Free multata di 42 milioni di euro dalla CNIL: cosa cambia per gli abbonati dopo la fuga di dati di ottobre 2024

L'8 gennaio 2026, la formazione ristretta della CNIL ha emesso una deliberazione storica: 42 milioni di euro di multa contro Free Mobile (27 M€) e Free (15 M€) per l'attacco informatico subito tra il 28 settembre e il 22 ottobre 2024. Ventiquattro milioni di contratti esposti, IBAN in circolazione e un operatore che oggi contesta ancora la sanzione davanti al Consiglio di Stato. Cosa è davvero successo, e cosa cambia per voi?

Un attacco informatico massiccio, tenuto nascosto per 24 giorni

Tutto è iniziato con un'intrusione silenziosa nei sistemi di Free Mobile. Per quasi 24 giorni, tra il 28 settembre e il 22 ottobre 2024, l'attaccante — un minorenne rinviato a giudizio nel gennaio 2025 — ha potuto muoversi nelle banche dati interne. L'ironia: è stato l'attaccante stesso ad avvisare Free Mobile il 21 ottobre 2024, costringendo l'operatore a notificare la CNIL due giorni dopo.

Il bilancio, reso pubblico dalla deliberazione SAN-2026-001, è impressionante:

Tipo di contratto	Numero di account coinvolti
Contratti mobile (Free Mobile)	19 460 891
Contratti fissi (Free)	5 172 577
Totale	24 633 469 contratti

I dati rubati: identità, contatti, informazioni contrattuali — e, per i clienti «convergenti» (al tempo stesso abbonati Free Mobile e Free), l'IBAN. Circa 100 000 IBAN sono stati diffusi online e poi sfruttati per truffe con bonifico bancario e phishing mirato.

Foto: Unsplash — la sicurezza informatica diventa una questione centrale per gli operatori di telecomunicazioni francesi.

Tre violazioni del RGPD sanzionate

La CNIL ha individuato tre violazioni distinte del Regolamento generale sulla protezione dei dati, ciascuna costitutiva di un'infrazione autonoma:

1. Articolo 5, paragrafo 1, lettera e) — Conservazione eccessiva (solo Free Mobile). L'operatore conservava i dati di oltre 15 milioni di contratti rescissi da più di cinque anni, di cui 2 806 690 contratti senza alcuna giustificazione. Parte di questi dati risaliva a più di dieci anni prima. Per la CNIL si tratta di negligenza palese: un operatore di telecomunicazioni deve sapere che questi dati non hanno più utilità una volta chiuso il contratto.

2. Articolo 32 — Misure di sicurezza insufficienti. L'autenticazione alla VPN dei dipendenti non si basava né su un'autenticazione multifattore (MFA), né su un certificato macchina per i dispositivi remoti. Il rilevamento di comportamenti anomali era inefficace e le password dello strumento interno MOBO erano archiviate in modo non sicuro. Sono state proprio queste falle a consentire l'intrusione iniziale.

3. Articolo 34 — Comunicazione agli interessati troppo vaga. L'e-mail inviata agli abbonati è stata giudicata «troppo generale e astratta» dalla formazione ristretta: non menzionava esplicitamente i rischi di furto d'identità o di addebiti diretti fraudolenti, né le misure correttive concrete da mettere in atto. Per la CNIL, una notifica RGPD deve essere operativa, non giuridica.

Free ha annunciato un ricorso davanti al Consiglio di Stato, definendo la decisione di «severità senza precedenti e fuori misura» rispetto ai precedenti in materia di attacchi informatici. Il fascicolo resta quindi aperto.

Perché questa sanzione crea giurisprudenza

La multa di 42 milioni di euro è una delle più pesanti mai inflitte dalla CNIL a un operatore di telecomunicazioni. Si basa sul fatturato consolidato del gruppo Iliad (10,024 miliardi di euro nel 2024), in linea con la nozione di «impresa» ai fini del diritto della concorrenza (CGUE, 5 dicembre 2023, C-807/21).

