Free 2024 : 24 millions de comptes exposés, IBAN compris, et l'amende record de la CNIL

> En bref : En octobre 2024, Free et Free Mobile subissent l'une des plus grandes cyberattaques de l'histoire des télécoms français : 24 millions de contrats exposés, IBAN inclus pour les abonnés cumulant internet et mobile. La CNIL a infligé en 2026 une amende record de 42 millions d'euros pour manquement à la sécurité des données et défaut de communication adéquate après l'incident.

Ce qui s'est passé

En octobre 2024, un attaquant accède aux systèmes de Free et exfiltre les données personnelles associées à 24 millions de contrats. Pour les clients ayant souscrit à la fois une offre internet et une offre mobile, l'IBAN était également exposé — une donnée bancaire particulièrement sensible car elle permet, combinée à d'autres informations, de monter des tentatives de fraude au prélèvement.

Pourquoi la CNIL a sanctionné aussi lourdement

La sanction de 42 millions d'euros ne vise pas uniquement l'existence de la fuite — un incident de sécurité n'est pas en soi une infraction au RGPD — mais deux manquements précis :

Le point critique : pourquoi l'IBAN change tout

Contrairement à un mot de passe, l'IBAN ne peut pas être « changé » facilement en cas de fuite (fermer un compte bancaire et en ouvrir un autre a des conséquences lourdes pour l'utilisateur). Exposer un IBAN aux côtés de données d'identité (nom, adresse, numéro de contrat) fournit à un attaquant tout ce qu'il faut pour tenter des prélèvements frauduleux ou des campagnes de phishing extrêmement convaincantes se faisant passer pour l'opérateur ou la banque.

Pour tout éditeur SaaS qui stocke des coordonnées bancaires (paie, facturation, prélèvements clients), cet incident illustre pourquoi ces données doivent être traitées avec un niveau de protection supérieur à celui des données de contact classiques : chiffrement au repos, accès strictement limité, et tokenisation via un prestataire de paiement plutôt qu'un stockage en clair côté application quand c'est possible.

Ce que ça change pour les éditeurs français

Cette amende confirme une tendance de fond de la CNIL depuis 2024-2025 : la sanction ne porte plus seulement sur l'ampleur de la fuite, mais sur la proportionnalité des mesures de sécurité au regard de la sensibilité des données traitées, et sur la qualité de la réponse à incident. Un éditeur qui traite des données de paie, des IBAN ou des données de santé doit pouvoir démontrer des mesures spécifiques pour ces catégories, pas un socle de sécurité générique.

Ce que CleanIssue vérifie

Lors d'une revue externe, nous testons spécifiquement la protection des données financières et d'identité stockées par votre application — chiffrement, contrôle d'accès, exposition via API — ainsi que les scénarios d'exfiltration massive, exactement le type de faille qui a permis cette fuite à 24 millions de comptes.

À retenir