L’avocate de Free a tenté de relativiser la portée de la fuite en déclarant : « À part l’IBAN, on ne parle absolument pas de données sensibles ». Cette réponse intervient au moment où le rapporteur de la Cnil reproche à l’opérateur de ne pas avoir mis en œuvre des mesures adaptées pour détecter les comportements anormaux sur son système d’information, et de ne pas avoir suffisamment informé ses clients des risques engendrés par la fuite.
Ce que contenaient réellement les fichiers
La décision de la Cnil décrit précisément les faits. En octobre 2024, un attaquant est parvenu à s’infiltrer dans le système d’information des sociétés Free et Free Mobile et à accéder aux données personnelles de 24 millions de contrats d’abonnés, dont des IBAN lorsque les personnes étaient clientes des deux sociétés à la fois. Des noms, des adresses postales et des coordonnées figurent également parmi les informations compromises, que le régulateur qualifie de données « hautement » personnelles.
Le vecteur est documenté : l’authentification du VPN utilisé pour le travail à distance n’était pas suffisamment robuste et la détection des comportements anormaux s’est révélée inefficace. Selon l’enquête, l’attaquant est resté plusieurs semaines dans les systèmes sans être repéré, après avoir trompé des salariés en se faisant passer pour le service informatique.
42 millions d’euros d’amende et un recours
Le 13 janvier 2026, la formation restreinte de la Cnil a prononcé deux sanctions : 27 millions d’euros à l’encontre de Free Mobile et 15 millions à l’encontre de Free. Au-delà de la sécurité des systèmes, l’autorité pointe un courriel d’information incomplet, qui ne permettait pas aux personnes concernées de comprendre directement les conséquences de la violation ni les mesures à prendre pour s’en protéger. Elle relève aussi que Free Mobile conservait, sans justification, des millions de données d’anciens abonnés au-delà de la durée nécessaire, ce qui a élargi le nombre de victimes. Plus de 2 500 plaintes ont été déposées auprès de la Cnil. Free conteste la décision et a formé un recours devant le Conseil d’État.
Pourquoi l’IBAN n’est pas le seul enjeu
Un nom, une adresse postale et un numéro de téléphone suffisent à rendre une tentative d’arnaque crédible, en particulier lorsqu’ils sont croisés avec d’autres bases de données piratées. L’IBAN, que l’avocate de Free reconnaît comme une donnée sensible, devient lui aussi exploitable dès qu’il est associé à l’identité de son titulaire.
Regardez l’émission complète :
