Depuis quelques jours, l’alerte est donnée, et c’est peut-être bien le plus important piratage d’un opérateur en France. Free a confirmé la fuite de données via un mail envoyé à ses clients concernés.
Mise à jour du 30/10/2024 : les données auraient été vendues à un tiers non identifié pour la somme finale de 175 000$ d’après SaxX !
Les données volée par le cybercriminel sont très sensibles et sont d’ores-et-déjà à vendre au plus offrant sur le Dark Web (enchères à environ 70 000 $ USD actuellement). Le vol des 5,11 millions d’IBAN a dans un premier temps été caché au public, avant d’être ajouté dans une seconde version du mail d’avertissement.
Rappelons que SFR a été victime d’une cyberattaque similaire il y a peu. Une véritable hécatombe donc pour le Web Français, qui démontre le très bas niveau de sécurité des systèmes. Des cybercriminels ont en outre mis en vente l’accès à des « outils de gestion » ou encore des « portails d’administration » de différentes sociétés et enseignes françaises. Free et SFR sont dans ce cas. Un accès administrateur à vendre pour 2000$ USD permettrait d’avoir un « Accès Admin au Portail FREE » et par conséquent, d’accéder à toutes les informations personnelles des clients.
L’attaque daterait du 17 octobre. Selon l’opérateur mobile fondé par Xavier Niel, » cette attaque a entraîné un accès non autorisé à une partie des données personnelles » des abonnés dont les noms, prénoms, adresses mail et postales, dates et lieux de naissance, numéros de téléphone, identifiants abonnés et données contractuelles.
En revanche, « aucun mot de passe », « aucune carte bancaire », « aucun contenu des communications (mails, SMS, messages vocaux…) » ne sont concernés, a assuré ce samedi midi l’entreprise auprès de l’Agence France presse. En outre, « aucun impact opérationnel n’a été constaté sur [ses] activités et [ses] services », a ajouté Free, sans toutefois préciser l’ampleur ni la date de l’attaque.
L’entreprise annonce également avoir déposé une plainte auprès du procureur de la République, ainsi que l’avoir notifié la Commission nationale de l’informatique et des libertés (Cnil) et à l’Agence nationale de la sécurité des systèmes d’information (Anssi), comme le prévoit la loi. Free rappelle que « l’auteur de ce délit s’expose à une peine de cinq ans d’emprisonnement et de 150 000 euros d’amende ».
Surveillez vos comptes bancaires !
L’IBAN (International Bank Account Number) peut servir à mettre en place un mode de paiement par prélèvement bancaire, directement sur le compte, comme pour un abonnement mensuel quelconque. Cette fuite de donnée bancaire est dangereuse pour les clients concernés, étant donné que des prélèvements SEPA illicites pourraient être mis en place via les IBAN ayant fuités.
Le SEPA (Single Euro Payments Area) est un système utilisé en Europe pour faciliter les paiements et les prélèvements en euros entre les pays de la zone SEPA, qui inclut presque tous les pays de l’Union Européenne plus quelques autres. Avec un IBAN, un cybercriminel peut :
- Mettre en place un détournement de paiement vers un autre compte contrôlé par le cybercriminel, si des paiements sont attendus sur votre compte (par exemple, salaire, factures clients, etc.)
- Mettre en place un prélèvement SEPA, qui permet à un créancier (par exemple, un fournisseur de services, un abonnement, etc.) de retirer directement des fonds d’un compte bancaire du débiteur (le client) sans que ce dernier ait besoin d’initier le paiement. C’est une méthode largement utilisée pour les abonnements, les factures récurrentes, et d’autres paiements réguliers.
On notera que pour effectuer un prélèvement SEPA, le client doit fournir un « Mandat de Prélèvement SEPA ». Ce document comprend l’IBAN du compte duquel l’argent sera prélevé, ainsi que le BIC (Bank Identifier Code) de la banque du débiteur.
En conclusion, bien qu’un IBAN soit un identifiant public pour le compte, il est important de le protéger comme toute autre information bancaire sensible. Si vous êtes client Free, vérifiez régulièrement vos relevés bancaires pour vous assurer qu’aucun prélèvement non autorisé n’a été effectué.
