SFR : 2,1 millions de lignes fibre siphonnées par un compte volé

Un portail interne vidé par un compte volé

L'intrusion n'a rien d'un exploit technique spectaculaire. Les attaquants n'ont pas percé une faille dans les systèmes de l'opérateur : ils sont entrés avec les identifiants d'un compte utilisateur légitime, récupérés on ne sait comment. Une fois dedans, ils avaient les mêmes droits que la personne à qui ce compte appartenait.

Ce compte donnait accès à NOVA, un portail interne dans lequel SFR gère les informations de ses abonnés fixes : les coordonnées des clients, les équipements installés chez eux, les données de raccordement à la fibre. Un outil banal de gestion quotidienne, qui contient pourtant l'annuaire détaillé de millions de foyers.

Au total, 2 104 093 lignes ont été extraites. SFR indique avoir désactivé le compte compromis et surveillé les adresses de connexion utilisées par les intrus.

Ce qui a fuité, et ce que ça permet

Le contenu du lot est précis : civilité, nom et prénom, adresse postale, numéro de téléphone mobile, identifiant du contrat, et des données techniques de la ligne comme l'adresse MAC de la box, son numéro de série ou l'identifiant du boîtier fibre.

SFR insiste sur un point, et c'est vrai : ni les mots de passe ni les informations bancaires ne sont concernés. Personne ne peut vider votre compte avec ce qui a fuité. Mais réduire l'affaire à ça serait une erreur.

Prises séparément, ces informations semblent anodines. Assemblées, elles composent une fiche d'identité redoutablement efficace pour un escroc : il sait votre nom, où vous habitez, que vous êtes client SFR en fibre, quel matériel vous avez chez vous et quel est votre numéro de contrat. C'est exactement ce qu'il faut pour se faire passer pour votre opérateur au téléphone.

Sept semaines avant d'avertir les clients

La chronologie est peut-être le vrai sujet de cette affaire. L'intrusion remonte à la fin juin, SFR l'a détectée le 2 juillet, et le groupe qui la revendique s'en est vanté publiquement dès le 17 juillet. Les clients concernés, eux, ont reçu leur courriel d'information le 20 août.

Cela fait une cinquantaine de jours entre la découverte et l'alerte des personnes touchées. Pendant tout ce temps, les données circulaient et leurs propriétaires l'ignoraient, sans raison de se méfier d'un appel qui tomberait au bon moment.

Le groupe qui revendique l'extraction, ZeroBytes, n'en est pas à son coup d'essai : c'est le même nom qui apparaît derrière le piratage du site des impôts. Ce n'est pas un hasard de calendrier, c'est une méthode qui fonctionne et qui se répète.

Le vrai danger commence maintenant

Une fuite de ce type ne fait pas de victime le jour où elle est révélée. Elle en fait des semaines ou des mois plus tard, quand les données sont revendues puis exploitées par d'autres.

Le scénario est connu : un appel d'un faux conseiller SFR, qui vous donne votre nom, votre adresse et votre numéro de contrat pour installer la confiance en dix secondes. Puis un prétexte — un remboursement, un problème sur votre ligne, une box à remplacer — et une demande de code reçu par SMS, ou une invitation à cliquer sur un lien.

C'est précisément parce que l'interlocuteur en sait beaucoup sur vous que la vigilance tombe. Retenez l'inverse : plus quelqu'un vous semble bien renseigné, plus il faut se méfier, car ces informations sont justement celles qui ont fuité.

Sources : IT-Connect ↗ · communiqué SFR aux clients concern…

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.