Piratage de Free : La vague d’arnaques qui submerge les abonnés

Le monde numérique vient d’être secoué par une nouvelle affaire de piratage d’ampleur.

Cette fois-ci, c’est l’opérateur Free qui se retrouve dans la tourmente.

Les conséquences pour les millions d’abonnés sont potentiellement désastreuses, avec une recrudescence alarmante d’escroqueries ciblées.

Plongée au cœur de cette crise qui met en lumière les failles de sécurité de nos données personnelles.

Chronologie d’un désastre annoncé

Le 22 octobre dernier, Free a été victime d’une cyberattaque d’une ampleur sans précédent. Un pirate informatique, se faisant appeler « drussellx », a réussi à s’emparer des données personnelles de pas moins de 19 millions de clients de l’opérateur. Parmi ces informations volées, on trouve :

• Noms et prénoms
• Adresses postales
• Numéros de téléphone
• Adresses e-mail
• Identifiants Freebox

Plus inquiétant encore, les coordonnées bancaires (IBAN) de 5,11 millions d’abonnés ont été compromises. Ces données sensibles ont rapidement fait l’objet d’une mise en vente sur le dark web, exposant les victimes à de multiples risques.

Le marché noir des données personnelles

Le pirate a proposé deux fichiers distincts à la vente :

• Un fichier de plus de 43 gigaoctets contenant les informations personnelles
• Un second fichier regroupant les coordonnées bancaires

Initialement, « drussellx » a fixé le prix de ces données à 70 000 dollars. Cependant, face à l’intérêt suscité, les enchères ont grimpé jusqu’à atteindre la somme astronomique de 175 000 dollars. Pour sécuriser la transaction, le hacker a proposé un accord via un tiers de confiance, une pratique courante dans ce type de vente illégale.

La réaction de Free et des autorités

Face à cette situation critique, Free a dû réagir rapidement. L’opérateur a envoyé des messages à ses abonnés pour les informer de la fuite de données, conformément aux obligations de transparence imposées par le RGPD (Règlement Général sur la Protection des Données).

De son côté, la CNIL (Commission Nationale de l’Informatique et des Libertés) est intervenue promptement. Dans un premier temps, l’autorité avait envisagé de mettre en place un formulaire en ligne pour faciliter les plaintes des victimes. Cependant, cette idée a finalement été abandonnée.

La vague d’arnaques qui déferle

Quelques semaines après le vol des données, une recrudescence alarmante d’arnaques a été observée. Centho, un expert reconnu dans la lutte contre les escroqueries, a tiré la sonnette d’alarme sur le réseau social X (anciennement Twitter), relayant de nombreux signalements présents sur Reddit.

Le modus operandi des escrocs

Les pirates ont mis au point une technique d’arnaque particulièrement sophistiquée :

1. Envoi d’un SMS usurpant l’identité de la banque de la victime
2. Appel téléphonique en utilisant une technique de « spoofing » pour falsifier le numéro d’appel
3. Utilisation des données volées pour gagner la confiance de la victime
4. Prétexte d’une transaction frauduleuse bloquée
5. Incitation à installer une application malveillante ou à fournir des codes d’accès reçus par SMS

Cette méthode d’escroquerie est particulièrement redoutable car elle joue sur la peur et l’urgence, poussant les victimes à agir sans réfléchir.

L’ampleur de la menace

Bien que les données volées à Free n’aient pas été vendues dans leur intégralité, des échantillons ont été diffusés gratuitement sur BreachForums, un forum spécialisé dans la vente de données piratées. Par exemple, 100 000 IBAN sur les cinq millions compromis ont été mis à disposition, offrant aux cybercriminels un vaste terrain de jeu pour leurs activités malveillantes.

Il ne faut pas oublier de signaler que cette menace ne se limite pas aux seuls clients de Free. Les abonnés de SFR ont été ciblés suite à une cyberattaque survenue en septembre dernier, qui a compromis les données de 50 000 clients.

