SFR : 2,1 millions de clients fibre dans la nature — ce que révèle vraiment l'affaire NOVA

Article publié le 21 juillet 2026 — Statut de l'incident au moment de la publication : revendiqué, non confirmé officiellement par SFR

Un accès interne, pas une attaque frontale

Le 17 juillet 2026, un acteur malveillant revendique avoir extrait 2 104 093 lignes de données appartenant à des abonnés SFR disposant d'un abonnement fibre. La méthode annoncée n'est pas un ransomware, pas une injection SQL sur un portail exposé, pas une faille spectaculaire : selon la revendication, l'attaquant aurait simplement obtenu l'accès à un outil interne de gestion nommé NOVA, utilisé par les équipes techniques de l'opérateur pour administrer les lignes fibre de ses abonnés.

L'extraction aurait débuté le 30 juin 2026 avant d'être détectée et interrompue par les systèmes de surveillance de SFR. Ce délai de dix-sept jours entre le début de l'opération et sa détection est, à lui seul, un enseignement majeur.

À ce stade, SFR n'a pas confirmé officiellement l'incident. Le volume annoncé et l'authenticité complète des données restent à établir. Cela ne dispense pas d'analyser ce que révèle la revendication sur les risques réels pour les personnes concernées.

Ce que contenait chaque fiche : bien plus qu'un simple annuaire

Ce qui distingue cette fuite des violations de données habituelles, c'est la densité et la précision des informations présentes dans chaque ligne. Il ne s'agit pas d'un simple nom et d'une adresse e-mail. Chaque fiche combinerait plusieurs couches d'informations normalement cloisonnées :

Identité et coordonnées
Nom, prénom, civilité
Adresse postale complète, avec bâtiment, escalier et étage
Numéro de téléphone fixe et mobile associé
Ville, code postal, coordonnées GPS précises
Données contractuelles et commerciales
Offre Internet souscrite
Identifiants clients et références internes SFR
Statut de la ligne et dates de dernière activité
Informations liées au compte mobile associé
Données techniques de la box et de la connexion
Adresse IP (IPv4 et préfixe IPv6)
Adresse MAC de la box
Numéro de série de la box
Modèle de l'équipement et version logicielle
Numéro de série de l'ONT fibre (l'équipement optique terminal)
Puissance optique reçue et transmise
Débit de connexion
État de la ligne téléphonique VoIP
Statistiques de trafic entrant et sortant
Date et heure de dernière activité réseau
Topologie complète du réseau fibre
Référence de la prise terminale optique (PTO)
Point de mutualisation (PM) et point de branchement optique (PBO)
OLT (Optical Line Terminal) utilisé, avec carte, port et emplacement physique
Références des câbles, couleurs des fibres et des tubes
Opérateur d'immeuble et gestionnaire du bâtiment
État des équipements et incidents réseau actifs
Pourquoi ce niveau de détail change tout

Une fuite de données classique expose des informations qu'un fraudeur peut utiliser pour envoyer un e-mail de phishing plausible. Cette fuite, si elle est confirmée, fournirait à un attaquant les éléments nécessaires pour impersonner un technicien SFR de manière convaincante, à la fois par téléphone et physiquement.

L'arnaque au faux technicien : un scénario devenu trivial

Imaginez un appel reçu par un abonné. L'interlocuteur connaît :

son nom et prénom exacts ;
son adresse avec l'étage et l'escalier ;
son offre SFR et le modèle de sa Livebox ;
la puissance optique de sa fibre et le fait qu'un incident est en cours sur sa ligne ;
son numéro de mobile associé.

L'abonné n'a aucun moyen raisonnable de distinguer cet appel d'un vrai contact SFR. À partir de là, les scénarios possibles sont nombreux : collecte d'identifiants client, redirection d'appels, demande de paiement pour une fausse intervention, prise de contrôle de compte.

La précision des adresses va encore plus loin. Connaître le bâtiment, l'escalier et l'étage d'un abonné, combiné à l'identité et à l'offre, peut permettre à une personne malveillante de se présenter physiquement à la porte en affichant une connaissance des lieux qui désarme toute méfiance.

Un risque pour l'infrastructure de SFR elle-même

La topologie détaillée du réseau fibre exposée — OLT, ports physiques, références des câbles, points de branchement — représente une cartographie partielle de l'infrastructure d'un opérateur national. Ces données ne permettent pas à elles seules de compromettre le réseau, mais elles constituent un renseignement utile pour des acteurs cherchant à cibler l'infrastructure ou à enrichir de futures attaques contre les systèmes internes de l'opérateur.

La présence d'adresses IP d'équipements réseau en service dans la base est également à souligner. Leur exposition n'équivaut pas à un accès direct, mais elle augmente mécaniquement la surface d'information disponible sur le réseau de SFR.

Le vecteur d'accès : la vraie leçon de cet incident

La revendication décrit un accès obtenu non pas en cassant un chiffrement ou en exploitant une vulnérabilité logicielle complexe, mais en compromettant un compte interne donnant accès à NOVA, puis en automatisant la consultation des dossiers clients.

