Free sanctionné à 42 millions d'euros par la CNIL : ce que la fuite de données d'octobre 2024 change pour les abonnés

Le 8 janvier 2026, la formation restreinte de la CNIL a rendu une délibération historique : 42 millions d'euros d'amende contre Free Mobile (27 M€) et Free (15 M€) pour la cyberattaque qu'ils ont subie entre le 28 septembre et le 22 octobre 2024. Vingt-quatre millions de contrats exposés, des IBAN dans la nature, et un opérateur qui conteste aujourd'hui encore la sanction devant le Conseil d'État. Que s'est-il vraiment passé, et qu'est-ce que cela change pour vous ?

Une cyberattaque massive, passée sous silence pendant 24 jours

Tout commence par une intrusion silencieuse dans les systèmes de Free Mobile. Pendant près de 24 jours, entre le 28 septembre et le 22 octobre 2024, l'attaquant — un jeune mineur mis en examen en janvier 2025 — a pu se déplacer dans les bases de données internes. Ironie de l'affaire : c'est l'attaquant lui-même qui a alerté Free Mobile le 21 octobre 2024, contraignant l'opérateur à notifier la CNIL deux jours plus tard.

Le bilan, rendu public par la délibération SAN-2026-001, est vertigineux :

Type de contrat	Nombre de comptes concernés
Contrats mobiles (Free Mobile)	19 460 891
Contrats fixes (Free)	5 172 577
Total	24 633 469 contrats

Les données volées : identité, contact, informations contractuelles — et, pour les clients « convergents » (à la fois abonnés Free Mobile et Free), l'IBAN. Environ 100 000 IBAN ont été diffusés en ligne puis exploités pour des arnaques au virement et du phishing ciblé.

Photo : Unsplash — la cybersécurité devient un sujet central pour les opérateurs télécoms français.

Trois manquements au RGPD sanctionnés

La CNIL a relevé trois violations distinctes du Règlement général sur la protection des données, chacune constitutive d'un manquement autonome :

1. Article 5-1-e) — Durée de conservation excessive (Free Mobile uniquement). L'opérateur conservait les données de plus de 15 millions de contrats résiliés depuis plus de cinq ans, dont 2 806 690 contrats sans aucune justification. Une partie de ces données datait de plus de dix ans. Pour la CNIL, c'est une négligence caractérisée : un opérateur télécom doit savoir que ces données n'ont plus d'utilité une fois le contrat clos.

2. Article 32 — Mesures de sécurité insuffisantes. L'authentification au VPN des salariés ne reposait ni sur une authentification multifacteur (MFA), ni sur un certificat machine pour les postes nomades. La détection des comportements anormaux était inefficace, et les mots de passe de l'outil interne MOBO étaient stockés de manière non sécurisée. Ce sont précisément ces failles qui ont permis l'intrusion initiale.

3. Article 34 — Communication aux personnes concernées trop vague. Le courriel envoyé aux abonnés était jugé « trop général et abstrait » par la formation restreinte : il ne mentionnait pas explicitement les risques d'usurpation d'identité ou de prélèvements frauduleux, ni les mesures de remédiation concrètes à mettre en place. Pour la CNIL, une notification RGPD doit être opérationnelle, pas juridique.

Free a annoncé un recours devant le Conseil d'État, qualifiant la décision d'une « sévérité inédite sans commune mesure » avec les précédents en matière de cyberattaques. Le dossier reste donc ouvert.

Pourquoi cette sanction fait jurisprudence

L'amende de 42 millions d'euros est l'une des plus lourdes jamais prononcées par la CNIL contre un opérateur télécom. Elle repose sur le chiffre d'affaires consolidé du groupe Iliad (10,024 milliards d'euros en 2024), conformément à la notion d'« entreprise » au sens du droit de la concurrence (CJUE, 5 décembre 2023, C-807/21).

