Bouygues Telecom : 80 Go de données SAV fibre exposées, l’opérateur minimise

Bouygues Telecom a confirmé avoir subi une nouvelle fuite de données visant son outil de gestion des interventions fibre ^[1]. L’incident, révélé le 5 mai ^[2] par le compte de veille FrenchBreaches ^[3], a été officiellement reconnu par l’opérateur le 8 mai ^[4]. Trois jours plus tard, le 11 mai 2026 ^[5], Bouygues a apporté des précisions à la presse - sans pour autant communiquer le nombre exact de clients touchés ^[6].

LES ENJEUX

Opacité sur le nombre exact de victimes

Bouygues n'a communiqué aucun chiffre précis sur les clients touchés, alors qu'OverSec revendique 4,5 millions de personnes et Fuites Infos 4,1 millions d'abonnés Bbox - sans que les méthodologies soient publiées.

Risque de phishing ciblé immédiat

Les données sont jugées exploitables avec peu ou pas de traitement: nom, adresse, historique fibre permettent de monter de faux rendez-vous techniques crédibles.

Faille via la chaîne de sous-traitance

TECH360 est utilisé par les techniciens internes et des prestataires - sans qu'on sache à ce stade si le compte compromis appartenait à un employé direct ou à un sous-traitant.

Spectre d'une nouvelle sanction CNIL

Après les 42 M€ infligés à Free en janvier 2026 pour des manquements (VPN, détection) potentiellement comparables, l'article 83 §5 RGPD plafonne les amendes à 4 % du CA mondial.

Récidive en moins d'un an

Deuxième fuite en neuf mois pour Bouygues, après celle d'août 2025 (6,4 millions de clients, IBAN inclus). Une circonstance qui pèsera dans l'appréciation d'une éventuelle sanction CNIL.

L’attaque vise TECH360, un logiciel interne que Bouygues Telecom utilise pour organiser les interventions de ses techniciens fibre à domicile ^[7]. Un tiers a frauduleusement accédé à cet outil et extrait les fiches clients associées ^[8]. La base couvre une période de 2022 à avril 2026 ^[9], soit près de quatre ans d’enregistrements ^[10].

Ce qui a fuité, ce qui n’a pas fuité

L’opérateur a confirmé que les nom, prénom, adresse postale, e-mail, téléphone et date de naissance d’une partie de ses clients ont été exposés ^[12]. À cela s’ajoutent des informations techniques sur la ligne et les interventions passées ^[13]. En revanche, Bouygues Telecom assure que les coordonnées bancaires et les mots de passe n’ont pas été touchés ^[14].

La nuance est de taille face au précédent. En août 2025 ^[15], une cyberattaque avait exposé les données de 6,4 millions de clients ^[16], IBAN inclus ^[17]. Une enquête préliminaire avait alors été ouverte par la Brigade de Lutte Contre la Cybercriminalité de la Direction de la Police Judiciaire de la Préfecture de Police de Paris ^[18], sur instruction de la section J3 du Parquet de Paris ^[19], pour atteintes à des systèmes de traitement automatisé de données ^[20].

OverSec revendique, Bouygues ne confirme pas le périmètre

Un groupe de hackers baptisé OverSec ^[21] affirme détenir une base de données de plus de 80 Go ^[22]. Selon le collectif, plus de 4,5 millions de Français seraient potentiellement concernés ^[11]. Un autre compte de veille, Fuites Infos ^[23], évoque pour sa part une base de près de 80,9 Go ^[24] touchant jusqu’à 4,1 millions d’abonnés Bbox fibre ^[25].

L’écart entre ces deux estimations n’est pas anodin et tient probablement à une différence de périmètre: OverSec parle de « Français potentiellement concernés » - une formulation large qui inclurait d’anciens abonnés, cohérente avec une base couvrant 2022-2026 ^[9] - tandis que l’autre source se limite explicitement aux « abonnés Bbox fibre » actifs ^[25]. Aucune des deux ne publie cependant sa méthodologie de comptage: la divergence reste donc une hypothèse, faute d’audit indépendant de la base.

Bouygues Telecom ne confirme aucun de ces volumes ^[26]. L’opérateur n’a toujours pas précisé le nombre exact de clients impactés ^[6] ni la méthode exacte d’accès. Des extraits de la base ont été mis en ligne dès le 5 mai ^[27] sur des forums spécialisés, accompagnés de preuves supposées d’accès ^[28].

