CNIL ने Free पर 42 मिलियन यूरो का जुर्माना लगाया: अक्टूबर 2024 के डेटा उल्लंघन से ग्राहकों के लिए क्या बदलता है

8 जनवरी 2026 को, CNIL की प्रतिबंधित परिषद ने एक ऐतिहासिक निर्णय सुनाया: Free Mobile (27 मिलियन यूरो) और Free (15 मिलियन यूरो) पर 28 सितंबर से 22 अक्टूबर 2024 के बीच हुए साइबर हमले के लिए 42 मिलियन यूरो का जुर्माना। चौबीस मिलियन अनुबंध उजागर हुए, IBAN खुले में आ गए, और ऑपरेटर आज भी Council of State के सामने सजा को चुनौती दे रहा है। वास्तव में क्या हुआ, और आपके लिए इसका क्या मतलब है?

एक बड़ा साइबर हमला, 24 दिनों तक छिपाया गया

सब कुछ Free Mobile के सिस्टम में एक शांत घुसपैठ से शुरू हुआ। लगभग 24 दिनों तक, 28 सितंबर से 22 अक्टूबर 2024 के बीच, हमलावर — जनवरी 2025 में आरोपित किया गया एक नाबालिग — आंतरिक डेटाबेस में घूमता रहा। विडंबना यह है कि हमलावर ने खुद 21 अक्टूबर 2024 को Free Mobile को सूचित किया, जिससे ऑपरेटर को दो दिन बाद CNIL को सूचित करना पड़ा।

SAN-2026-001 निर्णय के माध्यम से सार्वजनिक किया गया शेष आंकड़े चौंकाने वाले हैं:

अनुबंध का प्रकार	प्रभावित खातों की संख्या
मोबाइल अनुबंध (Free Mobile)	19,460,891
फिक्स्ड अनुबंध (Free)	5,172,577
कुल	24,633,469 अनुबंध

चुराया गया डेटा: पहचान, संपर्क, अनुबंध संबंधी जानकारी — और «कन्वर्जेंट» ग्राहकों (एक साथ Free Mobile और Free के ग्राहक) के लिए, IBAN। लगभग 100,000 IBAN ऑनलाइन जारी किए गए और फिर बैंक ट्रांसफर घोटालों व लक्षित फ़िशिंग के लिए उपयोग किए गए।

फोटो: Unsplash — साइबर सुरक्षा फ्रांसीसी दूरसंचार ऑपरेटरों के लिए एक केंद्रीय मुद्दा बनती जा रही है।

सजा दी गई तीन GDPR उल्लंघन

CNIL ने सामान्य डेटा संरक्षण विनियमन के तीन अलग-अलग उल्लंघनों की पहचान की, जिनमें से प्रत्येक स्वतंत्र उल्लंघन है:

1. अनुच्छेद 5(1)(ई) — अत्यधिक प्रतिधारण अवधि (केवल Free Mobile)। ऑपरेटर ने पाँच साल से अधिक समय पहले समाप्त किए गए 15 मिलियन से अधिक अनुबंधों का डेटा रखा, जिसमें बिना किसी औचित्य के 2,806,690 अनुबंध शामिल थे। इनमें से कुछ डेटा दस साल से अधिक पुराना था। CNIL के लिए यह स्पष्ट लापरवाही है: एक दूरसंचार ऑपरेटर को पता होना चाहिए कि अनुबंध बंद होने के बाद इस डेटा की कोई उपयोगिता नहीं रहती।

2. अनुच्छेद 32 — अपर्याप्त सुरक्षा उपाय। कर्मचारियों के VPN पर प्रमाणीकरण न तो मल्टी-फैक्टर ऑथेंटिकेशन (MFA) पर आधारित था, न ही दूरस्थ पोर्ट के लिए मशीन सर्टिफिकेट पर। विसंगति पहचान अप्रभावी थी, और आंतरिक MOBO टूल के पासवर्ड असुरक्षित रूप से संग्रहीत थे। ये वही खामियाँ हैं जिन्होंने प्रारंभिक घुसपैठ को संभव बनाया।

