de passe des comptes concernés ;
En profiter pour changer aussi les mots de passe identiques ou similaires sur d’autres services ;
Utiliser des mots de passe uniques et solides (avec, pourquoi pas, un gestionnaire de mots de passe) ;
Activer la double authentification (2FA) partout où c’est possible ;
Activer les Passkeys quand c’est possible ;
Dans les semaines à venir, se méfier des emails, SMS ou appels suspects, même s’ils semblent crédibles ;
Ne jamais cliquer sur un lien ou télécharger une pièce jointe en cas de doute ;
Prévenir ses contacts si le piratage peut les concerner ;
Mettre à jour ses appareils et logiciels pour corriger d’éventuelles failles de sécurité ;
En cas de virements frauduleux, faire un signalement sur la plateforme Perceval.