1. TDN >
2. High-Tech

« À part l’IBAN, on ne parle pas de données sensibles » : la phrase de l’avocate de Free qui fait scandale face à la Cnil

24 millions de clients concernés, des IBAN dans la nature, une amende record de 42 millions d’euros. Mais c’est une phrase de la défense de Free, diffusée avant Cash Investigation sur France 2, qui met le feu aux réseaux sociaux.

Un piratage resté invisible pendant des semaines

Tout part d’octobre 2024. Un pirate s’introduit dans les systèmes de Free via le VPN utilisé par les salariés en télétravail. Il usurpe ensuite l’identité du service informatique pour tromper d’autres employés et étendre son accès.

Résultat : il reste infiltré plusieurs semaines sans être repéré, le temps d’aspirer des fichiers entiers. Au bout du compte, les données liées à 24 millions de contrats se retrouvent exposées : noms, adresses postales, coordonnées téléphoniques, et pour une partie des victimes, leurs coordonnées bancaires complètes.

Le pirate finit par revendre ces données, déclenchant l’ouverture d’une enquête. Plus de 2 500 plaintes atterrissent sur le bureau de la Cnil, qui décide de contrôler les pratiques de sécurité de l’opérateur. Une affaire qui rappelle d’autres fuites récentes, comme celle qui a visé les abonnés de RED by SFR quelques mois plus tôt.

La phrase de trop face à la Cnil

Le rapporteur de la Cnil est formel : Free « n’avait pas mis en œuvre des mesures adaptées pour détecter des comportements anormaux ». En clair, l’opérateur n’a pas su repérer l’intrus pendant des semaines. Il reproche aussi un manque d’information des clients sur les risques réels encourus après la fuite.

C’est précisément sur ce point que l’avocate de Free intervient, et sa réponse fait bondir. « À part l’IBAN, on ne parle absolument pas de données sensibles », affirme-t-elle devant l’autorité, une phrase reprise en boucle sur les réseaux après la diffusion de l’extrait.

Le problème, c’est que cette affirmation est trompeuse. Nom, adresse postale et numéro de téléphone permettent à eux seuls d’affiner des tentatives de phishing redoutablement crédibles. Croisées avec d’autres bases piratées ailleurs, ces informations deviennent une arme précieuse pour cibler une victime avec précision.

42 millions d’euros d’amende, et un problème plus large

L’argument n’a pas convaincu la Cnil. Le 13 janvier 2026, l’autorité inflige une amende totale de 42 millions d’euros, répartis entre 27 millions pour Free Mobile et 15 millions pour Free. L’entreprise conteste la décision et a formé un recours devant le Conseil d’État.

La détection défaillante n’est d’ailleurs pas le seul grief retenu. La Cnil pointe aussi une conservation excessive de données : Free gardait IBAN et informations personnelles d’anciens abonnés bien au-delà de la durée nécessaire. Ce point a mécaniquement gonflé le nombre de victimes potentielles et pesé lourd dans le calcul de la sanction.

L’affaire s’inscrit dans une série noire pour les données personnelles des Français. L’enquête de Cash Investigation revient d’ailleurs sur plusieurs autres cas récents, du piratage des impôts à celui touchant des millions de propriétaires. Un rappel utile : si vous avez déjà été concerné par une fuite, changer ses mots de passe et surveiller ses relevés bancaires reste le réflexe minimal à adopter sans attendre.

Minimiser une fuite de données ne fait jamais disparaître le risque, elle le déplace juste vers le client. Et vous, vérifiez-vous régulièrement si vos propres informations circulent quelque part sans votre accord ?