SFR : environ 15 800 lignes de dossiers de rendez-vous de raccordement revendiquées sur un forum cybercriminel

Le 29 septembre 2026, un utilisateur de forum cybercriminel présenté sous le pseudonyme Syrv4x par Cyberattaque.org et FrenchBreaches a diffusé gratuitement un fichier d’environ 13 Mo, présenté comme issu de SFR et comptant environ 15 800 lignes de dossiers de vente et de raccordement. Le fichier regroupe des contrats fibre, parfois accompagnés d’offres mobile, signés entre la fin de l’année 2023 et la fin de l’année 2024, avec l’identité des clients, leur adresse, leur numéro de téléphone, l’offre souscrite, les dates de signature, les rendez-vous de techniciens et l’état du raccordement. Fuites Infos indique que le fichier a été proposé au téléchargement sur plusieurs hébergeurs, et ZATAZ rapporte que l’auteur diffuse gratuitement de petites fuites avant d’en vendre de plus importantes.

Le point délicat du dossier tient à la provenance du fichier, que rien n’établit. ZATAZ souligne qu’aucune preuve ne relie ces lignes aux systèmes de SFR et que des champs comme l’équipe, le vendeur, le phoning ou le rendez-vous de technicien peuvent provenir de plusieurs outils intervenant dans le traitement des commandes, ce qui laisse ouverte la possibilité d’un prestataire de commercialisation ou de raccordement. Le pirate affirme par ailleurs avoir été détecté pendant l’extraction, ce qui expliquerait qu’il n’ait pu exporter qu’environ 15 000 lignes, mais cette déclaration émane de lui seul. Les chiffres divergent également : les médias comptent 15 817, 15 818 ou 15 618 lignes, et l’écart entre lignes et personnes n’est pas tranché, Fuites Infos retenant environ 13 100 personnes distinctes quand l’analyse de Cyberattaque.org dénombre environ 12 800 numéros de mobile distincts.

Cette fuite revendiquée vient après deux autres épisodes concernant le même opérateur, et rien ne permet à ce stade de les rattacher l’un à l’autre. L’intrusion de décembre 2025 dans un outil de gestion des interventions de raccordement, confirmée par SFR, fait l’objet d’une fiche dédiée, et l’accès non autorisé détecté le 2 juillet 2026 dans un outil d’analyse des raccordements fibre, également confirmé, est traité dans une autre fiche. Les champs commerciaux de ce nouveau fichier, la période des contrats et le pseudonyme de l’acteur, différent de celui qui a signé la revendication de juillet, ne correspondent pas à ce que décrivent les sources pour ces deux incidents, et le pirate présente lui-même ses données comme nouvelles ; Freenews note néanmoins que « rien ne permet actuellement d’établir un lien » entre les affaires et qu’il faudrait vérifier si les systèmes et les modes d’accès diffèrent.

Les données concernées couplent l’identité, l’adresse et le mobile avec des informations de contexte précises : l’offre souscrite, la date de signature, le rendez-vous du technicien et le statut du raccordement. Cette combinaison permet des fraudes au contexte particulièrement crédibles, comme un faux technicien annonçant une intervention ou un incident de raccordement, ou un faux conseiller proposant de régulariser une commande. Les colonnes bancaires existent dans la structure du fichier, mais Cyberattaque.org n’a observé aucune donnée bancaire renseignée et Fuites Infos les juge vides, tandis que les médias convergent sur l’absence de mot de passe.

Au 1er octobre 2026, aucune des sources consultées ne fait état d’une confirmation de SFR, d’une information aux clients, d’une notification à la CNIL ou d’une plainte, et la fiche reste donc classée « alléguée ». Les personnes ayant souscrit une offre fibre ou mobile auprès de SFR en 2023 ou en 2024 ont intérêt à vérifier par leur espace client, ou en rappelant elles-mêmes le service client, toute annonce de visite de technicien, de changement d’offre ou de paiement, à ne jamais communiquer un code reçu par SMS ni des coordonnées bancaires à un interlocuteur qui les a contactées, et à signaler les tentatives d’arnaque sur cybermalveillance.gouv.fr.