Chez SFR aussi, il a suffi d’un compte. Et c’est encore le même voleur qui compte les victimes

Sommaire

• Un compte. Un seul.
  • Combien ? Demande au voleur.
  • Sept semaines pour trouver les mots
  • Ce qu’ils ont pris vaut mieux qu’un nom
  • Le même signataire qu’au fisc
  • Et pendant ce temps, on te demande ton code à six chiffres
• Notes de bas de page
  • Partager :

Ce matin, huit heures, je publiais un papier sur le fisc. Sa thèse tenait en une ligne. L’État t’impose la double authentification et ne se l’impose pas à lui-même. Pas avant début 2027. D’ailleurs, j’aurais aimé attendre un peu avant d’avoir raison. C’était ce matin. Et puis, la veille au soir, SFR envoyait un courriel à ses abonnés Fibre.

Un incident. presque rien. Une broutille. Il aura suffi d’un outil interne. Des données parties se promener. Et devine par où sont entrés les visiteurs ? Par un compte. Un compte valide. Qui existait. Avec des identifiants qui marchaient. Volé comment ? Hameçonné ? Acheté cinquante mille euros sur un forum ? Ramassé dans une faille ? Ah. Ça, motus. SFR a pas osé le dire. Se sent mal à l’aise ? En tout cas, il a coupé le compte. On n’attendait pas moins. C’est le minimum. Mais n’a jamais dit par quel bout on le lui avait pris les données. Comme au fisc. Trait pour trait. Copie carbone. Tout comme. Et on ne se moque pas.

Un compte. Un seul.

Voilà le détail que personne ne relève. D’abord, on parle d’un opérateur télécom. Une grosse maison. Des équipes de sécurité, des budgets, des audits, des jolis logos de certification sur les plaquettes commerciales. Tout pour faire confiance. Et le monsieur est entré avec un badge qui marchait. Un badge qui ouvrait la maison. En effet, SFR l’a désactivé après coup, ce qui règle le problème du badge. Pas celui de la poche dans laquelle il a été pris.

SFR le dit d’ailleurs sans détour. Accès coupé immédiatement. Adresses IP bloquées. Mesures de protection supplémentaires. Parfait. Cependant, il manque une phrase dans ce communiqué. Une seule. Est-ce que ce compte était protégé par une double authentification ? SFR ne le dit pas. Personne ne le lui demande. Bref, on va rester poli et écrire que la question reste ouverte. En espérant avoir un jour la réponse. Pas sûr ! Or c’est exactement la question du fisc. Elle était ouverte là-bas aussi, jusqu’à ce que Bercy réponde tout seul en promettant la double authentification à tous ses agents pour fin 2026. En somme, une promesse, c’est un aveu qui a mis un costume. Un peu étriqué.

Combien ? Demande au voleur.

Alors, combien de clients ? Réponse officielle : rien. Oui rien. SFR n’avance aucun chiffre. Ils ont pas osé compter ? De peur de pleurer. L’opérateur parle d’un incident, cite trois catégories de données, et s’arrête là. Le seul décompte qui circule vient d’ailleurs.

Ce nombre n’est pas dans le communiqué de SFR. Ils n’ont pas osé. Il vient du forum criminel où ZeroBytes a revendiqué son butin le 17 juillet. Ensuite relayé par les spécialistes qui surveillent ces endroits-là. Autrement dit, la seule comptabilité disponible est celle du monsieur qui a fait les poches. Tu as déjà lu ça quelque part ? Moi aussi. Il y a une semaine. C’était le fisc, c’était le même signataire. C’était déjà le pirate qui tenait le registre. Eh oui, que veux-tu ils font leurs courses. Ainsi va la France numérique de 2026. Les entreprises confirment. Les voleurs chiffrent. Ah le beau pays que voilà. Que dis-je, plutôt le grand supermarché. Un peu comme Félix Potin, on y revient !

Sept semaines pour trouver les mots

Reprenons le calendrier. Car il est court, il tient en quatre dates, et il pique. Prends tes lunettes de l’éclipse solaire. Tu risques d’être aveuglé. D’abord, fin juin, les voleurs entrent. Enfin, c’est le pirate qui donne cette date, SFR ne confirme que la détection. Calme. Pas nerveux.. Avec le badge qu’il faut. Font leurs marché. C’est open-bar. Autant en profiter. Sans se presser. Gratuit à la sortie. Ensuite, le 2 juillet, SFR détecte. Mais ne dit rien. Il regarde ailleurs ? Etait en vacances. Peut-être est-ce dû à la canicule. Empêchait de réfléchir ? De prendre une décision ? On sait pas. Bref, il attend. Un truc ? Un bidule ? Pas encore dit. Puis, le 17 juillet, le pirate publie sa revendication. Enfin, le 20 août, les clients reçoivent leur courriel. Ouf ! Là ne devais plus faire chaud. Ou alors le bureau du rédacteur du courriel avait enfin la clim ? Donc entre le moment où l’opérateur sait et le moment où toi tu sais, il s’écoule sept semaines. Sept. Cinq et deux. T’imagine. ce que l’on peut faire en sept semaines. Prendre des vacances. Voler des données.

Précision honnête, par ailleurs, parce qu’on ne va pas faire comme les autres. SFR a bien notifié la CNIL et déposé plainte auprès du procureur. C’est ce que dit son communiqué, et le règlement l’y oblige depuis 2018. Le délai réglementaire de soixante-douze heures, lui, court vers l’autorité. Pour les personnes concernées, le texte demande une information « dans les meilleurs délais » quand le risque est élevé. « Meilleurs délais. » Cinquante jours. C’est un bon délai, non ? Voilà, tu sais tout. Bref, chacun jugera de la qualité du délai.

