Free: fuite de données de 2024 et vérification d’adresses e-mail

Free a confirmé qu’un accès non autorisé à ses systèmes d’information avait eu lieu et que des informations concernant ses clients avaient été dérobées en octobre 2024. La fiche structurée de source publique sur la fuite de données retient la date du 17 octobre 2024, classe l’incident comme vérifié et fait état de 13 926 173 adresses e-mail uniques. La CNIL décrit séparément un accès à des données personnelles associées à 24 millions de contrats d’abonnement auprès de FREE MOBILE et de FREE. Ce périmètre réglementaire ne correspond pas à un nombre de personnes uniques ni d’adresses e-mail uniques.

Le fichier de données principal de l’archive examinée contient 19 192 947 lignes physiques et 24 252 995 occurrences d’adresses e-mail valides. La validation et la déduplication actuelles ont produit 14 244 784 associations uniques d’adresses e-mail; l’index actif, la tâche d’importation achevée et le jeu de données canonique de la source ont la même cardinalité et concordent exactement. Sept adresses e-mail valides présentes dans le fichier Info.txt de l’archive ont été examinées à l’aide de deux analyseurs indépendants. Toutes les sept figuraient déjà dans le jeu de données canonique principal. Aucune importation complémentaire ou corrective d’adresses e-mail n’a donc été nécessaire.

13 926 173 correspond au nombre d’adresses e-mail uniques publié par source publique sur la fuite de données pour cet incident; 14 244 784 correspond au nombre d’adresses e-mail uniques accessibles à la recherche à partir de l’archive examinée; 19 192 947 est le nombre de lignes physiques du fichier principal; et 24 millions correspond au nombre de contrats d’abonnement concernés selon la CNIL, sur l’ensemble des deux entreprises. BleepingComputer a également rapporté que l’auteur de l’attaque affirmait détenir des données concernant 19,2 millions de clients et plus de 5,11 millions d’IBAN. Ces affirmations externes n’ont pas servi à élargir le jeu de données source ni à le faire correspondre à un nombre cible.

Les sources font état d’adresses e-mail, de noms, d’adresses postales, de numéros de téléphone, de genres, de dates de naissance et, pour certains enregistrements, de données IBAN. Seules les associations d’adresses e-mail validées ont été importées dans la recherche locale de LeakData; les IBAN, les noms, les adresses, les numéros de téléphone, les dates de naissance et tous les autres champs ont été exclus. Une correspondance indique uniquement que l’adresse e-mail figure dans ce jeu de données source.

Si vous obtenez une correspondance, évitez les liens et les pièces jointes dans les messages inattendus qui se font passer pour Free ou pour une banque, et accédez aux sites officiels en saisissant directement leur adresse. Remplacez les mots de passe réutilisés, activez l’authentification multifacteur sur votre compte de messagerie et fermez les sessions suspectes. Faites preuve de prudence face aux messages convaincants qui mentionnent des données bancaires ou des informations d’identité, et vérifiez directement auprès de votre banque toute instruction de paiement suspecte.