Le risque concret: phishing ciblé et faux techniciens

L’opérateur lui-même alerte: un fraudeur pourrait « se faire passer pour un faux technicien dans le but [.] d’obtenir des informations complémentaires comme votre numéro de carte bancaire, identifiant/mot de passe » ^[29]. FrenchBreaches identifie trois risques majeurs: phishing ciblé imitant techniciens ou support ^[30], arnaques liées aux interventions fibre avec faux rendez-vous ^[31], et usurpation d’identité ^[32].

La nature des données rend l’exploitation immédiate: la base serait, selon FrenchBreaches, « exploitable avec peu ou pas de traitement » ^[33]. Les escrocs peuvent monter des attaques de phishing très crédibles ^[34] en croisant nom, adresse postale et historique d’intervention fibre.

« Plus brefs délais »: la chronologie qui contredit la communication

Bouygues Telecom martèle deux choses: que « la situation a été résolue dans les plus brefs délais » ^[36] et que le compte compromis a été « immédiatement désactivé » ^[37]. La chronologie raconte une autre histoire. Selon OverSec, l’intrusion remonterait à avril 2026 ^[38]. Elle n’a été rendue publique que le 5 mai par un compte tiers, FrenchBreaches ^[2], puis reconnue par l’opérateur le 8 mai ^[4] - soit potentiellement plusieurs semaines après les faits.

Entre l’aspiration des données et la désactivation du compte fautif, l’intervalle exact n’a pas été communiqué. Si la datation d’OverSec est exacte, la « réaction immédiate » revendiquée par Bouygues ne porte que sur les heures suivant la détection de l’incident, pas sur sa survenue. Une nuance que la communication de crise ne formule jamais explicitement - et qui pèsera lourd si la CNIL examine la diligence de l’opérateur.

Ce que Bouygues a fait - et ce qu’il n’a pas dit

L’opérateur a désactivé le compte compromis ^[37], renforcé les contrôles d’accès ^[39], notifié la CNIL ^[40] et déposé plainte ^[41]. Une démarche conforme aux obligations du RGPD, qui impose au responsable de traitement de notifier toute violation de données « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance » (article 33 du RGPD).

Reste l’angle mort principal: l’opérateur n’a communiqué aucun chiffre précis sur le nombre de clients touchés ^[6]. Les abonnés concernés reçoivent un mail individuel ^[42], mais le périmètre global demeure opaque. Plus surprenant encore: aucune source publique ne précise si le compte compromis ^[37] appartenait à un employé direct de Bouygues Telecom ou à l’un de ses prestataires - information pourtant déterminante pour situer la responsabilité dans la chaîne de sous-traitance, puisque TECH360 est utilisé conjointement par les techniciens internes et des prestataires ^[43].

Cadre légal: ce que dit le Code pénal et ce que peut faire la CNIL

L’intrusion dans TECH360 relève d’une qualification pénale précise. L’article 323-1 du Code pénal punit d’emprisonnement et d’amende le fait d’accéder ou de se maintenir frauduleusement dans tout ou partie d’un système de traitement automatisé de données. Les peines sont aggravées lorsque l’accès a entraîné la suppression ou la modification de données, ou une altération du fonctionnement du système. C’est sur ce fondement qu’avait été ouverte l’enquête préliminaire d’août 2025 ^[20].

Côté administratif, le RGPD donne à la CNIL un arsenal autrement plus dissuasif. L’article 83 du règlement européen plafonne les amendes à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial du groupe - le montant le plus élevé étant retenu. Pour un opérateur de cette taille, ce plafond théorique se chiffre en centaines de millions d’euros.

L’angle mort: un secteur télécom dans le viseur, une CNIL qui frappe fort

Ces deux dernières années, les quatre principaux opérateurs historiques ont tous été victimes d’au moins une fuite de données ^[44]. Et la CNIL ne plaisante plus.

