Piratage de SFR Fibre : 2,1 millions de clients concernés, comment savoir si vous en êtes et quoi faire

Si vous êtes client fibre chez SFR ou RED by SFR, vous avez peut-être reçu un e-mail le 20 août. Il vous annonce qu’un « accès non autorisé » a touché un outil interne de gestion des raccordements. Derrière cette formule tiède, il y a un fichier de 2 104 093 lignes qui circule depuis le mois de juillet.

Bonne nouvelle d’entrée : ni vos mots de passe ni vos coordonnées bancaires ne sont dedans. Mauvaise nouvelle : ce qui est dedans suffit largement à fabriquer le coup de téléphone le plus crédible que vous recevrez cette année. Je vous explique ce qui a réellement fuité, pourquoi les données techniques de votre ligne sont le détail que personne ne commente, et les réflexes qui comptent vraiment.

Sept semaines entre la détection et votre e-mail

La chronologie mérite qu’on la pose, parce qu’elle raconte à peu près tout de cette affaire.

1. 30 juin 2026 : début de l’intrusion, d’après l’attaquant.
2. 2 juillet : les équipes de sécurité de SFR détectent l’accès et le coupent.
3. 17 juillet : l’attaque est revendiquée sur un forum cybercriminel.
4. 20 août : SFR confirme publiquement et commence à prévenir les clients.

Faites le calcul : sept semaines entre le moment où SFR sait et le moment où vous savez. Pendant que vous ne saviez rien, le fichier était déjà en vente. Je ne vais pas jouer les procureurs, la notification a bien eu lieu et l’incident a été déclaré à la CNIL, avec dépôt de plainte au parquet. Mais gardez ce délai en tête pour la suite, il change la façon dont vous devez lire les messages qui vont arriver.

Côté technique, l’entrée s’est faite par un seul compte utilisateur, désactivé depuis, qui donnait accès à un portail interne baptisé NOVA. Cet outil sert à consulter et gérer les informations des abonnés fixes, les équipements réseau et l’infrastructure fibre. L’attaquant l’a automatisé pour dérouler les fiches clients à la chaîne. SFR n’a pas confirmé officiellement le nom de l’outil ni le décompte exact des 2,1 millions de lignes.

Ce qui est parti, et ce qui est resté

Voici l’inventaire tel que SFR le décrit dans sa lettre aux clients : civilité, prénom, nom, adresse postale, numéro de téléphone mobile, identifiant de contrat et données techniques de la ligne. Cette dernière catégorie recouvre des adresses MAC, des numéros de série d’équipements, des identifiants ONT (le boîtier optique au bout de votre fibre) et des adresses IPv4.

Et voilà ce qui n’y est pas, dans la formulation de l’opérateur : « Vos mots de passe et informations bancaires ne sont pas concernés ». Pas de numéro de carte, pas d’IBAN, pas d’identifiants de connexion. C’est une différence de nature avec le piratage de la Mutuelle Générale de Prévoyance de la semaine dernière, où les IBAN étaient au menu.

Conséquence directe : changer votre mot de passe SFR ne vous protège de rien ici. Il n’a pas fuité. Si ça vous rassure, faites-le, ça ne coûte rien. Mais ne vous arrêtez pas là en pensant le travail terminé, parce que le vrai risque est ailleurs.

Les données techniques de votre ligne, le détail que tout le monde survole

La plupart des articles sur cette fuite s’arrêtent à « nom, adresse, téléphone » et concluent au risque de phishing. C’est vrai, mais c’est passer à côté de ce qui rend cette fuite-là particulière.

Réfléchissez à ce qu’un escroc tient entre les mains. Il connaît votre nom, votre adresse exacte, votre mobile, votre numéro de contrat, et le numéro de série de votre boîtier fibre. Aucun démarcheur ordinaire ne dispose de ça. Aucun faux conseiller improvisé non plus.

Concrètement, ça donne un appel qui commence par : « Bonjour Monsieur Untel, je vous appelle du service technique SFR au sujet de votre ligne fibre au 12 rue des Lilas, contrat numéro tant. Nous détectons une anomalie sur votre ONT, référence tant. » À ce stade, la moitié des gens ont déjà baissé la garde. C’est précisément le mécanisme des arnaques à la voix clonée par intelligence artificielle, sauf qu’ici l’escroc n’a même pas besoin d’imiter une voix : il lui suffit de réciter des informations que seul votre opérateur est censé connaître.

La suite du script est toujours la même. Un prétendu incident, une intervention à programmer, un logiciel de prise en main à distance à installer, ou un code reçu par SMS à communiquer. Ce code, c’est la porte d’entrée de votre compte. Une fois dedans, on commande, on modifie, on transfère une ligne.

Ce qu’un pirate ne peut pas faire avec ces données

Autant calmer tout de suite une inquiétude qui revient partout : non, personne ne va prendre la main sur votre box depuis l’autre bout du monde avec une adresse MAC. Une adresse MAC ne s’utilise que sur le réseau local, un numéro de série d’ONT sert au diagnostic côté opérateur, et l’adresse IPv4 d’un abonné change régulièrement. Aucun de ces éléments n’est un identifiant de connexion, et aucun n’ouvre une porte vers votre installation.

