Free confirme une violation de données : des pirates les auraient mises aux enchères

L'un des plus grands fournisseurs d'accès à Internet en France, Free S.A.S, a confirmé qu'il avait récemment été victime d'une atteinte à la cybersécurité après qu'un pirate a tenté de vendre sur le dark web ce qui est censé être des données volées à l'organisation.

Free a déclaré au Monde que des données personnelles relatives à certains clients avaient effectivement été compromises après qu'un pirate ait ciblé un outil de gestion.

Cependant, selon l'entreprise, aucun mot de passe, aucune information de carte bancaire, ni aucun contenu de communication (emails, SMS ou messages vocaux) n'a été compromis par l'attaque.

De plus, Free affirme que ses services n'ont pas été impactés par l'incident.

Néanmoins, le pirate (qui se fait appeler « drussellx ») a posté un message sur un forum de cybercriminalité du dark web proposant aux enchères deux bases de données volées à Free - contenant les détails de plus de 19 millions de comptes clients, et plus de cinq millions de détails IBAN.

Free a tenu à minimiser l'importance de la fuite des données IBAN, déclarant qu'elles ne sont « pas suffisantes pour effectuer un prélèvement automatique sur une banque ».

Selon le pirate, les données mises en vente ont été exfiltrées le 17 octobre 2024 et contiennent les noms, les numéros de téléphone, les adresses électroniques et postales, ainsi que les dates de naissance des clients de Free.

Free, qui revendique plus de 22 millions d'abonnés, n'a pas confirmé le nombre de clients concernés par cette violation de données.

Les clients inquiets seraient bien avisés de prendre les mesures nécessaires pour mieux se défendre contre l'exploitation possible de ces données exposées. Il s'agit notamment de :

• Renforcer la sécurité de leurs mots de passe en s'assurant qu'ils n'utilisent que des mots de passe forts et uniques.
• Activer l'authentification multifactorielle lorsqu'elle est disponible afin de rendre plus difficile l'accès aux comptes pour les pirates malveillants.
• Installer les dernières mises à jour de sécurité.
• Se méfier des liens non sollicités envoyés par SMS ou par courrier électronique, car ils peuvent conduire à une attaque par hameçonnage ou à un téléchargement malveillant.
• Rester vigilant face aux messages et aux appels téléphoniques censés provenir de l'entreprise piratée, car il pourrait s'agir d'escrocs utilisant des informations de compte volées pour se faire passer pour l'entreprise.
• Conseiller à vos amis et à votre famille de prendre des mesures similaires pour renforcer leur sécurité.

Free indique qu'il a contacté les autorités et les régulateurs au sujet de la faille de sécurité et qu'il informera les clients concernés par courrier électronique dans les jours à venir.

mise à jour du 7 novembre 2024 : finalement, aucune base de données piratée ne semble avoir été vendue. La manœuvre aurait eu pour but de mettre la pression sur l'opérateur Free et de sensibiliser aux bonnes pratiques de cybersécurité. L'un des pirates, se décrivant comme hacktivist, déclare :

Chaque citoyen français a probablement été victime d'une fuite au moins une fois. Parmi les bases de données récemment piratées figurent Free, SFR, France Travail, Ameli, la CAF (Caisse d'allocations familiales), la FFF (Fédération Française de Football), Ledger, LDLC, Shadow et Cdiscount.

Je ne suis pas un saint, mais j'espère que l'incident free.fr réveillera enfin les Français sur la réalité de la surveillance de masse et qu'ils lutteront contre elle.

Les forces de l'ordre françaises sont allées jusqu'à cibler ProtonMail, Tor et d'autres outils de protection de la vie privée, en les qualifiant de criminels. Elles ont rendu l'utilisation de ces protections suspecte, tout en négligeant les violations réelles. Ils prétendent qu'il s'agit de lutter contre les cybermenaces, mais en réalité, il s'agit d'une attaque contre les libertés individuelles.