Le 27 octobre 2024, Free, l’un des principaux opérateurs télécoms en France, a été frappé par une cyberattaque de grosse ampleur. Un pirate informatique a revendiqué le vol massif de données personnelles de millions d’abonnés et a diffusé un échantillon de coordonnées bancaires en guise de preuve. Cet acte, qualifié « d’avertissement », met en lumière les failles de sécurité des entreprises face à des cybermenaces toujours plus sophistiquées.
Dans un contexte où les données personnelles sont devenues un enjeu stratégique autant qu’une cible privilégiée des cybercriminels, cette affaire soulève des interrogations cruciales : les entreprises sont-elles prêtes à faire face à de telles attaques ? Et comment protéger les utilisateurs d’éventuelles conséquences dramatiques ?
🟠 1 – Une rançon fixée à 70 000 $ pour des données sensibles
Le cybercriminel à l’origine de cette attaque a mis en vente sur le dark web des données volées appartenant aux abonnés de Free, exigeant une rançon de 70 000 dollars. Ces données incluent des informations personnelles sensibles telles que les noms, prénoms, adresses, et numéros de téléphone. Toutefois, Free a rapidement assuré que les données bancaires des clients, notamment les IBAN, n’étaient pas compromises.
Malgré ces déclarations, le pirate a diffusé, dans la nuit du 27 octobre 2024, un échantillon contenant 100 000 IBAN, affirmant qu’il détenait un total de 5,11 millions de coordonnées bancaires. Ce geste qualifié « d’avertissement » par le hacker, visait à démontrer la véracité de ses propos et à alerter les abonnés sur la potentielle circulation de leurs coordonnées bancaires.
🟠 2 – Impact sur les abonnés : une alerte à prendre au sérieux
La diffusion de cet échantillon de données soulève des inquiétudes majeures pour les abonnés de Free. Si les coordonnées bancaires venaient à être effectivement exploitées, les conséquences pourraient être graves, allant du vol d’identité aux fraudes financières.
Free, dans sa communication, a invité ses clients à une vigilance accrue. L’opérateur recommande notamment de surveiller de près leurs relevés bancaires et de signaler toute activité suspecte auprès de leur établissement financier.
🟠 3 – Cybersécurité : un enjeu critique pour les entreprises
Cette attaque met en lumière la nécessité pour les entreprises de renforcer leur système de protection des données. La cybercriminalité, en constante évolution, cible de plus en plus les organisations disposant de vastes bases de données personnelles. Dans le cas de Free, la divulgation de ces informations compromet non seulement la sécurité de ses abonnés, mais également la confiance des consommateurs envers l’entreprise.
Le Règlement Général sur la Protection des Données (RGPD) impose aux entreprises des obligations strictes en matière de protection des données personnelles. En cas de manquement, celles-ci s’exposent à des sanctions pouvant aller jusqu’à 20 millions d’euros ou 4% de leur chiffre d’affaires annuel mondial. Il reste à voir si l’attaque subie par Free entraînera une enquête de la CNIL et d’éventuelles mesures correctives.
🟠 4 – Plutôt prévenir que guérir : le rôle des entreprises face aux cyberattaques.
Les entreprises doivent adopter une approche proactive pour contrer les cybermenaces. Cela inclut la mise en place de systèmes de sécurité robustes, la formation des employés aux bonnes pratiques en matière de cybersécurité, et la réalisation régulière d’audits pour identifier les failles potentielles.
En parallèle, il est essentiel d’avoir un plan de réponse aux incidents permettant de limiter l’impact des cyberattaques et de rassurer rapidement les clients. Une communication transparente, comme celle adoptée par Free, joue un rôle clé dans la gestion des crises.
🟠 Conclusion
L’attaque subie par Free rappelle l’importance cruciale de la cybersécurité à une époque où les données personnelles représentent une véritable monnaie d’échange pour les cybercriminels. Les abonnés, quant à eux, doivent rester vigilants et prendre des mesures pour protéger leurs informations sensibles.
Pour les entreprises, cette affaire est un signal d’alarme : investir dans la protection des données et se conformer aux normes légales en vigueur ne sont plus seulement des obligations, mais une condition sine qua non pour préserver leur réputation et la confiance de leurs clients.
Pour en savoir plus / sources :
Le 3 septembre 2025, le Tribunal de l'Union Européenne a rejeté le recours d’un citoyen français (M. Philippe Latombe, député français et membre de la CNIL) visant à annuler la décision de la Commission européenne du 10 juillet 2023, établissant l’adéquation du nouveau cadre de transfert de données personnelles entre l’Union européenne et les États-Unis. Ce cadre, connu sous le nom de Data Privacy Framework (DPF), succède au Privacy Shield, invalidé en 2020 par la CJUE dans l’affaire Schrems II. Le DPF repose sur des engagements renforcés pris par les États-Unis en matière de protection des données, notamment via le décret présidentiel 14086, encadrant les activités de renseignement.
Dans le cadre de son plan d’action initié en 2019 pour encadrer l’usage des cookies numériques, la CNIL a récemment prononcé deux sanctions majeures à l’encontre de Google et Shein, illustrant sa volonté de renforcer la protection des données personnelles des internautes.
Par une décision n° 2025‑1154 Question Prioritaire de Constitutionnalité (QPC) rendue le 8 août 2025, le Conseil constitutionnel a opéré un revirement majeur …
Dans un monde où l’intelligence artificielle transforme en profondeur les pratiques professionnelles, la protection des données personnelles devient un enjeu central pour les avocats. Conscients de cette évolution, la CNIL et le Conseil national des barreaux (CNB) ont renouvelé, le 17 juillet 2025, leur partenariat pour une durée de trois ans, poursuivant ainsi une collaboration initiée à la suite de précédentes conventions de partenariat signées en 2010, 2012, et 2019.