Ce vecteur — compromission d'un compte employé ou prestataire avec accès à des outils métier — est aujourd'hui l'un des plus fréquents dans les incidents que nous traitons chez S@FE, aussi bien en accompagnement post-incident que dans nos missions de DPO externalisé.

Les raisons sont structurelles :

Les outils internes de gestion clients sont rarement soumis aux mêmes exigences de sécurité que les portails exposés sur Internet.
Les comptes techniques ou de support disposent souvent d'accès larges, justifiés par les besoins opérationnels mais jamais révisés.
La détection d'une activité anormale sur un outil interne (scraping progressif de fiches clients) est plus difficile qu'une alerte volumétrique franche.
La multiplication des accès sous-traitants et prestataires crée des périmètres que l'opérateur principal ne maîtrise plus complètement.

Le fait que l'extraction ait duré dix-sept jours avant d'être stoppée est révélateur : la détection a fonctionné, mais tardivement. 2,1 millions de lignes plus tard.

Ce que dit le RGPD sur cette situation

Si l'incident est confirmé, SFR sera soumis à plusieurs obligations au titre du Règlement général sur la protection des données (RGPD) :

Notification à la CNIL — Article 33 du RGPD : toute violation de données personnelles présentant un risque pour les droits et libertés des personnes doit être notifiée à l'autorité de contrôle dans un délai de 72 heures à compter de sa connaissance. Avec une extraction qui aurait débuté le 30 juin, la question du moment de "connaissance effective" sera centrale.

Notification aux personnes concernées — Article 34 du RGPD : lorsque la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, le responsable de traitement doit en informer les personnes concernées dans les meilleurs délais. Au regard de la nature des données exposées (identité, adresse précise, données techniques permettant des arnaques physiques), ce seuil semble atteint.

Responsabilité et sanctions — La CNIL dispose du pouvoir de sanctionner jusqu'à 4% du chiffre d'affaires annuel mondial. L'analyse portera notamment sur l'adéquation des mesures de sécurité mises en place sur l'outil NOVA, les contrôles d'accès existants, et la capacité de détection et de réponse de SFR.

Ce que doivent faire les abonnés SFR concernés

En l'absence de confirmation officielle, il est impossible de dresser une liste certaine des personnes touchées. Mais en prévention, toute personne ayant un abonnement fibre SFR actif ou récent a intérêt à adopter les réflexes suivants.

En cas d'appel entrant se réclamant de SFR :

Ne jamais fournir votre mot de passe client, même partiel.
Ne jamais communiquer un code reçu par SMS à un interlocuteur téléphonique.
Raccrocher et rappeler SFR via le numéro officiel 1023.
Ne pas accorder votre confiance à un interlocuteur au seul motif qu'il connaît votre adresse, votre offre ou le modèle de votre box.

En cas de visite à domicile non sollicitée :

Exiger la présentation d'un ordre de mission nominatif.
Vérifier l'identité de l'intervenant en appelant le service client SFR avant d'ouvrir.

Sur vos comptes en ligne :

Modifier votre mot de passe SFR.
Activer la double authentification si elle est disponible.
Vérifier que votre mot de passe SFR n'est pas réutilisé sur d'autres services.
Conclusion : le problème n'est pas la fuite, c'est ce qu'elle révèle

La fuite SFR/NOVA illustre un paradoxe que nous observons régulièrement : les organisations investissent massivement dans la sécurité de leur périmètre exposé — firewall, WAF, tests d'intrusion sur les applications web — tout en laissant leurs outils internes métier dans un état de sécurité bien inférieur.

Un outil comme NOVA, qui agrège l'identité des abonnés, leurs données de contact, leurs équipements et la topologie de leur raccordement fibre, est par nature une cible de choix. Son niveau de protection aurait dû être commensurate à la sensibilité des données qu'il centralise.

Ce n'est pas une critique spécifique à SFR — c'est une réalité structurelle du secteur télécoms et au-delà. Les outils de support et de gestion client sont des mines d'informations sur des millions de personnes. Leur sécurisation doit être traitée avec la même rigueur que celle des portails publics.

Tant que les outils internes restent le maillon faible, les acteurs malveillants continueront de les cibler. Pas besoin d'exploits sophistiqués : un compte compromis et de la patience suffisent.

Sébastien Alonso est Président et DPO de S@FE SASU, société spécialisée en cybersécurité et conformité RGPD, référencée sur cybermalveillance.gouv.fr et la plateforme 17Cyber. Il intervient en accompagnement post-incident, en mission de DPO externalisé et en formation des équipes.

Cet article est rédigé à partir des éléments publiquement disponibles au 21 juillet 2026. Il ne constitue pas un avis juridique. L'incident décrit reste à ce jour revendiqué et non confirmé officiellement par SFR.

Sources : cyberattaque.org — SFR : 2,1 millions de clients fibre en fuite après l'accès à un outil interne — 17 juillet 2026