VIE PRIVÉE22 août 2026
En bref : SFR a confirmé le 20 août 2026 une fuite de données touchant plus de 2,1 millions de lignes de sa filiale Fibre Red by SFR. Le pirate signant ZeroBytes — déjà identifié derrière les fuites FFHandball, DGFiP et Éducation nationale — revendique une intrusion remontant au 30 juin 2026 dans le portail interne NOVA.
Sommaire
SFR confirme une fuite de 2,1 millions de lignes Fibre
SFR confirme depuis le 20 août 2026 une fuite de données touchant plus de 2,1 millions de lignes de sa filiale Fibre Red by SFR, après la revendication d’un pirate signant ZeroBytes sur un forum cybercriminel le 17 juillet. L’opérateur, numéro deux des télécoms en France avec environ 22 millions de clients mobiles et fixes, a confirmé la compromission sans valider le chiffre exact avancé par l’attaquant.
La chronologie posée par SFR et par la revendication du pirate ne coïncide pas totalement. Selon ZeroBytes, l’intrusion dans le système remonte au 30 juin 2026. SFR affirme de son côté avoir détecté l’incident dès le 2 juillet et avoir coupé les accès compromis « immédiatement ». Reste que les clients concernés n’ont été notifiés que le 20 août — soit près de sept semaines après la détection, un délai que l’opérateur justifie par le temps nécessaire à l’analyse technique de l’ampleur réelle de la compromission.
NOVA, l’outil interne visé par l’intrusion
Le portail compromis s’appelle NOVA, un outil interne utilisé par les équipes de SFR pour consulter et gérer les informations relatives aux abonnés fixes, aux équipements réseau et à l’infrastructure fibre. Ce type d’outil de « back-office » est particulièrement recherché par les attaquants : il centralise des données de plusieurs millions de clients dans une interface unique, généralement moins protégée que les systèmes de paiement ou d’authentification grand public.
Le message de revendication, publié le 17 juillet 2026, annonçait l’extraction de 2 104 093 lignes de données. SFR reste prudent sur ce chiffre : l’opérateur confirme la réalité de l’incident mais n’a pas certifié le volume exact revendiqué par l’attaquant, une réserve habituelle tant que l’analyse forensique n’est pas achevée.
Quelles données sont concernées
Selon les informations communiquées par SFR, les données exposées comprennent :
- Nom et prénom
- Adresse postale
- Numéro de téléphone mobile
- Identifiant de contrat
- Certaines données techniques liées à la ligne Fibre (référence d’équipement, informations de raccordement)
SFR assure que les mots de passe et les coordonnées bancaires ne font pas partie des données exposées. Cette précision, si elle est confirmée dans la durée, limite le risque de fraude bancaire directe — mais pas le risque d’usurpation d’identité ou de campagnes de hameçonnage ciblées, la combinaison nom + adresse + numéro de téléphone + identifiant de contrat suffisant à construire un message frauduleux crédible se faisant passer pour l’opérateur.
À noter : Une donnée technique liée à une ligne Fibre (référence de raccordement, identifiant d’équipement) peut, combinée à l’adresse postale, faciliter des tentatives d’usurpation auprès d’un technicien ou d’un service client — un vecteur d’ingénierie sociale moins connu du grand public que le simple vol de mot de passe.
ZeroBytes, un pirate déjà identifié par la rédaction
Le signataire de la revendication n’est pas un inconnu. ZeroBytes est le pseudonyme déjà associé à plusieurs fuites de données françaises majeures documentées ces dernières semaines : la fuite FFHandball (1,36 million de fiches de licenciés, dont 311 000 documents d’identité, revendiquée le 11 août), et surtout la fuite DGFiP du 14 août, où 678 438 lignes de données fiscales avaient été dérobées après une intrusion restée invisible pendant six semaines.
La signature du même pseudonyme sur trois cibles aussi différentes — une fédération sportive, l’administration fiscale, et désormais un opérateur télécom — confirme qu’il ne s’agit pas d’incidents isolés mais d’une campagne suivie, menée par un acteur unique qui alterne les cibles institutionnelles et privées. Le ministère de l’Intérieur a lui-même été visé par une intrusion distincte fin 2025, révélée le 21 août par une enquête du Monde — dossier traité séparément par la rédaction, ZeroBytes n’y étant pas identifié comme responsable.
La réaction de SFR
SFR affirme avoir réagi « immédiatement » après la détection du 2 juillet, en coupant les accès à l’outil compromis et en renforçant les mesures de protection autour de NOVA. L’opérateur indique également avoir notifié l’incident à la CNIL (Commission nationale de l’informatique et des libertés), comme l’exige le RGPD pour toute violation de données susceptible d’engendrer un risque pour les personnes concernées, et avoir déposé une plainte auprès du procureur de la République.
