SFR : accès non autorisé à un outil d'analyse des raccordements fibre, 2,1 millions de lignes revendiquées

Le 20 août 2026, SFR a confirmé à l’AFP, au moment où des messages d’information parvenaient à ses abonnés, avoir détecté le 2 juillet un incident de sécurité consécutif à un acte de cybermalveillance : des données liées aux lignes fibre ont été rendues temporairement accessibles à un tiers non autorisé par l’intermédiaire d’un outil interne de gestion et d’analyse des raccordements fibre. Les clients concernés, parmi lesquels des abonnés RED by SFR, ont donc été prévenus près de sept semaines après la détection. L’affaire était pourtant connue depuis le 17 juillet, date à laquelle un acteur a revendiqué sur un forum cybercriminel l’extraction de 2 104 093 lignes de données, en affirmant que son accès avait commencé le 30 juin avant d’être interrompu sans avoir pu aller à son terme.

Le point le plus délicat du dossier tient à l’écart entre ce que SFR reconnaît et ce que l’attaquant revendique. L’opérateur n’a communiqué aucun nombre de clients concernés, ne confirme ni le chiffre de 2 104 093 lignes ni le nom du portail que la revendication désigne comme NOVA, et parle d’un accès temporaire plutôt que d’une extraction. Ce chiffre compte des lignes de données, non des personnes, et certains médias l’ont pourtant repris comme un nombre de clients, ce que rien d’officiel n’établit. La revendication est signée ZeroBytes selon l’AFP, IT-Connect et d’autres médias, un pseudonyme qui a aussi signé celle visant la DGFiP le 12 août puis un ensemble de fichiers de l’Éducation nationale, mais SFR n’a attribué l’attaque à personne et cette signature n’a fait l’objet d’aucune vérification indépendante.

Cet incident ne doit pas être confondu avec les deux autres épisodes qui concernent le même opérateur. Celui de décembre 2025, décrit dans la fiche consacrée à l’intrusion dans l’outil de gestion des raccordements, avait été confirmé par SFR le 17 décembre 2025 et présenté comme contenu et clos, alors que l’incident de 2026 a été détecté le 2 juillet, a donné lieu à une nouvelle information des clients en août et porte sur un outil d’analyse dont les données comprennent l’identifiant de contrat et des données techniques de ligne. Quant au fichier de dossiers de rendez-vous de raccordement diffusé le 29 septembre 2026, il fait l’objet d’une fiche distincte et reste une revendication non confirmée par SFR. Aucune des sources consultées n’établit de lien technique entre ces trois épisodes, et les rapprocher relèverait de l’hypothèse.

Selon la notification adressée aux clients, les données accessibles comprennent la civilité, le nom, le prénom, l’adresse postale, le numéro de téléphone mobile, l’identifiant de contrat et des données techniques liées à la ligne, tandis que les mots de passe et les informations bancaires sont écartés par l’opérateur. Dans sa déclaration à l’AFP, SFR cite en outre l’adresse électronique, qui ne figure pas dans la liste de la notification reprise par Next, IT-Connect ou le Journal du Geek, sans que cet écart soit éclairci. L’attaquant revendique de son côté des éléments plus techniques, comme des adresses IP et MAC ou des numéros de série de box, que SFR ne confirme pas. L’association d’une identité, d’une adresse, d’un mobile et d’un identifiant de contrat dans un contexte de raccordement fibre offre un terrain idéal pour une fraude au contexte : un faux conseiller ou un faux technicien peut annoncer une intervention, un changement d’offre ou un paiement à régulariser en citant des informations exactes.

SFR indique avoir désactivé le compte utilisé pour accéder à l’outil, bloqué puis placé sous surveillance les adresses IP en cause et renforcé ses systèmes de sécurité. L’opérateur déclare avoir notifié la violation à la CNIL et déposé plainte auprès du procureur de la République, sans que la date de ces démarches soit précisée dans les sources consultées. Il a également averti ses clients de l’éventualité de messages frauduleux dans les semaines à venir.

Les abonnés fibre de SFR et de RED by SFR qui ont reçu cette information gagnent à vérifier par leur espace client, ou en rappelant eux-mêmes le service client, toute annonce de visite de technicien, de changement d’offre ou de paiement, plutôt que de répondre à un appel ou à un message entrant. Un conseiller légitime n’a pas à obtenir un code reçu par SMS, un mot de passe ou des coordonnées bancaires, et la plateforme cybermalveillance.gouv.fr propose une aide gratuite en cas de doute ou d’arnaque avérée.