Più importante dell'importo è il metodo: la CNIL ha sanzionato tre violazioni distinte e ha ordinato, sotto astreinte di 50 000 € al giorno di ritardo, la messa in conformità:

• Sei mesi per ordinare e cancellare i dati personali dei contratti rescissi.
• Tre mesi per rafforzare le misure di sicurezza (MFA, certificati, rilevamento delle anomalie).

La decisione è pubblicata sul sito della CNIL e sul Journal officiel per due anni — un duro colpo reputazionale per il gruppo. È un segnale inviato a tutti gli operatori: la conservazione «per principio» dei dati dei clienti rescissi non è più tollerata, e la sicurezza di una VPN non può più poggiare su un semplice paio nome utente/password.

Cosa devono (e non devono) fare gli abbonati

Se siete — o siete stati — clienti Free o Free Mobile, ecco la checklist immediata da seguire, che riprendiamo anche nella nostra guida sulla protezione della privacy dei vostri SMS:

1. Sorvegliate gli estratti conto bancari. Se il vostro IBAN è stato diffuso, possono comparire addebiti diretti fraudolenti mesi dopo l'attacco. Segnalate immediatamente qualsiasi operazione sconosciuta alla vostra banca.
2. Diffidate del phishing via SMS ed e-mail. I pirati incrociano ormai dati provenienti da più fughe. Un messaggio che conosce il vostro nome, il vostro operatore e il vostro IBAN diventa estremamente credibile. Lo abbiamo dettagliato nel nostro articolo sullo smishing in Francia nel 2026.
3. Cambiate le password dei vostri account sensibili (banca, fisco, e-mail principale), soprattutto se riutilizzate la stessa password di un account Free. Il credential stuffing è il primo uso fatto delle banche di credenziali rubate.
4. Non pagate alcun «riscatto di disiscrizione». Nessuna procedura ufficiale vi chiede un pagamento per «rimuovere» i vostri dati da una fuga: è una truffa.
5. Consultate la pagina dedicata di Free e, in caso di dubbio, sporgete denuncia sulla piattaforma THESEE del Ministero dell'Interno o presso la CNIL.

Foto: Unsplash — 24 milioni di contratti, 100 000 IBAN diffusi: la portata della fuga impone una vigilanza individuale.

Il ruolo degli operatori nella catena di fiducia

Questo caso evidenzia una questione di fondo: la catena di fiducia tra un abbonato e il suo operatore. Quando sottoscrivete un piano, affidate a un terzo dati sensibili: identità, IBAN, consumi, geolocalizzazione. Questa fiducia richiede, in cambio, un'igiene di sicurezza impeccabile e una cancellazione automatica dei dati dopo la rescissione.

Il RGPD, all'articolo 5, impone già questo principio di limitazione della conservazione. La deliberazione della CNIL chiarisce ora la tolleranza zero: un operatore che conserva quindici milioni di schede clienti per cinque anni senza giustificazione operativa corre un rischio finanziario importante.

È anche, indirettamente, una buona notizia per l'ecosistema. Gli altri operatori — Orange, SFR, Bouygues Telecom — sono ora costretti a rivedere le proprie procedure, a rischio di una sanzione analoga. E il regolatore dispone di un solido precedente su cui agire.

Cosa bisogna ricordare

• 42 milioni di euro di multa (27 M€ per Free Mobile, 15 M€ per Free) inflitti dalla CNIL l'8 gennaio 2026.
• La fuga riguarda 24 633 469 contratti, di cui 19,4 milioni di contratti mobile e 5,2 milioni di contratti fissi.
• Tre violazioni del RGPD sanzionate: conservazione eccessiva, sicurezza VPN insufficiente, notifica troppo vaga.
• Free ha presentato ricorso al Consiglio di Stato, il caso non è chiuso.
• Per gli abbonati: sorvegliare i conti bancari, diffidare del phishing mirato, rafforzare le password.

Per inviare un SMS gratuito e anonimo a una persona cara senza trasmettere i vostri dati a un servizio di terzi, il nostro modulo di invio resta accessibile ovunque, senza iscrizione né traccia. Per qualsiasi domanda sui vostri dati personali, potete anche consultare la nostra FAQ, le menti legali o contattarci.