SFR confirme l’incident de sécurité révélé en juillet et ayant permis un accès non autorisé à des données de clients Fibre. Dans une notification adressée aux personnes concernées et consultée par Cyberattaque.org, l’opérateur indique qu’un incident visant un outil de gestion et d’analyse des raccordements Fibre a été détecté le 2 juillet 2026 par ses équipes de sécurité.
Cette confirmation fait écho à une fuite revendiquée le 17 juillet 2026. Son auteur affirmait avoir accédé à un outil interne de SFR nommé NOVA et extrait une base partielle contenant 2 104 093 lignes.
SFR confirme désormais qu’un accès non autorisé à des données clients a bien eu lieu, mais ne reprend pas dans sa notification le volume de 2,1 millions de lignes, le nom de l’outil NOVA ni l’ensemble des informations techniques revendiquées par l’auteur.
Les données officiellement reconnues comme concernées comprennent la civilité, le nom, le prénom, l’adresse, le numéro de téléphone mobile, l’identifiant de contrat ainsi que des données techniques liées à la ligne. SFR précise que les mots de passe et informations bancaires ne sont pas concernés.
SFR a détecté l’accès non autorisé le 2 juillet
Dans son courrier, SFR indique que ses équipes de sécurité ont détecté l’incident le 2 juillet 2026. Celui-ci concernait un outil interne utilisé pour la gestion et l’analyse des raccordements Fibre.
L’auteur de la revendication affirmait de son côté avoir commencé l’extraction des données le 30 juin, soit deux jours auparavant, avant que celle-ci ne soit interrompue. Cette date de début n’est pas confirmée par SFR dans la notification consultée.
Un compte utilisé pour accéder à l’outil a été désactivé
SFR apporte également un élément important sur le mode d’accès. L’opérateur indique avoir désactivé le compte utilisé pour accéder à l’outil après la découverte de l’incident.
Les adresses IP à l’origine de l’accès non autorisé ont également été bloquées et placées sous surveillance. SFR indique avoir mené des analyses approfondies afin d’identifier l’origine de l’incident et avoir renforcé la surveillance de ses systèmes.
L’accès à un outil interne nommé NOVA avait été revendiqué
L’auteur de la fuite affirmait avoir obtenu un accès à plusieurs outils internes de SFR, dont une interface appelée NOVA. Il aurait ensuite automatisé la consultation des dossiers clients afin de récupérer les informations associées aux abonnements fibre.
Selon cette revendication, l’opération aurait été repérée avant la fin de l’extraction. La base de 2 104 093 lignes diffusée ou proposée par l’auteur serait donc partielle, tandis que l’environnement accessible aurait contenu les informations d’un nombre beaucoup plus important de clients.
La notification de SFR confirme l’existence de l’accès non autorisé à un outil lié aux raccordements Fibre, mais ne confirme pas explicitement le nom NOVA ni le volume de 2 104 093 lignes.
SFR confirme plusieurs données personnelles exposées
Les informations annoncées dans la revendication correspondent en partie aux catégories désormais officiellement reconnues par SFR.
L’opérateur confirme un accès non autorisé aux données suivantes :
- civilité ;
- nom ;
- prénom ;
- adresse ;
- numéro de téléphone mobile ;
- identifiant de contrat ;
- données techniques liées à la ligne.
La formulation utilisée par SFR pour les « données techniques liées à la ligne » reste large et ne permet pas de déterminer précisément quelles informations techniques sont officiellement considérées comme compromises.
L’échantillon revendiqué contient des fiches beaucoup plus détaillées
L’échantillon associé à la revendication montre des fiches particulièrement détaillées reliant l’identité d’un abonné à son adresse, son offre Internet et aux équipements techniques de sa ligne.
Parmi les informations observées figuraient notamment :
- nom et prénom ;
- civilité ;
- adresse postale complète ;
- complément d’adresse, bâtiment, escalier et étage ;
- ville et code postal ;
- numéro de téléphone fixe ;
- numéro de téléphone mobile associé ;
- identifiants clients et références internes ;
- offre Internet souscrite ;
- statut de la ligne ;
- dates de dernière activité.
Des coordonnées géographiques très précises dans les données revendiquées
Les fiches analysées contiennent également des coordonnées géographiques précises, avec latitude, longitude, identifiant d’immeuble et références du point de branchement optique.
Dans certains cas, les informations indiquent l’étage, l’escalier, le bâtiment et l’emplacement technique de la prise fibre. Cette précision dépasse largement une simple adresse client et permet de localiser la connexion au sein d’un immeuble.