3. अनुच्छेद 34 — डेटा विषयों को बहुत अस्पष्ट संचार। ग्राहकों को भेजा गया ईमेल प्रतिबंधित परिषद द्वारा «बहुत सामान्य और अमूर्त» पाया गया: इसमें पहचान की चोरी या धोखाधड़ी वाले सीधे डेबिट के जोखिमों का स्पष्ट रूप से उल्लेख नहीं था, और न ही लागू किए जाने वाले ठोस उपचारात्मक उपायों का। CNIL के लिए, GDPR सूचना परिचालन योग्य होनी चाहिए, कानूनी नहीं।

Free ने Council of State में अपील की घोषणा की, निर्णय को «अभूतपूर्व और अनुपातहीन कठोरता» बताते हुए। इसलिए मामला खुला है।

यह सजा क्यों एक मिसाल कायम करती है

42 मिलियन यूरो का जुर्माना CNIL द्वारा किसी दूरसंचार ऑपरेटर पर लगाया गया अब तक के सबसे भारी जुर्मानों में से एक है। यह Iliad समूह (2024 में 10.024 अरब यूरो) के समेकित कारोबार पर आधारित है, प्रतिस्पर्धा कानून (CJEU, 5 दिसंबर 2023, C-807/21) के तहत «उद्यम» की अवधारणा के अनुरूप।

राशि से अधिक महत्वपूर्ण तरीका है: CNIL ने तीन अलग-अलग उल्लंघनों को सजा दी और प्रति दिन 50,000 यूरो के जुर्माने के तहत निम्नलिखित का अनुपालन आदेश दिया:

• समाप्त किए गए अनुबंधों के व्यक्तिगत डेटा को छह महीनों में क्रमबद्ध और शुद्ध करना।
• सुरक्षा उपायों (MFA, प्रमाणपत्र, विसंगति पहचान) को तीन महीनों में मजबूत करना।

निर्णय दो वर्षों तक CNIL की वेबसाइट और Journal officiel में प्रकाशित किया जाता है — समूह के लिए एक प्रतिष्ठा का झटका। यह सभी ऑपरेटरों को भेजा गया एक संकेत है: समाप्त किए गए ग्राहकों के डेटा का «डिफ़ॉल्ट रूप से» प्रतिधारण अब सहनीय नहीं है, और VPN की सुरक्षा अब साधारण उपयोगकर्ता नाम/पासवर्ड जोड़े पर निर्भर नहीं हो सकती।

ग्राहकों को क्या (और क्या नहीं) करना चाहिए

यदि आप Free या Free Mobile के ग्राहक हैं — या रहे हैं — तो यहाँ तत्काल चेकलिस्ट है, जिसे हम अपने अपने SMS की गोपनीयता की सुरक्षा पर गाइड में भी शामिल करते हैं:

1. अपने बैंक स्टेटमेंट पर नज़र रखें। यदि आपका IBAN लीक हो गया है, तो हमले के महीनों बाद धोखाधड़ी वाले सीधे डेबिट दिखाई दे सकते हैं। किसी भी अज्ञात लेनदेन की तुरंत अपने बैंक को सूचना दें।
2. SMS और ईमेल फ़िशिंग से सावधान रहें। हैकर अब कई लीक से डेटा को क्रॉस-रेफ़रेंस करते हैं। एक संदेश जो आपका नाम, आपका ऑपरेटर और आपका IBAN जानता है, बेहद विश्वसनीय हो जाता है। हमने इसे 2026 में फ्रांस में smishing पर अपने लेख में विस्तार से बताया है।
3. अपने संवेदनशील खातों के पासवर्ड बदलें (बैंक, कर, मुख्य ईमेल), खासकर यदि आप Free खाते के समान पासवर्ड का पुनः उपयोग करते हैं। क्रेडेंशियल स्टफिंग चुराए गए क्रेडेंशियल डेटाबेस का पहला उपयोग है।
4. किसी भी «अनसब्सक्राइब फिरौती» का भुगतान न करें। कोई भी आधिकारिक प्रक्रिया आपको लीक से अपना डेटा «हटाने» के लिए भुगतान करने के लिए नहीं कहेगी: यह एक घोटाला है।
5. Free के समर्पित पृष्ठ की जाँच करें और, संदेह होने पर, गृह मंत्रालय के THESEE प्लेटफ़ॉर्म पर या CNIL के साथ शिकायत दर्ज करें।