Cependant, il y a plus embêtant. Pendant ces sept semaines, en effet, la liste circulait déjà. Depuis le 17 juillet exactement. Le pirate avait publié. Le client, lui, attendait un courriel qu’il ne savait pas devoir attendre.

Ce qu’ils ont pris vaut mieux qu’un nom

On te dira que ce n’est pas si grave. Comme toujours. Pas un vol. Une fuite. Tu la sens la différence ? D’abord, pas de mot de passe. Ensuite, pas de données bancaires. SFR le précise, c’est vrai, et tant mieux. Seulement voilà, regarde la liste complète. Civilité, nom, prénom, adresse postale, numéro de mobile, identifiant de contrat. Jusque-là, on est dans l’annuaire amélioré. C’est déjà pas mal. Puis viennent les données techniques de ligne. D’abord l’adresse MAC de ta box¹. Ensuite son numéro de série. Puis l’identifiant de ton ONT², le petit boîtier qui transforme la fibre en réseau chez toi. Ton adresse IP.

Prends deux secondes et imagine l’appel. « Bonjour, service technique SFR, on a détecté une anomalie sur votre ONT, je vous confirme le numéro de série de votre box. » Et il te le récite. Correctement. Tu fais quoi, toi ? Tu raccroches au nez du monsieur qui connaît ton matériel mieux que toi ? Non. Tu écoutes. Donc c’est humain, et c’est précisément pour ça que ce jeu de données vaut plus cher qu’une simple liste de noms. Un état civil, ça fait du courrier indésirable. Un numéro de série de box, ça fait un technicien sur ton palier. Mais pas un vrai.

Le même signataire qu’au fisc

Rigole pas maintenant. Tu risques de te faire mal aux zygomatiques. ZeroBytes. Retiens le nom, ou du moins rappelle-toi. La DGFiP en juin et juillet, avec trois fuites en enfilade. L’Éducation nationale revendiquée. SFR sur juin et juillet, révélé en août. Motivation financière, pas politique. Ce qui est presque rassurant tellement c’est banal. Le lien entre tous ces vols ? Même attaquant. Il paraît qu’il a maintenant plein de copains. Ils veulent être de la fête.

Or à chaque fois, c’est le même scénario. Un compte qui existe, des identifiants qui fonctionnent, et une porte qu’on pousse. Tranquillement. Et à chaque fois, la même case vide dans le communiqué : par quel bout le compte a-t-il été pris ? Au fisc, la version du VPN et de l’outil interne vient du pirate, Bercy ne l’a jamais confirmée. Chez SFR, on n’a même pas de version. Zero-day³ ou mot de passe hameçonné, choisis, personne ne tranchera pour toi. A moins que SFR n’ose le dire. Tellement c’est con comme tout. De plus, à chaque fois, la même surprise chez la victime, qui découvre l’ampleur des dégâts des semaines après que l’accès est été coupé.

Cela ne te rappelle rien ? Je te laisse fouiller dans les articles du site mychromebook.fr. En tout cas, le 19 août, le Premier ministre déclarait que peu de ministères sont au niveau requis et que ce n’est pas acceptable. Il a raison. Cependant, il faudra élargir la phrase. Parce que là, on n’est plus dans un ministère. On est chez un opérateur privé, en pleine procédure de rachat, dont la valeur vient précisément de sa base de clients. Enfin, de ce qu’il en reste dans ses murs. Qui n’a pas été volé. Mais qui a fuité. Ils tiennent tous à ce terme. C’est plus diplomatique.

Et pendant ce temps, on te demande ton code à six chiffres

Terminons par le truc qui me fait sourire jaune. Toi, comme moi d’ailleurs, ce matin, pour consulter ton espace client, tu as sorti ton téléphone. Code par SMS, ou notification à valider, ou empreinte. Puis pour ton compte bancaire, pareil. Pour tes impôts, pareil, et depuis 2025 ce n’est même plus une option. D’ailleurs, on t’a expliqué que c’était pour ta sécurité. C’était vrai. Sauf que le maillon faible n’a jamais été toi. Ni ton mot de passe de 2011 avec le prénom du chat. En résumé, le maillon faible, c’est le compte d’en face. Celui de l’agent, du technicien, du prestataire, qui ouvre non pas une fiche mais deux millions de fiches d’un coup. Car celui-là, personne ne lui demande de le sécuriser. Et visiblement, personne ne demande grand-chose à ceux qui le détiennent non plus.

Sur ton Chromebook, la validation en deux étapes est active par défaut sur ton compte Google. Tu ne l’as même pas demandée. En effet, elle est là, elle t’embête parfois, elle te sauve le reste du temps. Deux minutes de réglage, une page d’aide gratuite, un ado de treize ans sait faire. Donc si un jour un opérateur ou une administration cherche comment on s’y prend, l’adresse est connue. Ils savent où j’écris. Ou qu’ils s’adressent à Google. L’adresse ? 1600 Amphitheatre Parkway, Mountain View, CA 94043, États-Unis. Lui aussi sait faire !

Notes de bas de page

1. Adresse MAC : identifiant unique gravé dans chaque équipement réseau, box ou carte Wi-Fi. Contrairement à l’adresse IP, elle ne change pas. C’est la plaque d’immatriculation du matériel. ↩︎
2. ONT (Optical Network Terminal) : le boîtier qui reçoit la fibre optique chez toi et la convertit en signal exploitable par ta box. Chaque ONT porte un identifiant propre, utilisé par l’opérateur pour reconnaître ta ligne. ↩︎
3. Zero-day : une faille inconnue de l’éditeur du logiciel, donc sans correctif disponible. C’est l’arme chère et rare du piratage. Rien à voir avec ce qui s’est passé ici. ↩︎