En revanche, deux risques bien réels méritent votre attention. Le premier tient au courrier papier frauduleux : votre adresse exacte associée à votre numéro de contrat suffit à fabriquer un faux avis d’échéance très convaincant, avec un RIB à jour et un délai de paiement serré. Le second, c’est le SIM swapping (transfert frauduleux de votre ligne mobile vers une autre carte SIM), qui commence toujours par un appel au service client où l’escroc récite votre identité pour se faire passer pour vous.

Comment savoir si vous êtes concerné

Pas de site de vérification, pas de formulaire magique. Le seul critère fiable est la notification individuelle envoyée par SFR à partir du 20 août. Les abonnés fibre RED by SFR sont concernés au même titre que les clients SFR.

Et là, attention au piège. Une notification officielle qui atterrit dans votre boîte est aussi une occasion en or pour les escrocs : ils savent qu’un e-mail « SFR » parlant de fuite de données a de bonnes chances d’être ouvert et cru. C’est exactement ce qu’on a vu après d’autres fuites, avec ces faux e-mails qui promettaient d’effacer vos données.

Petit conseil : ne cliquez sur aucun lien dans le message de notification, quel qu’il soit. Ouvrez vous-même votre espace client, en tapant l’adresse à la main ou depuis l’application. Si l’information est réelle, elle y sera aussi.

Les quatre réflexes qui servent vraiment

Premier réflexe : ne jamais rappeler le numéro qu’on vous donne. Un vrai conseiller ne vous en voudra pas de raccrocher et de composer vous-même le 1023 depuis votre ligne SFR. Un escroc, si. C’est le test le plus simple et il ne rate jamais.

Deuxième réflexe : aucun code reçu par SMS ne se communique. Ni à un technicien, ni à un conseiller, ni à quelqu’un qui vous annonce une fraude en cours sur votre compte. Ces codes n’existent que pour être saisis par vous, sur un écran que vous avez ouvert vous-même.

Troisième réflexe : aucune prise en main à distance. Si on vous demande d’installer un outil pour « vérifier votre ligne », c’est terminé, raccrochez. Le diagnostic d’une fibre se fait depuis le réseau de l’opérateur, pas depuis votre PC.

Et le plus utile : activez la double authentification sur votre espace client SFR, si ce n’est pas déjà fait. Votre mot de passe n’a pas fuité, d’accord. Mais votre numéro de mobile et votre identifiant de contrat circulent, et ce sont exactement les éléments qu’un escroc avance pour se faire passer pour vous auprès du service client, ou pour tenter une réinitialisation de mot de passe. La double authentification bloque cette voie-là.

ZeroBytes, encore lui

L’attaque est revendiquée par un pseudonyme qui commence à être familier : ZeroBytes. Le même que dans le piratage des impôts et dans celui de l’Éducation nationale. Trois cibles françaises majeures en quelques semaines, avec à chaque fois le même mode opératoire : pas d’exploit spectaculaire, mais un accès légitime détourné vers un outil interne bourré de données.

Ajoutez à la liste la CAF, Bloctel et l’ANTS, et vous obtenez le vrai visage de 2026 : ce n’est pas votre hygiène numérique qui est en cause, c’est celle des organismes qui stockent vos données. Un mot de passe béton et un gestionnaire impeccable n’auraient rien empêché ici.

Au passage, SFR n’en est pas à son coup d’essai : plusieurs fuites ont déjà été recensées chez l’opérateur depuis 2024. Et pour situer l’enjeu côté sanctions, la CNIL a infligé 42 millions d’euros à Free et Free Mobile en janvier 2026 pour des mesures de sécurité jugées insuffisantes. Et l’opérateur n’est pas toujours la porte d’entrée : près d’une fuite sur deux part désormais d’un sous-traitant à qui l’entreprise a confié vos données.

Ce que vous pouvez faire de plus

Si vous voulez pousser au-delà des réflexes de prudence, deux démarches ont un sens réel. Vous pouvez signaler l’incident à la CNIL, qui a déjà été saisie par SFR mais qui mesure aussi l’impact réel au nombre de plaintes reçues. Et vous pouvez déposer plainte si vous subissez ensuite une tentative de fraude caractérisée, en joignant le message de notification comme pièce.

En revanche, inutile de résilier dans la panique. Vos données sont déjà sorties, changer d’opérateur ne les fait pas rentrer. Et vu la fréquence des incidents chez les uns et les autres, le prochain hébergeur de votre RIB n’offre aucune garantie supplémentaire.

Ce que je ferais à votre place

Trois choses à faire en sortant de cet article. Activez la double authentification sur votre espace client. Décidez maintenant, à froid, que vous raccrocherez au prochain appel d’un « technicien SFR », même s’il connaît votre adresse et votre numéro de contrat. Et prévenez les personnes âgées de votre entourage qui sont chez SFR : ce sont elles que ce scénario vise en priorité, parce qu’un interlocuteur qui récite les bonnes informations désarme instantanément la méfiance.

Ma reco si je n’en garde qu’une : traitez tout appel entrant se réclamant de SFR comme une tentative d’arnaque jusqu’à preuve du contraire, pendant les six prochains mois. Les fichiers volés ne se périment pas, ils se revendent.