Il y a deux semaines, l’actualité autour de Free était agitée. Le vendredi 25 octobre, le fournisseur d’accès envoyait ses premiers messages à des clients pour les informer d’une fuite de données. Le lundi 28, rebelote, mais avec une précision supplémentaire pour des clients Freebox : des IBAN en plus des données personnelles. Les risques sont réels et il faut donc penser à surveiller vos comptes si vous êtes touchés.

• Free confirme la fuite des « IBAN de certains abonnés »
• Fuite d’IBAN : quels sont les risques, comment se protéger

Récit d’une fuite de données et d’IBAN

Durant le week-end, un pirate affirmait détenir les données de 19,2 millions de clients Free, dont cinq millions accompagnés des IBAN (pour des abonnés Freebox uniquement). Il mettait aussi en ligne un fichier contenant pas moins de 100 000 lignes, avec des données personnelles de clients, dont les IBAN correspondants évidemment.

Le pirate – sous le pseudo drussellx – mettait l’ensemble des données aux enchères, à 70 000 dollars : « Si l'entreprise ne participe pas à cette unique vente aux enchères dans les prochains jours, cette copie sera vendue, ce qui entraînera de graves conséquences pour les clients, et sera probablement divulguée publiquement sur les forums dans un avenir proche », affirmait-il.

Des enchères et une base de données vendue 175 000 dollars…

Plus tard, le pirate avait mis à jour sa publication pour indiquer que les données avaient été vendues, et que les enchères avaient atteint 175 000 dollars. Il ajoutait avec une pointe d’humour un message à Free : « Free pensait que la base de données était gratuite, ils n’ont rien compris ».

Nous avions alors tenté de contacter drussellx, qui n’avait pas souhaité répondre. Par la suite, il a supprimé sa publication sur la vente des données de Free. Il n’a désormais plus aucun message à son actif.

Cette affaire avait bien inspiré Flock, qui nous avait proposé un dessin sur le sujet. Mais il y a un nouveau rebondissement, comme le rapportent DataBreaches et LeMagIT, et pas des moindres.

• #Flock : c’est show bouillant pour Free

Une tentative de SCAM sur des données dérobées  ?

Un autre membre du forum (How), avec un compte créé en février 2024, annonçait que drussellx avait été arrêté. Il proposait une nouvelle vente, à 35 000 dollars la copie de la base de données, avec cinq ventes seulement possibles. Il ajoutait qu’une copie a déjà été vendue (175 000 dollars) et qu'il ne restait donc que quatre « chances » d’acheter la base de données volées.

Selon DataBreaches qui rapporte cette affaire, cela ressemble beaucoup à une tentative d’arnaque. Nos confrères ont essayé de contacter How, qui n’a pas répondu… et a effacé son message dans la foulée. Mais le rebondissement est ailleurs : le 3 novembre, un utilisateur sous le pseudo YuroSh contacte nos confrères.

YuroSh entre dans la danse et affirme être le pirate

Il se présente comme le pirate responsable de la fuite de données : « Je crois savoir que cette base de données a été présentée à la télévision française pendant des semaines, et j'aimerais clarifier quelques détails ». Il affirmait aussi être le pirate responsable de la fuite de Free.fr. Pour appuyer ses dires, il envoie à DataBreaches « ce qui semblait être les informations personnelles de Xavier Niel ». Contacté par nos confrères, iliad (maison mère de Free) n’a pas répondu.

Pour confirmer son identité avant d’aller plus loin, DataBreaches a demandé à YuroSh de faire passer un message à drussellx (le pirate qui a publié le message sur le forum, annoncé la vente à 175 000 dollars et supprimé son post) : leur envoyer un message privé (via le forum utilisé pour la mise en vente) pour confirmer l’implication de YuroSh. Un billard à trois bandes, qui a porté ses fruits : « drussellx a alors envoyé à DataBreaches un message privé indiquant que YuroSh était responsable du piratage », expliquent nos confrères.

Les données n’ont pas été « vendues aux enchères, ni vendues du tout »

Voici le « détail » que YuroSh souhaitait préciser : « les données n’ont jamais été vendues aux enchères, ni vendues du tout – et elles ne vont pas l’être ». S’il y a des divergences de motivations entre les deux pirates, « aucun des deux ne voulait vraiment vendre les données des gens ou les divulguer », précise DataBreaches.

drussellx voulait extorquer iliad : il « aurait utilisé l’annonce de la mise aux enchères et la mise à jour "vendu" pour tenter de faire pression sur Free afin qu'il paie ». YuroSh serait de son côté « motivé par l'hacktivisme », c’est d’ailleurs pour cela qu’il a contacté DataBreaches.