Plus important que le montant, c'est la méthode : la CNIL a sanctionné trois manquements distincts et exigé, sous astreinte de 50 000 € par jour de retard, la mise en conformité :

• Six mois pour trier et purger les données personnelles des contrats résiliés.
• Trois mois pour renforcer les mesures de sécurité (MFA, certificats, détection d'anomalies).

La décision est publiée sur le site de la CNIL et au Journal officiel pendant deux ans, un camouflet réputationnel pour le groupe. C'est un signal envoyé à tous les opérateurs : la conservation « par principe » de données de clients résiliés n'est plus tolérée, et la sécurité d'un VPN ne peut plus s'appuyer sur un simple couple identifiant / mot de passe.

Ce que les abonnés doivent faire (et ne pas faire)

Si vous êtes — ou avez été — client Free ou Free Mobile, voici la checklist immédiate à appliquer, que nous reprenons dans notre guide sur la protection de la vie privée de vos SMS :

1. Surveillez vos relevés bancaires. Si votre IBAN a fuité, des prélèvements frauduleux peuvent survenir plusieurs mois après l'attaque. Signalez immédiatement toute opération inconnue à votre banque.
2. Méfiez-vous du phishing par SMS et par e-mail. Les pirates croisent désormais les données issues de plusieurs fuites. Un message qui connaît votre nom, votre opérateur et votre IBAN devient extrêmement crédible. Nous l'avions détaillé dans notre article sur le smishing en France en 2026.
3. Changez les mots de passe de vos comptes sensibles (banque, impôts, e-mail principal), surtout si vous utilisez le même mot de passe que sur un compte Free. Le credential stuffing est la première utilisation faite de bases d'identifiants volés.
4. Ne payez aucune « rançon de désinscription ». Aucune procédure officielle ne vous demande un paiement pour « retirer » vos données d'une fuite : c'est une arnaque.
5. Consultez la page dédiée de Free et, en cas de doute, déposez plainte sur la plateforme THESEE du ministère de l'Intérieur ou auprès de la CNIL.

Photo : Unsplash — 24 millions de contrats, 100 000 IBAN diffusés : l'ampleur de la fuite impose une vigilance individuelle.

Le rôle des opérateurs dans la chaîne de confiance

Cette affaire remet en lumière un sujet de fond : la chaîne de confiance entre un abonné et son opérateur. Quand vous souscrivez un forfait, vous confiez à un tiers des données sensibles : identité, IBAN, consommation, géolocalisation. Cette confiance suppose, en retour, une hygiène de sécurité irréprochable et une purge automatique des données après résiliation.

Le RGPD, dans son article 5, impose déjà ce principe de limitation de la conservation. La délibération de la CNIL précise aujourd'hui la tolérance zéro : un opérateur qui conserve quinze millions de fiches clients pendant cinq ans sans raison opérationnelle prend un risque financier majeur.

C'est aussi, indirectement, une bonne nouvelle pour l'écosystème. Les autres opérateurs — Orange, SFR, Bouygues Telecom — sont désormais contraints de revoir leurs propres procédures, sous peine d'une sanction comparable. Et le régulateur dispose d'un précédent solide pour agir.

Ce qu'il faut retenir

• 42 millions d'euros d'amende (27 M€ pour Free Mobile, 15 M€ pour Free) prononcés par la CNIL le 8 janvier 2026.
• La fuite concerne 24 633 469 contrats, dont 19,4 millions de contrats mobiles et 5,2 millions de contrats fixes.
• Trois manquements au RGPD sanctionnés : conservation excessive, sécurité VPN insuffisante, notification trop vague.
• Free a déposé un recours devant le Conseil d'État, l'affaire n'est donc pas close.
• Pour les abonnés : surveiller les comptes bancaires, méfier du phishing ciblé, renforcer ses mots de passe.

Pour envoyer un SMS gratuit et anonyme à un proche sans transmettre vos données à un service tiers, notre formulaire d'envoi reste accessible partout, sans inscription ni trace. Pour toute question sur vos données personnelles, vous pouvez aussi consulter notre FAQ, nos mentions légales ou nous contacter.