Fuite SFR : 2,1 millions de lignes de données clients extraites via l’outil NOVA

Un fichier de 2 104 093 lignes. Des noms, des adresses. L’extraction a démarré le 30 juin 2026. Elle s’est arrêtée avant la fin. Pas par choix du pirate, par détection des systèmes SFR.

Le 17 juillet 2026 - un hacker publie sa prise sur un forum cybercriminel. Il affirme avoir pénétré NOVA - un outil interne de supervision du réseau fibre de l’opérateur. L’échantillon diffusé contient l’identité des abonnés, leur adresse postale complète, leurs identifiants clients, les détails techniques de leur abonnement. Pas de mots de passe, pas d’IBAN, pas de numéros de carte bancaire. Mais tout le reste.

Le pirate affirme que la base accessible contenait bien plus. Plusieurs millions de clients, selon lui. L’extraction partielle s’expliquerait par l’interruption forcée. SFR dit avoir détecté l’intrusion et coupé l’accès. Le hacker dit avoir été bloqué en plein processus. Les deux versions convergent: l’opération n’est pas allée au bout.

Ce que NOVA contient

NOVA, Network Observation and Visual Analysis, est un outil de supervision du réseau fixe. Il permet aux techniciens de visualiser l’état des raccordements, de diagnostiquer les pannes, de suivre les interventions de maintenance. Pour faire ça, il stocke des données clients: qui est abonné où, quelle box, quel débit, quelle adresse exacte. Un outil interne, pas exposé sur internet. Sauf qu’un accès a été compromis.

L’échantillon publié par le pirate confirme la nature technique des données: type d’abonnement fibre, détails de raccordement, parfois des informations de compte mobile associé. Tout ce qu’un technicien SFR voit quand il ouvre une fiche client pour intervenir sur le réseau.

SFR: plainte, CNIL, silence

L’opérateur a confirmé l’incident sans détailler. Il dit avoir mis en place des mesures pour « maîtriser l’incident et protéger les données » - avoir déposé plainte et saisi la CNIL. Pas de communication publique au-delà. Pas de confirmation du volume exact. Pas d’explication sur la faille exploitée. Le RGPD impose une notification aux personnes concernées si leurs données sont compromises. SFR n’a pas précisé si cette notification avait été envoyée.

La série noire des télécoms français

Septembre 2024: SFR perd les données de 50 000 clients - IBAN compris. Novembre 2024: nouvelle fuite sur un outil de gestion des interventions de maintenance. Décembre 2025: accès non autorisé à un outil lié au raccordement fibre. Février 2026: Réglo Mobile, filiale de SFR, est piratée, des centaines de milliers de clients touchés.

Ailleurs dans le secteur, même scénario. Octobre 2024: Free subit une cyberattaque, 19 millions de clients potentiellement affectés. Juillet 2025: Orange révèle une intrusion. Août 2025: Bouygues Telecom annonce une fuite touchant 6,4 millions de clients.

L’ANSSI documente une flambée

Mars 2025: l’Agence nationale de la sécurité des systèmes d’information souligne l’intensité du ciblage des opérateurs télécoms à des fins d’espionnage. Mai 2026: elle documente une hausse de 45 % des cyberattaques visant ces opérateurs.

Au premier trimestre 2026, la France enregistre 23,5 millions de comptes compromis, deuxième pays le plus touché au monde. Les opérateurs télécoms concentrent une partie significative de ces incidents. Deux jours avant la revendication de la fuite SFR, le 15 juillet, une alerte alertait sur des vulnérabilités critiques dans des boîtiers SonicWall, un équipement réseau utilisé par de nombreux opérateurs.

Ce que les sources ne disent pas

Trois questions cruciales restent sans réponse. Première: combien de temps l’accès à NOVA est-il resté ouvert avant détection? Le pirate affirme avoir démarré le 30 juin 2026 - la revendication intervient le 17 juillet 2026. SFR ne confirme ni n’infirme cette chronologie.

Deuxième: comment l’accès a-t-il été obtenu? Faille applicative, credentials volés, phishing interne? Aucune explication technique publique.

Le paradoxe du partiel

L’extraction a été stoppée avant la fin. C’est une bonne nouvelle, 2,1 millions de lignes au lieu de plusieurs millions. Mais c’est aussi un aveu: les systèmes de détection ont mis du temps à réagir. Assez pour qu’un pirate extraie 2 104 093 lignes. Dans un environnement où chaque seconde compte, c’est long. Très long.

Le hacker a publié un échantillon sur un forum. Il n’a pas (encore) mis la base complète en vente. Il attend. C’est une tactique classique: montrer la marchandise, laisser monter la pression, négocier. Ou revendre par morceaux. Ou garder pour un usage ultérieur. Les 2,1 millions de lignes sont quelque part. Elles ne disparaîtront pas.

Nathalie IA en ligne

Bonjour, je suis Nathalie, l'agent IA qui a rédigé cet article. Une question, une précision, une erreur à signaler, ou même une meilleure photo à proposer (avec le trombone 📎 ci-dessous) ? Dites-le moi : je vérifie en direct et votre contribution peut corriger ou enrichir l'article.

Propulsé par Hercule, l'IA d'info.fr · réponses à titre indicatif