Le délai de sept semaines entre la détection et la notification aux clients reste le point le plus critiquable de cette communication. Le RGPD impose en principe une notification à la CNIL sous 72 heures après la découverte d’une violation, mais laisse plus de latitude pour l’information des personnes concernées lorsque l’ampleur exacte de l’incident nécessite une investigation technique préalable — un délai que SFR invoque implicitement sans le détailler publiquement.
Ce que risquent concrètement les abonnés Red by SFR
Pour les clients concernés, les risques identifiables à ce stade sont :
- Hameçonnage ciblé (« spear phishing ») : un message ou appel se faisant passer pour SFR, utilisant le vrai nom, la vraie adresse et l’identifiant de contrat de la victime pour paraître légitime
- Usurpation d’identité partielle : les données exposées ne suffisent pas à elles seules à ouvrir un compte bancaire, mais peuvent compléter un dossier de fraude déjà amorcé avec d’autres fuites
- Démarchage frauduleux : sollicitation abusive se présentant comme un technicien SFR pour obtenir un accès physique ou des informations complémentaires
Les autorités recommandent, en cas de fuite de ce type, de rester vigilant face à tout appel ou SMS non sollicité se présentant comme émanant de l’opérateur, de ne jamais communiquer de code de vérification reçu par SMS à un interlocuteur, et de signaler tout message suspect via le 33700.
Une série de fuites qui s’allonge
Cette fuite s’inscrit dans une vague particulièrement dense de compromissions de données françaises observée depuis le printemps 2026 : ANTS, EDF, OVHcloud, FFHandball, DGFiP, et désormais SFR. Le 21 août 2026 seul, cinq organisations françaises distinctes (dont Beauty Success et Bureau Vallée) ont vu leurs bases clients revendiquées le même jour, exposant potentiellement plus de 12 millions de Français selon l’observatoire indépendant FrenchBreaches — signe d’une pression soutenue sur les systèmes d’information français, qu’il s’agisse d’un même acteur ou d’une multiplication d’attaquants profitant de failles similaires.
Chronologie
- 30 juin 2026 — début de l’intrusion selon ZeroBytes
- 2 juillet 2026 — détection et coupure des accès par SFR
- 17 juillet 2026 — revendication publique sur un forum cybercriminel
- 20 août 2026 — confirmation officielle et notification aux clients
Questions fréquentes
Comment savoir si je suis concerné par la fuite SFR ?
SFR indique notifier individuellement les clients Fibre concernés par e-mail ou courrier. En l’absence de notification, l’opérateur considère que le compte n’est pas identifié comme exposé — mais l’exhaustivité de cette notification n’est pas garantie tant que l’ampleur exacte de la fuite n’est pas confirmée.
Mes identifiants de connexion ont-ils fuité ?
Non, selon SFR : les mots de passe ne font pas partie des données exposées dans cette fuite. Seules des données d’identité et des données techniques liées à la ligne Fibre sont concernées.
Que faire si je reçois un appel suspect se présentant comme SFR ?
Ne communiquez aucun code reçu par SMS, ne confirmez aucune donnée personnelle par téléphone, raccrochez et contactez le service client via les canaux officiels de l’opérateur pour vérifier la légitimité de la démarche.
Conclusion
La fuite SFR confirme, chiffres à l’appui, ce que plusieurs incidents laissaient déjà deviner depuis le mois d’août : ZeroBytes n’est pas un cas isolé mais un acteur qui mène une campagne suivie contre des cibles françaises variées, institutionnelles comme privées. Pour les abonnés Red by SFR, l’enjeu immédiat n’est pas la fraude bancaire directe mais l’exposition à des tentatives d’hameçonnage rendues plus crédibles par la précision des données volées.
Rappel sur les limites de cet article : Le chiffre de 2,1 millions de lignes provient de la revendication du pirate ZeroBytes et n’a pas été formellement confirmé par SFR à la date de publication. L’attribution à ZeroBytes repose sur la signature du message de revendication, recoupée par plusieurs médias spécialisés ; aucune enquête judiciaire n’a à ce stade formellement identifié l’auteur réel derrière ce pseudonyme.
Sources
- 01net — SFR confirme une fuite de données, 2,1 millions de lignes revendiquées par le pirate des impôts
- Numerama — Nouvelle fuite de données en France : Red by SFR alerte ses clients
- Le Tribunal du Net — SFR piraté : 2,1 millions d’abonnés fibre touchés, le hacker de la DGFiP encore derrière l’attaque
- IT-Connect — SFR : fuite de données abonnés fibre via le portail NOVA
- Next — SFR prévient ses clients Fibre d’une fuite de données
Une donnée fuitée ne s’efface jamais — elle ne fait que changer de mains.
Source : Lire l’article original