Adresses IP, MAC et numéros de série des équipements
La base revendiquée comporte également de nombreuses données techniques liées aux box et équipements optiques :
- adresses IPv4 et préfixes IPv6 ;
- adresses MAC de la box ;
- numéro de série de la box ;
- modèle et constructeur de l’équipement ;
- version logicielle ;
- numéro de série de l’ONT fibre ;
- puissance optique reçue et transmise ;
- débit de la connexion ;
- état de la téléphonie VoIP ;
- statistiques de trafic reçu et envoyé ;
- dernière activité réseau.
Ces informations ont été observées dans les éléments liés à la revendication. SFR ne détaille pas, dans sa notification, lesquelles sont incluses dans la catégorie générale des « données techniques liées à la ligne ».
Des informations sur le raccordement physique au réseau fibre
L’échantillon comprend également des informations très détaillées sur le raccordement physique des clients au réseau :
- référence de la prise terminale optique ;
- point de mutualisation ;
- point de branchement optique ;
- OLT utilisé ;
- carte, port et emplacement physique ;
- références des câbles ;
- couleurs des fibres et des tubes ;
- opérateur d’immeuble ;
- gestionnaire du bâtiment ;
- état des équipements et incidents réseau.
La présence de ces éléments permet de reconstituer une partie de l’architecture et du cheminement du raccordement fibre dans certaines zones. Là encore, la notification de SFR ne détaille pas précisément quelles informations techniques ont effectivement été consultées.
Des données mobiles associées aux abonnements Internet
L’auteur affirmait également avoir récupéré les informations mobiles liées aux clients fixes lorsqu’elles étaient associées au même dossier.
Les exemples montrent notamment le nom, le prénom, le numéro de mobile, la catégorie du client et l’adresse liée au compte. La présence du numéro de téléphone mobile parmi les catégories désormais confirmées par SFR vient donc corroborer une partie des données observées dans la revendication.
SFR confirme que les mots de passe et données bancaires ne sont pas concernés
SFR précise explicitement dans sa notification que les mots de passe et informations bancaires ne sont pas concernés par l’incident.
Ce point correspond aux éléments disponibles lors de la revendication : aucun mot de passe, numéro de carte bancaire ou IBAN n’avait été identifié dans l’échantillon consulté.
La combinaison de l’identité, de l’adresse, du téléphone, de l’identifiant de contrat et de données techniques liées à la ligne reste néanmoins sensible, notamment pour des tentatives d’ingénierie sociale ciblées.
Des risques de fraude au faux technicien SFR
Les informations exposées peuvent notamment servir à rendre particulièrement crédibles des tentatives de fraude. Un attaquant disposant de l’identité d’un abonné, de son adresse, de son numéro de téléphone et d’informations sur sa ligne pourrait se faire passer plus facilement pour un technicien ou un conseiller de l’opérateur.
Les scénarios possibles incluent :
- faux appel d’un technicien SFR ;
- fausse intervention fibre ;
- faux diagnostic de panne ;
- fausse migration de box ;
- faux remplacement d’équipement ;
- fausse demande de paiement ;
- tentative de récupération d’identifiants ;
- demande frauduleuse de code reçu par SMS.
Un risque accru d’usurpation lors d’une intervention à domicile
La présence d’informations précises sur l’adresse et potentiellement sur le raccordement d’un client peut également faciliter l’usurpation d’un intervenant à domicile. Une personne malveillante pourrait disposer de suffisamment d’éléments pour rendre son discours crédible auprès de la victime.
Les personnes concernées doivent donc rester vigilantes face aux appels, SMS ou visites prétendant provenir de SFR, y compris lorsque l’interlocuteur connaît déjà certaines informations personnelles ou techniques.
L’incident a été notifié à la CNIL et une plainte déposée
SFR indique avoir notifié l’incident à la CNIL, conformément à la réglementation applicable.
L’opérateur précise également que l’affaire fait l’objet d’un dépôt de plainte auprès du Procureur de la République.
Après la détection de l’accès non autorisé, SFR affirme avoir désactivé le compte concerné, bloqué et placé sous surveillance les adresses IP utilisées, mené des analyses approfondies et renforcé ses mesures de surveillance et de veille en matière de sécurité.
Le chiffre de 2,1 millions de lignes reste à distinguer du nombre de victimes
La confirmation de SFR établit désormais officiellement la réalité de l’incident et l’accès non autorisé à des données personnelles. Elle ne confirme toutefois pas le chiffre de 2 104 093 lignes avancé lors de la revendication.
Ce volume correspond par ailleurs à un nombre de lignes dans la base revendiquée et ne permet pas, à lui seul, de déterminer le nombre exact de personnes uniques concernées. Plusieurs enregistrements peuvent potentiellement correspondre à une même personne, une même ligne ou un même foyer.
La concordance entre les informations annoncées en juillet et la notification envoyée par SFR confirme néanmoins plusieurs éléments centraux : un outil lié aux raccordements Fibre a bien été compromis, un compte a été utilisé pour y accéder et des données personnelles ainsi que techniques ont été consultées sans autorisation.