Fuite de données Free : ce qu'il faut savoir sur le piratage de 2024

La fuite de données Free est l'une des plus importantes qu'ait connues un opérateur télécom en France. En octobre 2024, un pirate s'est introduit dans les systèmes de Free et de Free Mobile. Il a copié les informations personnelles de millions d'abonnés. Pour une partie d'entre eux, l'IBAN (le numéro de compte bancaire) faisait partie du lot.

Ce dossier fait le point sur les faits établis, la sanction de la CNIL et les bons réflexes à adopter. Pour les notions de base, consultez d'abord notre guide qu'est-ce qu'une fuite de données.

Que s'est-il passé chez Free ?

Mi-octobre 2024, un pirate a mis en vente sur un forum des fichiers présentés comme ceux de Free. Il revendiquait les données de plus de 19 millions d'abonnés, dont environ 5 millions d'IBAN. Ces chiffres venaient du pirate lui-même. Ils ont été relayés par la presse, notamment par Siècle Digital.

Quelques jours plus tard, Free a confirmé l'attaque. Selon l'opérateur, l'intrus a accédé à un « outil de gestion » interne. Free a affirmé que les mots de passe des abonnés n'avaient pas été exposés. L'opérateur a aussi indiqué avoir porté plainte. Il a prévenu la CNIL et l'ANSSI (l'agence nationale de cybersécurité), comme l'a rapporté Univers Freebox.

Le 28 octobre 2024, Free a reconnu auprès de Next que « les IBAN de certains abonnés » étaient concernés. Il s'agissait d'abonnés Freebox (offres internet fixe).

La CNIL a ensuite chiffré l'ampleur de l'incident : 24 millions de contrats d'abonnés ont été touchés.

Chronologie de la fuite

Date	Événement
Mi-octobre 2024	Un pirate met en vente des données présentées comme celles de Free
Fin octobre 2024	Free confirme une cyberattaque visant un outil de gestion et porte plainte
28 octobre 2024	Free confirme que des IBAN d'abonnés Freebox sont concernés
Fin octobre 2024	Les abonnés concernés reçoivent un e-mail d'information
13 janvier 2025	Un adolescent de 17 ans est interpellé, selon la presse
13 janvier 2026	La CNIL annonce 42 millions d'euros d'amende contre Free Mobile et Free

Quelles données ont fuité ?

D'après l'e-mail envoyé aux abonnés, cité par Next, les données suivantes étaient concernées :

• nom et prénom ;
• adresse postale et adresse e-mail ;
• numéro de téléphone ;
• identifiant d'abonné ;
• informations sur le contrat (offre, date de souscription, abonnement actif ou non) ;
• IBAN, pour une partie des abonnés Freebox.

Les premiers e-mails mentionnaient aussi la date et le lieu de naissance.

Selon Free, les mots de passe n'étaient pas concernés. Les numéros de carte bancaire ne figurent pas non plus dans la liste communiquée.

Un IBAN seul ne permet pas de vider un compte. Mais il peut servir à des escroqueries. Notre fiche fuite d'IBAN : que risque-t-on ? détaille les risques réels.

Combien de personnes sont concernées ?

La CNIL retient le chiffre de 24 millions de contrats dans sa décision de sanction. Un contrat ne correspond pas forcément à une personne. Un même abonné peut avoir une ligne mobile et une Freebox.

Le pirate parlait, lui, de 19,2 millions de clients et de 5,1 millions d'IBAN. Free n'a jamais confirmé ces chiffres précis. La CNIL indique que des IBAN ont fuité pour les personnes clientes à la fois de Free Mobile et de Free.

Cette fuite figure parmi les plus grandes fuites de données en France.

Qui est derrière l'attaque ?

Le 13 janvier 2025, un adolescent de 17 ans a été interpellé dans l'Essonne. L'information a été révélée par Le Parisien et reprise par plusieurs médias, dont Presse-citron. Il serait soupçonné d'être l'auteur du piratage de Free. L'enquête a été menée par la brigade de lutte contre la cybercriminalité (BL2C) de la préfecture de police de Paris.

Le suspect étant mineur, peu d'informations officielles ont été publiées. Il reste présumé innocent tant qu'aucune décision de justice définitive n'a été rendue.

Qu'ont fait Free, la CNIL et la justice ?

La réaction de Free

Free a porté plainte auprès du procureur de la République. L'opérateur a notifié la CNIL et l'ANSSI. Il a envoyé un e-mail aux abonnés concernés. Ce message les invitait à se méfier du hameçonnage (faux messages qui imitent une marque connue).

