Free confirme le piratage : 100 000 IBAN de clients divulgués en ligne

Mise à jour du 28/10/24 :

Free confirme avoir été victime de la cyberattaque ayant compromis les données personnelles et les coordonnées bancaires de ses clients, sans toutefois révéler l’ampleur de la fuite. Ce week-end, les abonnés de l’opérateur ont reçu ce mail les invitant à la vigilance.

Free ne mentionne guère l’ampleur du piratage, ce qui n’a pas dû être du goût du hacker qui a divulgué en ligne un échantillon de 100 000 IBAN sur les 5,1 millions qui auraient été dérobés. Par ailleurs, le pirate indique qu’une copie des données s’apprête à être vendue pour 70 000 dollars, sachant que les enchères avaient démarré à 10 000 dollars.

Que risque-t-on si son IBAN a été piraté ?

On entend de tous les côtés qu’un hacker ne peut pas faire grand-chose avec un IBAN. C’est faux lorsque ces coordonnées bancaires sont croisées avec d’autres données personnelles. Un hacker ne peut évidemment pas se servir dans votre compte bancaire sans un mandat de prélèvement signé, du moins en théorie.

Sur X, le hacker éthique SaxX alerte qu’avec un simple IBAN, un hacker peut créer lui-même un mandat de prélèvement SEPA. Les banques n’étant pas parfaites s’agissant de la sécurité, certaines peuvent laisser passer des prélèvements sans vérifier auprès de leurs clients. Un hacker peut aussi détourner des versements attendus sur votre compte vers le sien, comme un salaire ou le règlement d’une facture.

Il est donc vivement conseillé de surveiller régulièrement vos comptes. Si vous repérez des prélèvements bancaires non autorisés, vous devez immédiatement les signaler à votre banque dans les 13 mois après le ou les débits. La banque est quant à elle dans l’obligation de vous rembourser et ne peut la contester que si elle parvient à prouver une négligence grave du client.

À lire aussi :
Dysfonctionnement chez Free : un danger pour les abonnés en cas d’urgence ?

Article original du 22/10/24 :

Un fichier de 43,6 Go a été mis en vente sur le « Amazon du dark web » alerte le hacker éthique SaxX sur X, et celui-ci comporterait les données personnelles de plus de 19 millions de clients Free Mobile et Freebox. Un deuxième fichier contiendrait quant à lui les IBAN de plus de 5 millions de clients. Un fait qui ne manque pas de rappeler les piratages en série dont a récemment été victime SFR.

À lire aussi :
50 000 dossiers clients SFR diffusés en ligne par des hackers français !

La fuite n’a pas encore été confirmée par Free

Comme d’ordinaire, ce fichier mis en vente contient des données personnelles, dont certaines sensibles, sur les clients de l’opérateur de Xavier Niel. En plus des noms, prénoms, coordonnées téléphoniques et mail, d’autres informations sensibles y figureraient comme l’adresse postale, l’identifiant Freebox ou encore les coordonnées bancaires.

SaxX indique toutefois que ce soi-disant piratage est à prendre avec des pincettes. La fuite n’a pas encore été confirmée par Free. Pour le moment, nous savons uniquement que le piratage aurait eu lieu le 17 octobre et que le vendeur compterait céder les fichiers en une seule fois en passant par un système d’escrow, un système de cyber-intermédiaire qui garantit la transaction des fonds et des données !

L’année dernière, un hacker prétendait avoir piraté les données de 14 millions de clients, ce que Free avait fermement démenti. Cela peut donc être aussi une tentative, ou pour rançonner l’opérateur, ou pour berner de potentiels acheteurs.

Cette fuite intervient dans un contexte où les piratages s’accumulent. Autant chez les opérateurs que dans nos services publics (Pôle Emploi, CAF, France Connect, etc…). Rappelons aussi que Free n’est pas un exemple en matière de cybersécurité. Fin 2022, l’opérateur du Groupe iliad avait été condamné par la CNIL pour manquement à la protection des données personnelles.

À lire aussi :
Free Mobile : une amende dérisoire pour manquement à la protection des données personnelles

Que faire si on est concerné par cette fuite ?

Si vous êtes client chez Free et que vous avez un doute, n’attendez pas pour réagir ! Voici les mesures à prendre si vos données sont potentiellement publiées sur le dark web. Ces réflexes sont à adopter, autant pour les particuliers que pour les entreprises :

• Mettez à jour tous vos systèmes : les mises à jour des OS de vos appareils comblent les failles de sécurité. Il faut impérativement les faire quand c’est possible, sur smartphone, tablette et ordinateur.
• Utilisez un gestionnaire de mots de passe : l’une des erreurs les plus courantes est d’utiliser le même mot de passe pour tous ses comptes. Un gestionnaire de mots de passe permet d’en créer d’assez complexes pour chaque compte et de les sauvegarder.
• Activez l’authentification à deux facteurs (2FA) : c’est une couche de sécurité supplémentaire qui prend la forme d’une deuxième étape d’authentification simple et rapide par mail ou SMS.
• Soyez vigilants, tout le temps : il existe quelques petits réflexes à automatiser : ne jamais cliquer sur un lien suspect dans un mail ou un SMS, vérifier les connexions suspectes sur les boîtes mail et réseaux sociaux et jeter quotidiennement un œil à son compte en banque pour s’assurer qu’il n’y ait pas de transactions suspectes. C’est d’autant plus important après une fuite de ce genre, car des personnes malveillantes pourraient utiliser les données de la fuite pour se faire passer pour votre opérateur.

À lire aussi :
Comment sécuriser votre smartphone, votre tablette ou votre PC ? Le guide ultime !