Un an après, que retient-on de l’incident Free ?
L’incident Free d’octobre 2024 correspond à une attaque massive contre les informations personnelles de milliers d’abonnés. La fuite a constitué une violation majeure de la confidentialité des systèmes d’information avec, selon les standards de cybersécurité, un niveau de criticité élevé. Elle relevait d’une cyberattaque ciblée et semblait être une défaillance de sécurité organisationnelle. Elle a marqué le secteur des télécommunications. Un an après l’incident Free, quelle est la situation ? Quelles conclusions pouvons-nous tirer de cette fuite ? Dans cet article, nous revenons sur la fuite de données chez l’opérateur et faisons le point sur l’état actuel de la protection des systèmes d’information des entreprises françaises.
L’incident Free une attaque cyber d’envergure
L’exfiltration* de données Free révèle une attaque cyber grave avec des menaces durables et une enquête en cours par la CNIL et la Brigade de Lutte Contre la Cybercriminalité (BL2C).
L’ampleur de la fuite de données Free
La fuite de données survenue chez Free en 2024 a touché plus de 19 millions d’abonnés de Freebox et/ou mobile. Les données comprenaient des informations personnelles comme :
- le nom,
- les adresses email et postale,
- le numéro de téléphone,
- la date de naissance,
- les identifiants des abonnés,
- les données contractuelles,
- l’accès non autorisé aux IBAN.
À noter que les mots de passe n’étaient pas concernés. De fait, l’agglomération des données a augmenté le risque d’hameçonnage, l’usurpation d’identité et le détournement de lignes téléphoniques. Effectivement, le vol d’IBAN par les cybercriminels rendait possible l’émission de faux mandats de prélèvement. Face à cette menace, Free en avait rapidement informé ses abonnés et mis en place de numéro vert gratuit. Les autorités publiques avaient aussi communiqué sur les risques.
Les conséquences de l’incident Free : les menaces persistent
Même si l’incident remonte à un an, les données restent sensibles et exploitables. En effet, elles peuvent être réutilisées longtemps dans la mesure où elles sont vendues sur le marché noir c’est-à-dire le dark web. Une fois ces données disponibles sur le marché noir, elles peuvent être achetées et remployées à des fins frauduleuses comme :
- le phishing personnalisé,
- la tentative d’ouverture de compte bancaire sous fausse identité,
- le détournement des lignes mobiles.
L'enquête de la CNIL et de la Brigade de Lutte contre la Cybercriminalité engagée suite à l'incident Free
Dès la découverte de l’incident, Free a informé la CNIL (Commission nationale de l’informatique et des libertés) comme l’exige le RGPD. La CNIL a alors ouvert une enquête et effectué un contrôle sur site. Elle a aussi déclenché une procédure de sanction à l’encontre de l’opérateur, notamment à la suite de plusieurs plaintes de consommateurs, estimant que leurs données n’avaient pas été suffisamment protégées. En parallèle, une enquête judiciaire a été confiée à la Brigade de Lutte contre la cybercriminalité (BL2C) de la Direction de la Police Judiciaire de la Préfecture de Police de Paris. L’enquête reste ouverte et aucune information n’a été rendue publique.
L’impact de l’incident Free sur l’entreprise et la société ?
L’affaire Free affecte l’entreprise et la société et souligne les failles de sécurité, les risques juridiques encourus et les enjeux cyber.
L’état des lieux des poursuites judiciaires
D’un point de vue juridique, la CNIL n’a pas encore communiqué sa décision finale quant à une sanction éventuelle contre Free. L’opérateur avait déjà été condamné en 2022 pour d’autres manquements RGPD, ce qui pourrait peser dans l’évaluation de sa responsabilité actuelle. D’ailleurs, les associations de consommateurs comme l’UFC-Que Choisir font pression et réclament des sanctions exemplaires pour ce manque de sécurité. De plus, l’intégration de la fuite dans la base publique « Have I Been Pwned »** en mai 2025 a rendu la compromission visible et vérifiable par les personnes affectées. Cela accroît inévitablement la pression publique et médiatique sur Free.
La vulnérabilité des entreprises face aux cyberattaques
Étant l’événement de cybercriminalité le plus important de 2024 en France, l’affaire Free est devenue un cas d’école sur la vulnérabilité des opérateurs et en matière de cybersécurité des opérateurs Telecom. Elle illustre combien même de grands groupes français peuvent se sentir débordés par la complexité croissante des attaques informatiques. Les conséquences ont été multiples :
- perte de confiance,
- atteinte à la réputation de Free,
- surveillance déployée des autorités,
- risques financiers liés aux amendes de la CNIL.
Cette affaire a rappelé l’importance des principes et obligations du RGPD :
- notification rapide des incidents,
- sécurité renforcée des traitements,
- transparence envers les utilisateurs.
L’incident Free soulève aussi la question de la crédibilité des opérateurs : comment rétablir la confiance après une fuite de cette ampleur ? D’autant que le 4 août 2025 a été marqué par une attaque cybercriminelle similaire chez Bouygues Telecom. Effectivement, 6,4 millions de clients ont vu leurs données compromises. Ont été touchés les coordonnées, les données d’état civil, les données contractuelles, et dans certains rares cas les IBAN.
Les enjeux de cybersécurité soulevés
La fuite Free met en lumière plusieurs failles structurelles :
- Sécurisation insuffisante des bases de données
- Manque de cloisonnement entre les environnements clients et l’administratif
- Retard dans la détection de l’intrusion : dans le cas de Free, découverte de l’incident plusieurs jours après l’exfiltration.
- Manque de sensibilisation au phishing secondaire : les victimes ont ensuite reçu des mails frauduleux très ciblés. Les données volées restent encore exploitables sur les plateformes criminelles et les hameçonnages ciblés continuent.
À cette heure, l’incident Free montre également aux abonnés combien maintenir une vigilance permanente sur les comptes bancaires, ainsi que sur les messages suspects est inévitable.
Un an après, la fuite des données chez Free demeure l’un des accidents de cybersécurité les plus marquants de 2024 en France. Elle démontre à quel point la sécurité des systèmes d’information devient depuis plusieurs années un enjeu stratégique pour les entreprises et particuliers. Cette affaire souligne que la cybersécurité reste une nécessité vitale pour la santé des organisations. Alors, ne laissez pas votre entreprise devenir la prochaine victime… Prenez contact avec GetCyberSécurity pour évaluer votre niveau de protection et pour mettre en place des mesures concrètes de sécurisation.
* Exfiltration : copie des fichiers clients vers l’extérieur sans autorisation
** « Have I been Pwned » signifie « Suis-je dans une fuite de données » (pwned étant une variation du mot « owned » qui signifie « possédé », il est utilisé comme jeu de mots pour signaler une fuite de données).