« Je ne suis pas un saint, mais… »

Il profite en effet de l'occasion pour envoyer un long message à nos confrères. Rappelant en introduction les grosses fuites récentes, il explique que « chaque citoyen français a probablement fait l’objet d’une fuite au moins une fois ». Le message hacktiviste suit : « Je ne suis pas un saint, mais j’espère que l’incident Free.fr réveillera enfin les Français à la réalité de la surveillance de masse et qu’ils se battront contre elle ».

Depuis la rentrée, il y a eu des fuites chez Boulanger, Cultura, DiviaMobilités, Truffaut, Cybertek et Grosbill (qui font partie du même groupe), l’Assurance retraite, RED by SFR, Meilleurtaux et Ornikar, en plus de Free évidemment.

« Je déteste la surveillance et je pense que la seule façon de les réveiller est de les pirater. Sinon, les choses ne changent pas », ajoute-t-il en conclusion. Nous approuvons cependant la conclusion de DataBreaches : on « ne voit pas en quoi cet incident aurait un impact sur la surveillance ».

Free aurait été alerté à plusieurs reprises

YuroSh affirme avoir déjà envoyé des alertes de sécurité à Free (gratuitement), mais qu’elles ont « été ignorées ». Il précise à nos confrères que c’était après novembre 2022, date de la condamnation de Free par la CNIL pour plusieurs manquements.

• La CNIL sanctionne Free : mots de passe trop faibles, transmis et stockés en clair, violations de données…

De son côté, iliad n’a visiblement pas souhaité répondre à nos confrères sur les affirmations de YuroSh. Concernant les données de Free, YuroSh ne sait pas encore s’il va les conserver ou les détruire. Sur ce point, nous sommes bien forcés de le croire sur parole… du moins avant qu’un autre pirate n'entre en piste ? On n’est plus à un rebondissement près !

Des messages de prévention à la CNIL et chez Cybermalveillance

En France, l’annonce de la fuite des données et des IBAN de Free a provoqué de vives réactions, y compris à la CNIL et chez Cybermalveillance. Ce dernier a publié un billet de blog le 31 octobre pour faire le point sur la situation, les risques et ce qu'il conviendrait de faire.

En plus des recommandations de prudence d’usage, Cybermalveillance rappelle que vous pouvez « déposer plainte en cas d’utilisation frauduleuse de vos données personnelles divulguées », que ce soit au commissariat de police, à la brigade de gendarmerie ou par écrit à la Brigade de Lutte Contre la Cybercriminalité de la Préfecture de Police de Paris (36, rue du Bastion – 75017 Paris). Cette dernière a ouvert une enquête sur cette affaire.

Vous pouvez aussi « déposer plainte auprès de la CNIL si vous estimez que vos données personnelles n’ont pas été suffisamment protégées » et « engager au besoin une action de groupe ou un recours collectif ».

La CNIL avait communiqué la veille, le 30 octobre. La Commission expliquait que « vous pouvez porter plainte de deux manières : Auprès de la CNIL si vous estimez que vos données personnelles n’ont pas été suffisamment sécurisées. Auprès de la police ou de la gendarmerie si vous êtes victime d’une usurpation d’identité, d’une arnaque ou de paiements frauduleux ».

• Fuite d’IBAN : quels sont les risques, comment se protéger

Cachez ce formulaire en ligne que je ne saurais voir

RTL rappelle que la CNIL annonçait une autre possibilité il y a quelques jours encore : « vous avez la possibilité de porter plainte via un formulaire en ligne sans vous déplacer en commissariat ou en brigade de gendarmerie. Ce formulaire sera prochainement disponible depuis le site cybermalveillance.gouv.fr ». Mais nos confrères précisent que « la mention du formulaire en ligne […] a finalement disparu, sans qu’aucun formulaire ne soit mis en ligne ».

RTL et 01Net ont contacté la CNIL, la préfecture de police et le parquet sans réponse. Seul Cybermalveillance a confirmé que le formulaire « n’était plus d’actualité depuis la semaine dernière », sans plus de détails sur les raisons de ce retrait.

Un tel formulaire avait été mis en ligne suite à la fuite de France Travail sur 43 millions de personnes. Même chose avec les violations de données du tiers payant chez Viamedis et Almerys. Il avait « remporté un petit succès », souffle-t-on à nos confrères.

• France Travail piraté, les données de 43 millions de personnes « potentiellement » dérobées
• Prestataires du tiers payant piratés : la moitié des Français concernés, la CNIL ouvre une enquête