Fuite de données SFR : pas de mot de passe volé, mais un risque bien réel pour ses abonnés fibre

« Vos mots de passe et informations bancaires ne sont pas concernés. » C’est la phrase rassurante que SFR a glissée dans le courrier envoyé à ses abonnés fibre, après avoir confirmé le 20 août une cyberattaque survenue cet été. Rassurante, vraiment ? Pas tant que ça. Car la fuite expose autre chose, apparemment anodin mais redoutablement exploitable : qui vous êtes, où vous habitez, et comment vous joindre.

L’incident, détecté le 2 juillet, s’inscrit dans la longue série de piratages qui secoue la France cet été, et porte la signature d’un nom devenu familier : ZeroBytes. Voici ce qu’il faut comprendre, et pourquoi une fuite « sans mot de passe » mérite quand même toute votre attention.

Ce que SFR confirme

D’après le courrier adressé aux abonnés et les confirmations du groupe à l’AFP, l’attaque a visé un outil interne de gestion et d’analyse des raccordements fibre. L’accès frauduleux a été détecté le 2 juillet 2026 par les équipes de sécurité, qui l’ont alors coupé.

Les données exposées concernent les abonnés fibre et comprennent, selon la communication officielle :

• l’adresse postale complète ;
• l’adresse e-mail ;
• le numéro de téléphone ;
• des données techniques liées à la ligne.

SFR insiste sur ce qui n’a pas fuité : ni mots de passe, ni coordonnées bancaires. L’opérateur a déposé plainte et notifié la CNIL, comme l’exige la réglementation. Le nombre exact de clients touchés n’a pas été communiqué par SFR.

Ce que revendique le pirate (non confirmé)

En parallèle, le cybercriminel ZeroBytes, déjà à l’origine de la revendication contre le fisc, affirme avoir accédé mi-juillet à un outil interne de SFR baptisé NOVA et en avoir extrait une base de 2 104 093 lignes. L’extraction aurait débuté le 30 juin, avant d’être interrompue par les systèmes de surveillance, ce qui coïncide avec la détection annoncée par SFR le 2 juillet.

Selon cette revendication, les fiches iraient plus loin que les seules coordonnées, en associant à chaque abonné des données techniques détaillées : adresse MAC, numéro de série de la box, identifiant de l’équipement fibre, adresses IP, et parfois des informations sur le compte mobile associé. Ces éléments correspondraient à ce que SFR regroupe sous l’intitulé « données techniques liées à la ligne ». À ce stade, ce volume et l’authenticité complète des données restent invérifiés : c’est une revendication, pas un bilan officiel.

« Pas de mot de passe volé » ne veut pas dire « pas de danger »

C’est le cœur du sujet, et le point que la formulation rassurante de SFR tend à masquer. Une fuite de coordonnées, même sans mot de passe ni IBAN, est de la matière première pour des arnaques ultra-crédibles. Voici pourquoi.

Un escroc qui connaît votre nom, votre adresse exacte, votre e-mail, votre numéro, et le fait que vous êtes abonné fibre chez SFR dispose de tout ce qu’il faut pour se faire passer de façon convaincante pour :

• un faux conseiller SFR vous appelant pour un « problème de facturation », un « remboursement » ou une « migration d’offre », et vous demandant de confirmer un moyen de paiement ;
• un faux technicien fibre annonçant une intervention, capable de citer votre type d’installation grâce aux données techniques volées ;
• un e-mail ou SMS d’hameçonnage repro­duisant l’identité visuelle de l’opérateur, avec vos vraies informations en guise de gage d’authenticité.

Les données techniques (modèle de box, caractéristiques de la ligne) sont particulièrement pernicieuses : elles permettent au faux technicien de « prouver » qu’il vous connaît, ce qui fait tomber la méfiance. Le mot de passe, l’escroc n’a pas besoin de le voler : il compte sur vous pour le lui donner, lors d’un appel bien mené.

Un été noir pour les télécoms français

SFR n’est pas un cas isolé, loin de là. L’opérateur avait déjà subi en 2024 une fuite exposant des IBAN de clients RED by SFR. Et cet été 2026, les revendications visant le secteur télécom s’enchaînent : au-delà de SFR, des bases attribuées à d’autres opérateurs ont circulé sur les forums cybercriminels. La grande fuite Free de fin 2024, qui avait exposé les données de près de 19 millions d’abonnés, IBAN compris, reste dans toutes les mémoires.

Le point commun de ces affaires : l’attaquant met la main sur un accès à un outil interne, souvent via un compte légitime compromis, puis automatise la consultation des dossiers clients pour aspirer la base. C’est exactement le schéma que nous décrivons depuis le début de cette série d’incidents, du fisc à l’Éducation nationale. La porte n’est pas fracturée : on utilise une clé qui traînait.

Abonné SFR ou RED ? Les bons réflexes

Si vous êtes client fibre, partez du principe que vos coordonnées ont pu fuiter, et adoptez ces réflexes :

1. Attendez-vous à des appels et messages « SFR » très crédibles. Aucun conseiller légitime ne vous demandera de communiquer un mot de passe, un code reçu par SMS ou vos coordonnées bancaires complètes lors d’un appel entrant. Cette règle, à elle seule, déjoue l’essentiel des arnaques.
2. En cas d’appel douteux, raccrochez et rappelez le numéro officiel figurant sur votre facture ou sur le site sfr.fr. Ne rappelez jamais un numéro fourni dans un message suspect.
3. Méfiez-vous du « faux technicien ». Une intervention fibre légitime se planifie via votre espace client ou un rendez-vous que vous avez initié, pas au détour d’un appel surprise qui réclame des informations.
4. Ne cliquez pas sur les liens des e-mails ou SMS annonçant un remboursement, un problème de ligne ou une mise à jour d’offre. Connectez-vous à votre espace SFR en tapant l’adresse vous-même.
5. Changez le mot de passe de votre compte SFR s’il est ancien ou réutilisé. Même s’il n’a pas fuité ici, les campagnes de phishing qui vont suivre chercheront précisément à vous le soutirer. Un mot de passe unique et robuste, généré par exemple avec FortixPass, et la double authentification sur votre messagerie limitent fortement les dégâts si vous vous faites piéger.

Ce qu’il faut retenir

La fuite SFR illustre un malentendu répandu : croire qu’une violation « sans mot de passe ni données bancaires » est bénigne. En réalité, un jeu complet de coordonnées associé au nom de votre opérateur et aux caractéristiques de votre ligne est exactement ce qu’il faut pour bâtir une arnaque au faux conseiller ou au faux technicien, où c’est vous, et non un logiciel, que l’on cherche à tromper.

La parade n’est pas technique, elle est comportementale, doublée d’une bonne hygiène de comptes : ne jamais donner suite à une sollicitation entrante, revenir par le canal officiel de sa propre initiative, et verrouiller ses comptes avec des mots de passe uniques et une double authentification. Cinq minutes pour sécuriser vos accès sur FortixPass, et cette fuite restera pour vous une simple actualité.