Une communication qui laisse à désirer
La semaine dernière, un cybercriminel a mis en vente sur un forum de piratage deux bases de données distinctes supposées appartenir à Free. La première contiendrait les données personnelles de 19,1 millions de clients de l’opérateur, et la deuxième 5,1 millions de coordonnées bancaires, à savoir des IBAN. Pourtant, dans sa communication, Free ne faisait aucune mention de l’exfiltration de données bancaires.
En réponse à cette alerte client, le pirate informatique – dont l’existence est révélée pour la première fois – a diffusé le 27 octobre au matin un échantillon de plus de 100 000 IBAN sur le même forum. Le cybercriminel propose désormais de vendre les données au prix de 70 000 dollars (64 600 euros), contre 10 000 euros initialement annoncés. Free a depuis envoyé un second mail à certains de ses clients, notamment les abonnés Freebox, ajoutant que les données personnelles compromises comprenaient également des IBAN.
Gare aux escroqueries, la création d’une liste blanche recommandée
L’opérateur précise avoir déposé une plainte auprès du procureur de la République, et a notifié cette cyberattaque à la Cnil et à l’Anssi, conformément au RGPD. Il invite ses clients à « la plus grande vigilance face aux risques d’e-mails, de SMS ou d’appels frauduleux ». En possession d’un IBAN et d’autres données, des acteurs malveillants pourraient par exemple se faire passer pour de faux conseillers et inciter leurs cibles à souscrire à des contrats fictifs de téléphonie ou box.
Les cybercriminels pourraient également forcer leurs victimes à souscrire à de faux prélèvements bancaires, en usurpant leur identité pour autoriser la banque à débiter leur compte. Ils peuvent aussi prétexter une erreur dans le prélèvement, demandant à la place un paiement immédiat par carte bancaire. Pour prévenir ce genre d’escroqueries, les particuliers peuvent demander à leur banque la création d’une liste blanche, permettant à la banque d’autoriser uniquement les prélèvements SEPA initiés par des créanciers préalablement connus par le client.
Pas une première pour Free
Cette fuite de données est la deuxième pour l’opérateur français en moins d’un mois. Le 2 octobre, Free avait averti ses clients d’une « consultation de [leurs] données personnelles pouvant mener à une perte de confidentialité », incluant notamment leurs noms et prénoms, numéros de téléphone et adresses postales. À noter que la filiale du groupe Iliad avait envoyé un courriel identique à ses clients en février. Un mois plus tard, elle avait été victime d’un problème technique permettant à certains abonnés d’avoir accès aux factures d’autres clients.
Les opérateurs sont particulièrement ciblés par des cyberattaques amenant au vol de données personnelles. C’est par exemple le cas de SFR, qui a annoncé fin septembre avoir été touché par un « incident de sécurité » sur sa filiale à bas coût RED, exposant notamment les IBAN et numéros de carte SIM de certains clients. Aux États-Unis, le spécialiste des télécoms AT&T en a fait plusieurs fois les frais, avec des fuites de données compromettant les données de dizaines de millions de clients. La société américaine a accepté le mois dernier de payer 13 millions de dollars pour clore une enquête sur l’une d’entre elles.