फोटो: Unsplash — 24 मिलियन अनुबंध, 100,000 IBAN जारी: लीक का पैमाना व्यक्तिगत सतर्कता की माँग करता है।

विश्वास की श्रृंखला में ऑपरेटरों की भूमिका

यह मामला एक मूलभूत मुद्दे पर प्रकाश डालता है: ग्राहक और उसके ऑपरेटर के बीच विश्वास की श्रृंखला। जब आप एक प्लान लेते हैं, तो आप किसी तीसरे पक्ष को संवेदनशील डेटा सौंपते हैं: पहचान, IBAN, उपयोग, जियोलोकेशन। यह विश्वास बदले में त्रुटिहीन सुरक्षा स्वच्छता और समाप्ति के बाद डेटा के स्वचालित शुद्धिकरण की माँग करता है।

GDPR अपने अनुच्छेद 5 में पहले से ही भंडारण सीमा के इस सिद्धांत को लागू करता है। CNIL का निर्णय अब शून्य सहिष्णुता को स्पष्ट करता है: एक ऑपरेटर जो बिना किसी परिचालन औचित्य के पाँच वर्षों तक पंद्रह मिलियन ग्राहक रिकॉर्ड रखता है, वह एक प्रमुख वित्तीय जोखिम उठाता है।

यह अप्रत्यक्ष रूप से पारिस्थितिकी तंत्र के लिए भी अच्छी खबर है। अन्य ऑपरेटर — Orange, SFR, Bouygues Telecom — अब तुलनीय सजा के जोखिम पर अपनी प्रक्रियाओं की समीक्षा करने के लिए मजबूर हैं। और नियामक के पास कार्य करने के लिए एक ठोस मिसाल है।

मुख्य बातें

• 42 मिलियन यूरो का जुर्माना (Free Mobile के लिए 27 मिलियन, Free के लिए 15 मिलियन) 8 जनवरी 2026 को CNIL द्वारा लगाया गया।
• लीक 24,633,469 अनुबंधों से संबंधित है, जिसमें 19.4 मिलियन मोबाइल और 5.2 मिलियन फिक्स्ड अनुबंध शामिल हैं।
• तीन GDPR उल्लंघनों की सजा: अत्यधिक प्रतिधारण, अपर्याप्त VPN सुरक्षा, बहुत अस्पष्ट सूचना।
• Free ने Council of State में अपील दायर की है, मामला बंद नहीं हुआ है।
• ग्राहकों के लिए: बैंक खातों पर नज़र रखें, लक्षित फ़िशिंग से सावधान रहें, पासवर्ड मजबूत करें।

अपने प्रियजन को मुफ्त और गुमनाम SMS भेजने के लिए, बिना किसी तीसरे पक्ष की सेवा को अपना डेटा सौंपे, हमारा भेजने का फ़ॉर्म हर जगह, बिना पंजीकरण और बिना निशान के उपलब्ध है। अपने व्यक्तिगत डेटा के बारे में किसी भी प्रश्न के लिए, आप हमारी FAQ, कानूनी उल्लेख भी देख सकते हैं या हमसे संपर्क कर सकते हैं।