Fuite de données chez RED by SFR : 2,1 millions de lignes exposées via un compte compromis

SFR a confirmé ce jeudi 20 août 2026 avoir été victime d'une fuite de données touchant ses abonnés fibre, y compris ceux de sa marque low-cost RED by SFR. L'incident, détecté le 2 juillet par les équipes de sécurité de l'opérateur, est lié à la compromission d'un compte valide donnant accès à NOVA, l'outil interne de gestion des raccordements fibre. Un pirate revendique l'extraction de plus de 2,1 millions de lignes de données.

Ce qui s'est passé

Selon le courrier envoyé aux clients RED by SFR, l'incident vise un outil interne de gestion et d'analyse des raccordements fibre. Les données concernées incluent la civilité, le nom et le prénom, l'adresse postale, le numéro de téléphone mobile, l'identifiant de contrat, ainsi que des données techniques liées à la ligne : adresse MAC, numéro de série de la box, identifiant de l'ONT et adresses IPv4. SFR précise que les mots de passe et informations bancaires ne sont pas concernés.

D'après l'opérateur, l'attaquant a mis la main sur un compte légitime qu'il a détourné — il ne s'agirait donc pas de l'exploitation d'une vulnérabilité technique, mais d'un accès compromis. SFR indique avoir désactivé le compte concerné et bloqué les adresses IP à l'origine des connexions frauduleuses. Le 17 juillet, soit deux semaines après la détection, une revendication est apparue sur un forum cybercriminel : plus de 2,1 millions de lignes extraites depuis le portail NOVA, avec une intrusion remontant au 30 juin. SFR a commencé à alerter ses clients le 20 août, près de sept semaines après la détection de l'incident.

Pourquoi c'est important

Ce dossier illustre un schéma désormais familier en France en 2026 : la compromission d'un compte légitime plutôt que l'exploitation d'une faille technique. C'est le même mode opératoire observé lors des récentes cyberattaques visant les services de l'État, notamment le piratage de l'Éducation nationale revendiqué par le groupe ZeroBytes ou encore l'intrusion sur le portail ANTS France Titres, où un accès détourné avait également déclenché toute la chaîne d'obligations RGPD.

Le délai entre la détection (2 juillet) et l'alerte aux abonnés (20 août) mérite attention. L'article 33 du RGPD impose de notifier la CNIL dans les 72 heures suivant la connaissance de la violation, mais ce délai ne s'applique pas à l'information des personnes concernées : celle-ci doit intervenir « dans les meilleurs délais » lorsque le risque est élevé pour leurs droits et libertés. Sept semaines d'attente, même justifiées par une phase d'investigation et de qualification du risque, interrogent sur la rapidité avec laquelle les responsables de traitement doivent arbitrer entre certitude technique et obligation d'information.

Autre point sensible : les données techniques exposées — modèle de box, identifiant ONT, adresse exacte, offre souscrite — permettent de construire un scénario d'ingénierie sociale redoutablement crédible, à l'image de ce qu'avait déjà démontré la sanction du régulateur italien contre WINDTRE pour une fuite exploitée via un faux technicien.

Ce que ça change pour les organisations

Pour les DPO et RSSI, cet incident renvoie à plusieurs priorités concrètes. D'abord, revoir la gestion des comptes à privilèges sur les outils internes sensibles : authentification renforcée, principe du moindre privilège, et surveillance des connexions atypiques — les mesures attendues au titre de l'article 32 du RGPD sur la sécurité du traitement. Ensuite, préparer en amont un plan de réponse à incident avec des modèles de communication clients prêts à l'emploi, pour compresser le délai entre détection et notification. Notre guide sur la conduite à tenir en cas de fuite de données détaille les réflexes à adopter côté organisation comme côté personnes concernées.

Enfin, les équipes support et terrain doivent être formées à repérer les tentatives d'usurpation exploitant des données techniques volées : un faux « technicien SFR » disposant du bon nom, de la bonne adresse et du bon modèle de box peut convaincre n'importe quel abonné d'ouvrir sa porte.

Ce que Leto pense de cette décision

SFR a fait le nécessaire sur le fond — compte désactivé, IP bloquées, CNIL vraisemblablement notifiée dans les délais légaux. Mais un délai de sept semaines avant d'informer les abonnés concernés, sur un incident aussi documenté que celui-ci, n'est pas un détail : c'est un signal sur la maturité du processus de gestion de crise. Deuxième fuite en deux ans chez le même opérateur, avec le même type de cause (compte ou outil interne compromis), cela cesse d'être un coup de malchance pour devenir une question de gouvernance. Les organisations qui subissent des incidents récurrents devraient documenter, à chaque fois, ce qui a été corrigé structurellement — pas seulement l'incident traité.

Sources : IT-Connect