SFR confirme une fuite de données, 2,1 millions de lignes revendiquées par le pirate des impôts

Détectée le 2 juillet, la fuite n’arrive dans les boîtes mail des clients que sept semaines plus tard. Sur un forum cybercriminel, un pirate revendiquait entre-temps 2,1 millions de lignes extraites d’un outil interne de l’opérateur.

Les abonnés fibre de SFR et de RED reçoivent depuis quelques heures un courrier au titre peu engageant : « Information importante concernant vos données personnelles ». L’opérateur y confirme un incident de sécurité visant un outil de gestion et d’analyse des raccordements fibre, repéré par ses équipes de sécurité le 2 juillet .

L’accès non autorisé a porté sur la civilité, le nom, le prénom, l’adresse postale, le numéro de mobile, l’identifiant de contrat et les données techniques associées à la ligne. Les mots de passe et les informations bancaires ne sont pas concernés , insiste l’opérateur. SFR affirme avoir désactivé le compte ayant servi à accéder à l’outil, bloqué et mis sous surveillance les adresses IP à l’origine de l’intrusion, puis renforcé sa veille interne. L’incident a été notifié à la CNIL et une plainte déposée auprès du procureur de la République.

Entre cette détection du 2 juillet et l’arrivée du courrier dans les boîtes mail, il s’est écoulé sept semaines jour pour jour . Le règlement européen impose de prévenir l’autorité de contrôle sous 72 heures. La formulation devient nettement plus élastique pour les clients eux-mêmes, qui doivent être informés « dans les meilleurs délais » en cas de risque élevé. Le nombre d’abonnés touchés, lui, n’a toujours pas été communiqué.

Un mois avant ce courrier, le 17 juillet, une revendication publiée sur un forum cybercriminel faisait état de la compromission d’un outil interne baptisé NOVA . Cette interface, pour Network Observation and Visual Analysis, sert à superviser les abonnements fixes, les équipements réseau et les infrastructures fibre. Son auteur annonçait l’extraction partielle d’une base de 2 104 093 lignes , entamée le 30 juin et stoppée avant son terme par les systèmes de détection de l’opérateur. Les échantillons diffusés laissaient apparaître des adresses IP, des adresses MAC, des modèles de box et des identifiants de raccordement fibre.

SFR confirme le piratage revendiqué par ZeroBytes, le hacker derrière l’attaque de la DGFiP. L’incident vise un outil de gestion des raccordements Fibre, avec plus de 2,1 millions de clients potentiellement concernés.

Les données exposées incluent notamment :… https://t.co/Q7ys6BI8Jr pic.twitter.com/tunqAq6vsg

Ce volume relève pour l’instant de la seule parole du pirate, faute de vérification indépendante. La signature attribuée à l’opération, ZeroBytes, serait celle qui revendique également le vol de 678 000 dossiers à la DGFiP et, cette semaine, 346 millions de lignes issues des systèmes de l’Éducation nationale .