Free envoie un e-mail à ses abonnés pour leur annoncer avoir fait l’objet d’un piratage. Les données des millions de clients de l’opérateur ont été volées. Plus tôt cette semaine, un hacker affirmait avoir collecté les données de 19 millions de clients.
Hack confirmé pour Free
L’e-mail de Free indique :
Nous vous écrivons afin de vous informer que Free a été victime d’une cyberattaque ciblant un outil de gestion.
Cette attaque a entrainé un accès non autorisé à une partie des données personnelles associées à votre compte abonné : nom, prénom, adresses email et postale, date et lieu de naissance, numéro de téléphone, identifiant abonné et données contractuelles (type d’offre souscrite, date de souscription, abonnement actif ou non).
Aucun de vos mots de passe n’est concerné.
Le fournisseur d’accès à Internet poursuit en assurant que « toutes les mesures nécessaires ont été prises immédiatement pour mettre fin à cette attaque et enforcer la protection de nos systèmes d’information ». Il ajoute avoir notifié la Commission nationale de l’informatique et des libertés (CNIL) ainsi que l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Le groupe de Xavier Niel a également déposé une plainte pénale auprès du procureur de la République.
Au vu de la situation, Free invite ses clients à faire attention aux futurs e-mails, SMS et appels frauduleux qu’ils recevront. Aussi, l’entreprise met à disposition un numéro vert : 0 805 921 100.
« Nous regrettons sincèrement cette atteinte à la confidentialité de vos informations », conclut l’e-mail.
19,2 millions de données de clients dans la nature
Il y a quelques jours, un pirate affirmait avoir piraté Free et Free Mobile le 17 octobre et avoir pu collecter les données de 19,2 millions de clients (fixes avec la Freebox et mobiles) ainsi que 5,11 millions d’IBAN. Ce point en particulier est délicat, puisqu’il y a un lien direct avec les coordonnées bancaires.
Dans son e-mail, Free ne dit rien sur le nombre de clients touchés, tout comme il n’y a pas de mention aux IBAN.
Le mois dernier, c’est SFR qui avait confirmé avoir lui-même fait l’objet d’un énorme piratage. Et pour le coup, l’opérateur au logo rouge avait bien évoqué un vol d’IBAN.
Ça n’est pas quelque chose qu’on peut faire avec les autres données, car l’entreprise n’aurait plus accès qu’à la version « hashée » de ces données, ce qui ne lui sert à rien. Les « crypter » ne servirait à rien non plus, car la clé de déchiffrement devrait être partagée par tous les acteurs qui ont un besoin légitime d’accèder à ces données, ce qui représente beaucoup trop de monde pour considérer que c’est sécurisé.