Le 13 janvier 2026 ^[45], l’autorité a infligé 27 millions d’euros d’amende à FREE MOBILE ^[46] et 15 millions à FREE ^[47] pour la fuite d’octobre 2024 ^[48] ayant exposé 24 millions de contrats d’abonnés ^[49]. La CNIL a notamment retenu que la procédure d’authentification pour se connecter au VPN n’était pas suffisamment robuste ^[50] et que les mesures de détection des comportements anormaux étaient inefficaces ^[51]. Plus de 2 500 plaintes ^[52] avaient été déposées par les victimes.

Spectre d’une sanction: ce que la CNIL pourrait reprocher à Bouygues

Le parallèle avec le dossier Free est éclairant. Contre l’opérateur de Xavier Niel, la formation restreinte de la CNIL avait retenu deux manquements techniques précis: authentification VPN insuffisante ^[50] et détection des comportements anormaux inefficace ^[51]. Or que sait-on de la faille TECH360? Qu’un « compte » a été compromis ^[37], qu’il a fallu plusieurs semaines pour détecter l’extraction massive, et que l’outil est ouvert à des prestataires externes ^[43]. Les trois ingrédients du dossier Free sont potentiellement réunis: authentification, détection, périmètre d’accès.

Si la CNIL ouvre une instruction - elle est notifiée ^[40] et dispose pour cela de la plainte de l’opérateur lui-même ^[41] -, le quantum théorique de l’amende est encadré par l’article 83 §5 du RGPD: jusqu’à 4 % du chiffre d’affaires mondial du groupe. À ce stade, ni la CNIL ni Bouygues n’ont confirmé l’ouverture d’une procédure de sanction.

Deux fuites en neuf mois: la récidive comme circonstance aggravante

C’est l’élément que la communication de l’opérateur tait soigneusement. En août 2025 ^[15], 6,4 millions de clients voyaient leurs IBAN exposés ^[16][17]. En mai 2026, soit neuf mois plus tard, jusqu’à 4,5 millions de personnes ^[11] sont potentiellement concernées par une seconde fuite. Cumulé, et même en tenant compte des doublons probables, le passif de l’opérateur dépasse les dix millions d’expositions sur moins d’un an.

En droit administratif, la répétition d’un manquement constitue une circonstance aggravante classique dans l’appréciation d’une sanction. L’article 83 §2 du RGPD invite explicitement l’autorité de contrôle à tenir compte « de toute violation pertinente commise précédemment par le responsable du traitement » pour fixer le montant d’une amende. Si la CNIL devait sanctionner Bouygues sur la fuite récente, le précédent d’août 2025 ^[15] - même s’il n’a pas donné lieu à sanction publique à ce jour - figurerait au dossier.

Pourquoi maintenant? La fenêtre de la sous-traitance

Le timing interroge. La fuite remonterait à avril 2026 ^[38] selon OverSec - soit quelques mois après la sanction record contre Free ^[45]. Les hackers ont visé un outil secondaire, utilisé au quotidien par les équipes terrain pour gérer les rendez-vous et les interventions fibre ^[54]. Cet outil est partagé entre techniciens et prestataires ^[43] - donc accessible à une chaîne de sous-traitants dont la sécurité est plus difficile à maîtriser que les systèmes centraux.

Le chercheur en sécurité Clément Domingo ^[55] estime que les données de huit Français sur dix circulent désormais sur des marchés noirs ^[56]. Une étude Statista chiffre le coût des cyberattaques pour la France à plus de 129 milliards de dollars en 2024 ^[57]. Le piratage de Free d’octobre 2024 figure parmi les cyberattaques majeures de l’année selon plusieurs sources.

Ce que doivent faire les abonnés Bbox fibre

Cybermalveillance.gouv.fr a souligné que le risque principal réside dans les différentes formes de phishing, de vishing (hameçonnage vocal) et de smishing (par SMS) ^[58]. Les recommandations: se méfier de tout appel ou message de Bouygues Telecom, ne jamais communiquer de code reçu par SMS sous pression, et vérifier l’adresse exacte de tout e-mail reçu ^[59].

Point souvent ignoré: des personnes qui ne sont plus abonnées à Bouygues Telecom depuis plusieurs années pourraient figurer dans la base ^[60], puisque les données couvrent 2022 à avril 2026 ^[61]. L’ancien client n’est pas un client effacé - une problématique que la CNIL avait déjà reprochée à Free MOBILE dans sa décision de janvier 2026 ^[62].