A equipa Texto SMS Gratuit
25 de julho de 2026 · 7 min de leitura
A 8 de janeiro de 2026, a formação restrita da CNIL proferiu uma deliberação histórica: 42 milhões de euros de multa contra a Free Mobile (27 M€) e a Free (15 M€) pelo ataque informático que sofreram entre 28 de setembro e 22 de outubro de 2024. Vinte e quatro milhões de contratos expostos, IBANs na natureza e um operador que ainda contesta a sanção perante o Conselho de Estado. O que aconteceu afinal, e o que muda para si?
Um ataque massivo, mantido em silêncio durante 24 dias
Tudo começou com uma intrusão silenciosa nos sistemas da Free Mobile. Durante quase 24 dias, entre 28 de setembro e 22 de outubro de 2024, o atacante — um menor de idade constituído arguido em janeiro de 2025 — pôde circular pelas bases de dados internas. A ironia: foi o próprio atacante que alertou a Free Mobile a 21 de outubro de 2024, obrigando o operador a notificar a CNIL dois dias depois.
O balanço, tornado público pela deliberação SAN-2026-001, é vertiginoso:
| Tipo de contrato | Número de contas afetadas |
|---|---|
| Contratos móveis (Free Mobile) | 19 460 891 |
| Contratos fixos (Free) | 5 172 577 |
| Total | 24 633 469 contratos |
Os dados roubados: identidade, contacto, informações contratuais — e, para os clientes «convergentes» (ao mesmo tempo assinantes Free Mobile e Free), o IBAN. Cerca de 100 000 IBANs foram divulgados em linha e depois explorados para golpes por transferência bancária e phishing direcionado.
Foto: Unsplash — a cibersegurança torna-se uma questão central para os operadores de telecomunicações franceses.
Três violações do RGPD sancionadas
A CNIL identificou três violações distintas do Regulamento Geral sobre a Proteção de Dados, cada uma constitutiva de um incumprimento autónomo:
-
Artigo 5.1.º, alínea e) — Conservação excessiva (apenas Free Mobile). O operador conservava os dados de mais de 15 milhões de contratos rescindidos há mais de cinco anos, incluindo 2 806 690 contratos sem qualquer justificação. Parte desses dados tinha mais de dez anos. Para a CNIL, trata-se de negligência caracterizada: um operador de telecomunicações deve saber que esses dados já não têm utilidade após o fecho do contrato.
-
Artigo 32.º — Medidas de segurança insuficientes. A autenticação na VPN dos colaboradores não assentava em autenticação multifator (MFA) nem em certificado de máquina para os postos remotos. A deteção de comportamentos anómalos era ineficaz e as palavras-passe da ferramenta interna MOBO estavam guardadas de forma insegura. Foram precisamente estas falhas que permitiram a intrusão inicial.
-
Artigo 34.º — Comunicação aos titulares demasiado vaga. O e-mail enviado aos assinantes foi considerado «demasiado geral e abstrato» pela formação restrita: não mencionava explicitamente os riscos de usurpação de identidade ou de débitos diretos fraudulentos, nem as medidas de remediação concretas a aplicar. Para a CNIL, uma notificação RGPD deve ser operacional, não jurídica.
A Free anunciou um recurso para o Conselho de Estado, qualificando a decisão de «severidade sem precedentes e sem medida comum» com os casos anteriores de ciberataques. O processo continua, por isso, em aberto.
Por que razão esta sanção cria jurisprudência
A multa de 42 milhões de euros é uma das mais pesadas alguma vez aplicadas pela CNIL a um operador de telecomunicações. Assenta no volume de negócios consolidado do grupo Iliad (10,024 mil milhões de euros em 2024), em conformidade com a noção de «empresa» na aceção do direito da concorrência (TJUE, 5 de dezembro de 2023, C-807/21).
