Free lourdement sanctionné par la CNIL : 42 millions d’euros d’amende après le piratage géant

Un séisme numérique aux conséquences financières record

On s’en doutait un peu, mais là, le chiffre donne carrément le tournis. En infligeant une telle somme au groupe Iliad, l’Autorité française marque les esprits et envoie un message clair à tous les opérateurs. Dans le détail, la branche mobile écope de la plus grosse part du gâteau avec 27 millions d’euros, tandis que l’entité dédiée à l’internet fixe devra débourser 15 millions. C’est le résultat d’une enquête minutieuse lancée après l’intrusion informatique qui avait exposé les infos personnelles de 24 millions de contrats. On ne parle pas juste de noms ou d’adresses, mais également d’identifiants bancaires, les fameux IBAN, ce qui explique pourquoi la pilule est si difficile à avaler aujourd’hui. Pour les sages de la rue Vivienne, la gravité de la situation justifie amplement ce montant, surtout quand on voit le nombre de plaintes qui ont inondé leurs bureaux après l’incident.

Des portes restées trop largement ouvertes aux pirates

Mais alors, qu’est-ce qu’on reproche exactement au célèbre opérateur ? En gros, la CNIL estime que la maison n’était pas assez bien gardée. Les experts ont pointé du doigt des failles qui semblent presque basiques pour un tel géant des télécoms. Par exemple, les connexions en télétravail via VPN n’étaient pas assez sécurisées, ce qui a facilité la tâche aux attaquants. Pire encore, le système n’a pas su détecter assez vite que quelqu’un faisait des choses bizarres sur le réseau. C’est un peu comme si vous aviez une alarme, mais qu’elle ne sonnait pas quand un inconnu commence à vider vos placards. Pour l’institution, ces oublis techniques sont impardonnables vu la masse de données sensibles que l’entreprise manipule quotidiennement. C’est ce manque de vigilance qui est aujourd’hui pointé du doigt comme le principal responsable du fiasco.

Une communication qui a laissé les abonnés dans le flou

Au-delà de la technique pure, c’est aussi la gestion de la crise par l’entreprise qui a fâché les régulateurs. Quand la fuite a été découverte, il a fallu prévenir les clients, mais visiblement, la manière de faire n’était pas à la hauteur. Les mails ou les messages envoyés étaient trop flous, ne permettant pas réellement aux gens de comprendre s’ils risquaient de se faire vider leur compte en banque ou non. Quand on sait qu’un IBAN dans la nature peut permettre à des escrocs de mettre en place des prélèvements frauduleux, on comprend que la précision était de mise. La CNIL considère que les explications fournies étaient trop incomplètes pour que chacun puisse se protéger efficacement. C’est une leçon sévère sur l’importance de la transparence : quand ça va mal, il faut savoir parler explicitement à ses abonnés.

Le dossier oublié des anciens clients qui refait surface

Il y a une autre petite surprise dans cette affaire, et elle concerne spécifiquement la branche mobile. Il s’avère que la société gardait sous le coude les données de millions de personnes qui n’étaient plus abonnées depuis belle lurette. Selon les règles européennes, une fois que l'on quitte un opérateur, celui-ci ne peut pas garder nos infos indéfiniment sans une raison valable. Or, là, des fichiers traînaient encore dans les serveurs sans aucune justification. C’est un peu le syndrome du placard qu’on ne vide jamais. Pour le gendarme du Web, c’est une violation flagrante du RGPD. On ne garde pas des archives juste « au cas où », surtout quand cela multiplie les risques en cas de piratage. Cette accumulation inutile a pesé lourd dans l’addition finale.

Une riposte musclée de Free face à une sévérité jugée excessive

Forcément, du côté de chez Free, on ne compte pas se laisser faire sans rien dire. La réaction a été immédiate et plutôt cinglante. L’entreprise dénonce une sévérité qu’elle juge totalement démesurée par rapport à d’autres affaires du même genre. Pour eux, la sanction est injuste et ils comptent bien le prouver devant le Conseil d’État. Ils estiment avoir fait le nécessaire et voient dans cette amende une volonté de faire un exemple un peu trop facile sur leur dos. Le bras de fer judiciaire est donc officiellement lancé. En attendant, l’opérateur a trois mois pour muscler sérieusement sa sécurité et six mois pour faire un audit exhaustif de ses bases de données. Ce dossier est loin d’être refermé, mais il montre bien que la protection de notre vie privée n’est plus une option pour les entreprises, même les plus puissantes.

Un signal de rappel sur les dangers qui rôdent sur le web

Au final, toute cette histoire nous rappelle brutalement que personne n’est vraiment à l’abri sur la toile. Aujourd’hui, les entreprises accumulent des montagnes d’infos sur nos vies, et forcément, ça attire les convoitises de pirates de plus en plus malins et organisés. C’est un peu la rançon de notre monde hyperconnecté. Mais si les gros acteurs doivent impérativement blinder leurs systèmes, nous aussi, on a notre part du boulot à faire. On ne le dira jamais assez, mais prendre deux minutes pour coller un mot de passe vraiment costaud ou activer cette fameuse double authentification qui nous demande un code par SMS ou une clé depuis Google Authentificator, cela peut vraiment sauver la mise. Gardez aussi un œil attentif sur vos relevés de compte, surtout quand il y a ce genre d’annonce de fuite de données. La sécurité parfaite n’existe pas, mais en restant un peu sur ses gardes, on évite déjà de donner les clés de notre vie numérique au premier venu.

Une véritable hécatombe numérique depuis le début de l’année

Il faut dire que l'on traverse une période particulièrement noire pour la sécurité de nos données. Ce qui arrive à Free n’est cependant pas un cas isolé, c’est même une véritable série noire qui frappe la France ces dernières semaines. Rien qu’en ce début d’année 2026, les annonces de piratages s’enchaînent à un rythme effrayant. On a vu passer des fuites massives du côté de l’Office Français de l’Immigration (OFII) avec plus de deux millions de dossiers dans la nature, mais aussi des intrusions chez Corse GSM ou encore à la Philharmonie de Paris, la FFT, Colis privé, Panorabanques, Global-e, Pajemploi, HelloWork, Pass'Sport, Mondial Relay... Que ce soit dans le secteur public, les télécoms ou la culture, les hackers semblent avoir ouvert la chasse. Cette accumulation de brèches montre bien que la menace est devenue systémique et que nos informations personnelles circulent plus que jamais sur les marchés noirs du dark web. C’est une piqûre de rappel pour tout le monde : la vigilance n’est plus une option, c’est une nécessité quotidienne.