SFR : 2,1 millions de comptes clients dans le viseur du pirate Zerobytes
L'opérateur devient la troisième cible française revendiquée par le même groupe en moins d'un mois, après la DGFiP et un service public dédié au logement vacant.
Un opérateur télécom qui perd le contrôle de 2,1 millions de comptes clients, ce n'est jamais un non-événement. Pour SFR, la revendication publiée par le pirate Zerobytes s'ajoute à une longue liste d'incidents ayant touché le secteur des télécoms français ces dernières années, un secteur qui concentre à la fois des données d'identité, des coordonnées bancaires partielles et des historiques de facturation détaillés.
SFR n'a pas communiqué, au moment de la rédaction, sur la nature exacte des champs concernés. C'est là que se joue l'essentiel pour un abonné: un identifiant et une adresse email qui fuitent ouvrent la porte au phishing ciblé, mais un IBAN associé au compte change radicalement la gravité de l'incident et les obligations de l'opérateur en matière de notification.
Le mode opératoire ressemble, sur le papier, à celui déployé contre la DGFiP quelques jours plus tôt: une revendication publique rapide, avant toute confirmation officielle de la victime, avec mise en vente ou mise en négociation immédiate sur des forums spécialisés. Cette stratégie de communication n'est pas accessoire. Elle sert à créer une pression que la victime ne peut plus totalement contrôler une fois l'information rendue publique, même si elle conteste ensuite le volume ou la nature réelle des données.
Les opérateurs télécom restent une cible structurellement attractive pour ce type de groupe. Ils gèrent des bases de plusieurs millions de clients, sous-traitent une partie de leur système d'information à des prestataires externes, et le SIM swapping reste un vecteur d'attaque documenté depuis des années sur ce secteur précis. Une fuite de données personnelles chez un opérateur augmente mécaniquement le risque de SIM swapping ciblé contre les abonnés les plus exposés, notamment ceux disposant d'un accès bancaire lié à leur numéro de mobile.
Un opérateur télécom qui perd le contrôle de 2,1 millions de comptes clients, ce n'est jamais un non-événement.
En l'absence de confirmation officielle, la prudence reste de mise sur l'ampleur exacte du volume annoncé. Mais l'accumulation, DGFiP, un service public du logement, désormais SFR, en l'espace de quelques semaines, dessine soit une campagne coordonnée contre plusieurs cibles françaises, soit un fournisseur commun compromis en amont, une hypothèse que les enquêteurs privilégient généralement dans ce genre de séquence rapprochée.
Les abonnés SFR inquiets peuvent, en attendant une communication officielle, activer une vérification en deux étapes sur leur espace client et rester attentifs à tout SMS ou appel se présentant comme le service client de l'opérateur, en particulier s'il demande un code de vérification.
L'Arcep, le régulateur des télécoms, n'est pas directement compétente sur la protection des données personnelles, ce rôle revient à la CNIL, mais elle suit de près ce type de dossier dans la mesure où la confiance des abonnés dans la sécurité de leur opérateur reste un critère concurrentiel de plus en plus visible, à mesure que les incidents de ce type se multiplient dans le secteur.
D’après INCYBER NEWS.
