Fuite de données SFR : un fichier de 3,6 millions de lignes dans la nature

Un pirate a diffusé dimanche sur la messagerie Telegram le lien vers un fichier .csv de plus de 400 Mo contenant quelques 3,6 millions de lignes. Ces dernières référencent des coordonnées (nom, prénom, mail, adresse postale, téléphone), qui seraient celles de clients de l'opérateur SFR.

Un fichier dont la provenance n'a pas été confirmée

Au départ, le fichier avait vocation à être vendu : il faisait l'objet d'une annonce, elle aussi postée sur Telegram, avec une mise à prix fixée à 500 euros, payables en cryptomonnaie. Repérée dimanche par Luc Chagnon, journaliste chez France Info, cette annonce a fait l'objet d'un démenti par SFR.

« Erratum : @SFR me conteste avoir été victime d'une nouvelle fuite de données. On serait donc sur une compil de données déjà leakées auparavant ? Pour un nouveau groupe de hackers qui veut gagner en crédibilité, c'est un peu moins impressionnant que leurs coups précédents », écrit Luc Chagnon sur X, dimanche en fin d'après-midi.

🚨 Erratum : @SFR me conteste avoir été victime d'une nouvelle fuite de données.

On serait donc sur une compil de données déjà leakées auparavant ? Pour un nouveau groupe de hackers qui veut gagner en crédibilité, c'est un peu moins impressionnant que leurs coups précédents https://t.co/CUUTmAINu9

— Luc Chagnon (@Luc_Chagn0n) November 24, 2024

Les dénégations de l'opérateur ont semble-t-il heurté l'ego du pirate en question. Dimanche soir, peu après 10 heures, celui-ci a dénoncé, sur Telegram, l'attitude de l'opérateur. « SFR préfère mentir à ses clients en disant qu'on revends (sic) les mêmes données... Premièrement c'est un mensonge, deuxièmement ça nous fait de la mauvaise pub. Ceci ne peut pas rester impunis (sic), alors servez vous mes frères », écrit-il, avant de publier le .csv complet.

Le fichier correspond-il à une nouvelle brèche dans les défenses de SFR, ou n'est-il que l'agrégat de données personnelles déjà en circulation (des fuites ont été annoncées en juillet et en septembre) ? Impossible, à ce stade, de confirmer ou d'infirmer cette hypothèse, mais les conseils habituels restent de mise : ces informations peuvent être utilisées pour des tentatives d'ingénierie sociale (phishing, usurpation d'identité), mais aussi croisées avec celles d'autres fuites de données pour être exploitées de façon plus efficace.

D'autres fuites de données à venir ?

Le pirate affirme par ailleurs toujours proposer à la vente un autre fichier listant cette fois 150 000 IBAN de clients SFR suite à la fuite de données – confirmée cette fois par l'opérateur – survenue en septembre dernier.

Il enchaîne enfin sur une diatribe mêlant menaces et appels à la clémence, dans laquelle il liste les soi-disant victimes de son collectif. Dans le lot figurent des noms tels que Hexalis (logiciel médical), la Gendarmerie nationale, TikTok, Meta ou Orange. Le pirate accompagne son propos de captures ou de photos d'écran censées illustrer des interfaces privées, dédiées à l’administration de données personnelles, au sein des organismes concernés.

La semaine dernière, le collectif en question revendiquait déjà des vols de données au sein du magazine Le Point, de SFR, de Direct Assurance, de Mediboard et d'un organisme public ou parapublic baptisé Osiris. Plusieurs d'entre elles ont bien été confirmées.

• Direct Assurance, Osiris, Mediboard… un collectif de pirates rafle vos données