Les risques liés à l’utilisation frauduleuse des IBAN

L’une des menaces les plus sérieuses concerne l’utilisation frauduleuse des IBAN volés. Des journalistes de 01net ont mené une expérience révélatrice en testant la possibilité d’utiliser un IBAN volé pour effectuer des achats en ligne. Les résultats sont alarmants :

• Réussite d’un paiement sur Amazon
• Souscription d’un abonnement téléphonique chez Bouygues Telecom
• Aucune vérification d’identité requise

Cette expérience met en lumière les failles dans le système de prélèvements SEPA (Single Euro Payments Area). Contrairement aux paiements par carte, les prélèvements SEPA ne nécessitent pas de validation par le titulaire du compte lors de l’ajout d’un nouveau moyen de paiement.

Les conséquences pour les victimes

Les clients de Free se retrouvent exposés à des risques multiples :

• Prélèvements frauduleux sur leur compte bancaire
• Usurpation d’identité
• Multiplication des attaques ciblées

Les escrocs ont tendance à effectuer de petits prélèvements pour passer inaperçus, compliquant la détection des fraudes. Bien que les victimes puissent contester ces prélèvements et obtenir un remboursement, cela nécessite une vigilance constante et des démarches parfois longues et complexes.

Comment se protéger ?

Face à cette menace grandissante, voici quelques recommandations essentielles :

• Ne jamais communiquer d’informations sensibles par téléphone : Les banques ne demandent jamais ce type d’informations par ce biais.
• Vérifier régulièrement ses relevés bancaires : Être attentif aux moindres transactions suspectes.
• Utiliser des listes blanches SEPA : Limiter les créanciers autorisés à prélever sur le compte.
• Envisager de changer de compte bancaire : Une mesure radicale mais efficace pour les IBAN compromis.
• Changer ses codes d’accès : Particulièrement pour les services liés à Free.
• Utiliser un gestionnaire de mots de passe : Pour renforcer la sécurité de ses comptes en ligne.
• Activer l’authentification à double facteur : Une couche de sécurité supplémentaire indispensable.

En cas de doute sur un appel, il est fortement recommandé de contacter sa banque via le numéro officiel.

Les réactions des entreprises concernées

Face à cette crise, les entreprises impliquées ont dû réagir :

• Bouygues Telecom a reconnu des failles dans le contrôle des mandats de prélèvement et s’est engagé à améliorer ses systèmes de sécurité.
• Amazon affirme utiliser des systèmes avancés pour détecter les transactions suspectes, bien que l’expérience menée ait révélé des lacunes.
• Free n’a pas encore commenté officiellement l’affaire, mais a informé ses clients de la fuite de données.

L’impact à long terme

Cette affaire soulève des questions cruciales sur la sécurité des données personnelles et bancaires. Selon l’Observatoire de la sécurité des moyens de paiement, la fraude par utilisation d’IBAN représente une part croissante des fraudes totales, bien qu’elle reste minoritaire.

Les autorités compétentes, notamment la CNIL, ont entamé des contrôles chez Free pour évaluer les mesures de protection des données. Cette affaire pourrait conduire à une révision du règlement SEPA au niveau européen pour renforcer la sécurité des prélèvements.

Vers une prise de conscience collective

Cette cyberattaque contre Free et ses conséquences mettent en lumière la vulnérabilité de nos systèmes numériques. Elle souligne l’urgence d’une prise de conscience collective sur l’importance de la cybersécurité, tant au niveau individuel qu’institutionnel.

À l’heure où notre vie numérique prend une place prépondérante, il est crucial de repenser nos pratiques et de renforcer nos défenses. Cette affaire pourrait bien marquer un tournant dans notre approche de la sécurité des données, forçant entreprises, institutions et particuliers à redoubler de vigilance face à des menaces toujours plus sophistiquées.