« Les agents Free étaient facilement piégeables » : les révélations de Cash Investigation

Comment un pirate a-t-il pu rester plusieurs semaines dans les systèmes de Free sans être détecté ? Cash Investigation revient sur la cyberattaque de 2024, les failles de sécurité de l’opérateur et les témoignages particulièrement préoccupants recueillis par l’émission.

L’affaire de la fuite de données ayant touché Free en octobre 2024 revient sur le devant de la scène avec Cash Investigation. Dans son émission d’hier dédiée aux failles informatiques, l’équipe d’Elise Lucet s’intéresse notamment aux failles de sécurité qui ont permis à un pirate d’accéder aux données de millions d’abonnés Free, mais aussi à la responsabilité de Free et de sa direction.

Un pirate présent dans les systèmes pendant plusieurs semaines

En octobre 2024, une cyberattaque a permis l’exfiltration de données concernant 24,6 millions de contrats fixes et mobiles. L’attaque a notamment concerné des IBAN de clients. L’enquête de la CNIL a mis en évidence plusieurs failles, notamment une authentification VPN jugée insuffisamment robuste et un dispositif de détection des comportements anormaux inefficace.

Free conservait également certaines anciennes données clients pendant une durée excessive. “Les mauvaises conditions de sécurité ont permis non seulement à l’attaquant de s’introduire dans le système d’information, mais surtout de s’y maintenir pendant plusieurs semaines sans être détecté. L’attaque s’est en réalité étendue du 28 septembre au 22 octobre 2024.“, affirme le rapporteur de la CNIL durant l’audience en justice à laquelle Cash Investigation a pu assister, s’étant déroulée fin 2025.

Cash Investigation revient sur les conditions dans lesquelles l’attaque aurait été rendue possible, en contactant des cybercriminels. Bien avant la fuite de données révélée en octobre 2024, Free aurait déjà subi plusieurs intrusions, affirme Cash Investigation après avoir pris contact avec un cybercriminel qui dit avoir pénétré illégalement dans les fichiers clients de l’opérateur. « En fait globalement les agents Free étaient facilement piégeables, c’est pour ça que des dizaines de personnes se sont retrouvée à avoir accès », affirme-t-il. Le pirate explique notamment s’être fait passer pour le service informatique de Free auprès de salariés et les avoir manipulés par téléphone afin d’obtenir leurs codes de connexion au réseau interne, une méthode qu’il affirme avoir également été utilisée par d’autres cybercriminels.

Il cite aussi des messages d’employés dont le poste aurait été usurpé, alors même que ces derniers avaient reçu un communiqué interne les alertant de tentatives d’usurpation du service informatique de Free, identifié par le numéro « 777 ». Pour étayer ses affirmations, le cybercriminel a transmis à Cash Investigation une fiche client Free particulièrement complète, datant d’environ un an et demi au moment du reportage, soit dix mois avant que Free n’annonce avoir été victime d’une fuite de données. Xavier Niel aurait refusé de répondre aux sollicitations de l’émission, tandis que Free n’aurait pas donné suite aux demandes de Cash Investigation.

Une sanction pour servir d’exemple

Face aux questions concernant la nature des informations dérobées, l’avocate interrogée dans le cadre de l’enquête estime : « À part l’IBAN, on ne parle absolument pas de données sensibles. » Une déclaration qui intervient alors que la CNIL a justement considéré que les mesures mises en place pour protéger les données personnelles n’étaient pas suffisantes. La Commission a finalement sanctionné Free Mobile à hauteur de 27 millions d’euros et Free à hauteur de 15 millions d’euros, soit 42 millions d’euros au total. De son côté, l’opérateur a fait appel. La présidente de la CNIL rappelle de son côté que la fuite de données chez Free est « celle où nous avons reçu le plus de plaintes ».

Elle explique que la sanction avait notamment pour objectif « d’inciter Free à justement veiller à détecter davantage les comportements, à supprimer les données trop anciennes… », tout en espérant que ces sanctions publiques puissent constituer « un levier de mise en conformité pour d’autres entreprises ». Pour mieux se protéger, les entreprises doivent ainsi « mieux sécuriser l’accès à distance à leurs bases de données, […] détecter les comportements anormaux ». Et la présidente de la CNIL de résumer l’enjeu : « Ça sera toujours moins coûteux d’investir en matière de protection de ces systèmes d’information que d’être victime d’une attaque qui peut vous empêcher de produire pendant deux mois. »

Cet article a été repris sur le site Univers FreeBox