Cybersécurité : SFR touché par une fuite de données exposant les IBAN de ses clients

SFR a annoncé le 19 septembre avoir été victime d’un “incident de sécurité” dans les systèmes de sa filiale low-cost RED, entraînant une fuite de données personnelles. Dans un e-mail envoyé aux clients concernés, RED indique qu’il s’agit “exclusivement” des noms, prénoms, numéros de téléphone et adresses, mais aussi, plus grave, de données sensibles comme les IBAN et numéros de terminaux et de cartes SIM. L’incident a impacté un outil de gestion des commandes, et a été détecté le 3 septembre avant d’être corrigé dans la journée. On ignore, pour l’heure, le nombre de clients dont les données ont été subtilisées. Les clients impactés seraient ceux ayant récemment commandé un smartphone ou souscrit à un forfait chez RED.

Une plainte déposée

L’opérateur français précise que des données telles que des mots de passe, le détail des appels ou le contenu des SMS n’ont pas été subtilisées. À la suite de cet incident, SFR affirme avoir “renforcé ses procédures d’authentification pour toute demande de modification de coordonnées de contact”. La fuite de données a été notifiée à la Cnil et une plainte a été déposée auprès du Procureur de la République. RED a mis en place un numéro vert (0 805 80 49 49) pour les clients qui seraient victimes de tentatives de phishing.

Cette fuite de données présente un caractère particulièrement grave en raison des coordonnées bancaires exfiltrées. En possession de ces informations et d’autres données personnelles, comme un numéro de téléphone ou de carte SIM, les cybercriminels pourraient souscrire à d’autres achats ou abonnements (via un prélèvement) voire même usurper l’identité d’un client. Les pirates informatiques peuvent aussi effectuer des opérations de “SIM swapping”, qui consistent à récupérer un numéro de ligne pour l’associer à un autre mobile. Dans ce cas de figure, un acteur malveillant pourrait envoyer des SMS à la place du client initial, voire confirmer une opération bancaire précédemment réalisée.