Mais importante do que o montante é o método: a CNIL sancionou três incumprimentos distintos e exigiu, sob astreia de 50 000 € por dia de atraso, a conformidade com:
- Seis meses para triar e purgar os dados pessoais dos contratos rescindidos.
- Três meses para reforçar as medidas de segurança (MFA, certificados, deteção de anomalias).
A decisão é publicada no sítio da CNIL e no Journal officiel durante dois anos — uma machadada reputacional para o grupo. É um sinal enviado a todos os operadores: a conservação «por princípio» dos dados de clientes rescindidos deixou de ser tolerada, e a segurança de uma VPN já não pode assentar num simples par identificador/palavra-passe.
O que os assinantes devem (e não devem) fazer
Se é — ou foi — cliente da Free ou da Free Mobile, eis a lista de verificação imediata a aplicar, que também retomamos no nosso guia sobre a proteção da privacidade dos seus SMS:
- Vigie os extratos bancários. Se o seu IBAN foi divulgado, podem surgir débitos diretos fraudulentos meses após o ataque. Comunique de imediato qualquer operação desconhecida ao seu banco.
- Desconfie do phishing por SMS e por e-mail. Os piratas cruzam agora dados de várias fugas. Uma mensagem que conhece o seu nome, o seu operador e o seu IBAN torna-se extremamente credível. Detalhámos esta temática no nosso artigo sobre o smishing em França em 2026.
- Altere as palavras-passe das suas contas sensíveis (banco, finanças, e-mail principal), sobretudo se reutiliza a mesma palavra-passe que numa conta Free. O credential stuffing é a primeira utilização feita das bases de credenciais roubadas.
- Não pague nenhuma «resgate de desinscrição». Nenhum procedimento oficial lhe pede um pagamento para «retirar» os seus dados de uma fuga: é uma burla.
- Consulte a página dedicada da Free e, em caso de dúvida, apresente queixa na plataforma THESEE do Ministério do Interior ou junto da CNIL.
Foto: Unsplash — 24 milhões de contratos, 100 000 IBANs divulgados: a dimensão da fuga exige vigilância individual.
O papel dos operadores na cadeia de confiança
Este caso coloca em evidência uma questão de fundo: a cadeia de confiança entre um assinante e o seu operador. Quando subscreve um tarifário, confia a terceiros dados sensíveis: identidade, IBAN, consumo, geolocalização. Essa confiança exige, em troca, uma higiene de segurança irrepreensível e uma purga automática dos dados após a rescisão.
O RGPD, no seu artigo 5.º, já impõe este princípio de limitação da conservação. A deliberação da CNIL clarifica agora a tolerância zero: um operador que conserva quinze milhões de fichas de cliente durante cinco anos sem justificação operacional assume um risco financeiro considerável.
É também, indiretamente, uma boa notícia para o ecossistema. Os outros operadores — Orange, SFR, Bouygues Telecom — são agora forçados a rever os seus próprios procedimentos, sob pena de sanção comparável. E o regulador dispõe de um precedente sólido para intervir.
O essencial a reter
- 42 milhões de euros de multa (27 M€ para a Free Mobile, 15 M€ para a Free) pronunciados pela CNIL a 8 de janeiro de 2026.
- A fuga diz respeito a 24 633 469 contratos, incluindo 19,4 milhões de contratos móveis e 5,2 milhões de contratos fixos.
- Três incumprimentos do RGPD sancionados: conservação excessiva, segurança VPN insuficiente, notificação vaga.
- A Free interpôs recurso para o Conselho de Estado, o caso não está encerrado.
- Para os assinantes: vigiar as contas bancárias, desconfiar do phishing direcionado, reforçar as palavras-passe.
Para enviar um SMS gratuito e anónimo a um ente próximo sem transmitir os seus dados a um serviço terceiro, o nosso formulário de envio continua acessível em todo o lado, sem inscrição nem rasto. Para qualquer questão sobre os seus dados pessoais, pode também consultar a nossa FAQ, as menções legais ou contactar-nos.