La sanction de la CNIL

La CNIL a reçu plus de 2 500 plaintes d'abonnés. Elle a mené un contrôle. Le 13 janvier 2026, elle a annoncé une sanction totale de 42 millions d'euros :

• 27 millions d'euros pour Free Mobile ;
• 15 millions d'euros pour Free.

La CNIL a relevé plusieurs manquements au RGPD (le règlement européen sur les données personnelles) :

1. Une sécurité insuffisante. L'accès au VPN (un tunnel de connexion à distance, utilisé pour le télétravail) n'était pas assez protégé. Les outils de détection des comportements anormaux étaient inefficaces.
2. Une information incomplète des abonnés. L'e-mail envoyé ne détaillait pas assez les conséquences de la fuite et les mesures de protection possibles.
3. Une conservation trop longue des données (pour Free Mobile). Des millions de données d'anciens abonnés étaient gardées sans justification.

La CNIL a aussi ordonné aux deux sociétés de terminer leurs mesures de sécurité sous trois mois. Free Mobile devait trier et purger ses données sous six mois. Free a dénoncé une sanction « d'une sévérité inédite » et annoncé un recours, selon Univers Freebox.

Pour comprendre ces décisions, lisez notre page sur les sanctions de la CNIL après une fuite.

Comment savoir si je suis concerné ?

Plusieurs pistes existent :

• Vérifiez vos e-mails de fin octobre 2024. Free a écrit aux abonnés concernés. Le message mentionnait un « outil de gestion » et listait les données touchées, dont l'IBAN le cas échéant.
• Consultez Have I Been Pwned. Ce site de référence a intégré les données de la fuite Free. Il suffit d'y taper son adresse e-mail.
• Pensez à votre historique. Vous étiez abonné Free ou Free Mobile en 2024 ? Ou ancien abonné ? Vous faites probablement partie des personnes concernées.

Notre guide vérifier si mes données ont fuité explique pas à pas comment utiliser ces outils.

Que faire si mes données ont fuité ?

Voici les étapes à suivre, adaptées aux données exposées chez Free :

1. Surveillez vos comptes bancaires. Vérifiez chaque prélèvement, surtout ceux que vous ne reconnaissez pas.
2. Contestez tout prélèvement inconnu. Vous disposez de 13 mois pour contester un prélèvement non autorisé auprès de votre banque.
3. Méfiez-vous des faux conseillers. Un escroc peut citer votre nom, votre adresse et votre IBAN pour paraître crédible. Ne donnez jamais un code reçu par SMS au téléphone.
4. Ignorez les SMS et e-mails suspects. Votre numéro peut servir à des arnaques. Lisez notre fiche sur les arnaques par SMS après une fuite.
5. Apprenez à repérer le phishing. Consultez notre guide pour reconnaître les arnaques après une fuite.
6. Changez votre mot de passe Free par précaution. Free assure qu'ils n'ont pas fuité. Mais un mot de passe unique et solide reste une bonne habitude.
7. Portez plainte en cas de préjudice. Si vous êtes victime d'une fraude, suivez notre guide pour porter plainte après une fuite.

Pour une méthode complète, consultez que faire après une fuite de données.

Questions fréquentes

Mes mots de passe Free ont-ils été volés ?

Selon Free, non. L'opérateur a affirmé dès octobre 2024 que les mots de passe n'avaient pas été exposés. Par précaution, utilisez tout de même un mot de passe unique pour votre espace abonné.

Quelqu'un peut-il vider mon compte avec mon IBAN ?

Non, un IBAN seul ne permet pas de retirer de l'argent. Un escroc peut toutefois tenter de créer un prélèvement frauduleux. Surveillez vos relevés et contestez toute opération inconnue auprès de votre banque.

Puis-je être indemnisé après la fuite de données Free ?

L'amende de la CNIL va au Trésor public, pas aux abonnés. Pour obtenir réparation, il faut prouver un préjudice devant la justice. Notre page sur l'indemnisation après une fuite détaille les démarches.

Pourquoi Free a-t-il été sanctionné alors qu'il était victime ?

Une entreprise doit protéger les données qu'elle détient. La CNIL a jugé que les mesures de sécurité de Free étaient insuffisantes. Elle a aussi reproché une information incomplète des abonnés et une conservation trop longue de certaines données.

Les anciens abonnés Free sont-ils concernés ?

C'est possible. La CNIL a constaté que Free Mobile conservait des millions de données d'anciens abonnés trop longtemps. Si vous avez quitté Free, restez donc vigilant face aux messages suspects.

Pour suivre les autres incidents du secteur, consultez nos pages sur les fuites dans les télécoms, les fuites d'IBAN et l'ensemble des fuites recensées.