Orange / Orange Belgium : cyberattaques de juillet 2025

En juillet 2025, le groupe télécom français Orange a été visé par deux cyberattaques distinctes, que l’entreprise présente comme sans lien l’une avec l’autre. La première a touché un système d’information de la maison mère en France : selon le communiqué officiel d’Orange, l’intrusion a été détectée le vendredi 25 juillet 2025 et une plainte a été déposée le lundi 28 juillet 2025 pour atteinte à un système d’information. À ce stade, Orange affirmait qu’« aucun élément ne laisse penser que des données auraient été exfiltrées », tout en maintenant une vigilance sur ce point.

Cette position a évolué à la mi-août. Selon plusieurs sources de presse, environ 4 Go de données ont été exfiltrés puis diffusés sur le dark web, opération revendiquée par le groupe cybercriminel Warlock, acteur émergent de type ransomware-as-a-service. Orange a confirmé la mise en ligne en qualifiant les informations concernées de données « obsolètes ou de faible sensibilité » et en indiquant que l’accès des attaquants serait resté restreint. Le périmètre exact des personnes concernées côté France n’a pas été chiffré publiquement.

Le second incident concerne la filiale Orange Belgium. D’après son communiqué officiel, un système informatique contenant les données d’environ 850 000 comptes clients a été accédé fin juillet 2025. Les données concernées comprennent les nom et prénom, le numéro de téléphone, le numéro de carte SIM, le code PUK et le plan tarifaire. Orange Belgium précise qu’aucune donnée critique (mot de passe, adresse e-mail, coordonnées bancaires ou financières) n’aurait été compromise. La société indique avoir bloqué l’accès au système, alerté les autorités compétentes, déposé une plainte judiciaire et averti les clients concernés par e-mail et/ou SMS.

À noter : les codes PUK et numéros de SIM exposés peuvent faciliter des tentatives d’ingénierie sociale ou de SIM swapping, et l’ensemble des données alimente un risque de phishing ciblé. Les déclarations sur la nature « obsolète » ou « peu sensible » des données diffusées en France émanent d’Orange et n’ont pas fait l’objet d’une vérification indépendante exhaustive ; elles sont donc à considérer comme une allégation de l’opérateur.