L’été 2025 n’aura pas été de tout repos pour les « telcos ». En France, Bouygues Telecom a été victime début août d’une cyberattaque. Peu avant, fin juillet, Orange a aussi été la cible d’une cyberattaque. L’an dernier, SFR puis Free avaient eux aussi fait l’objet d’une fuite massive de données.
Les quatre opérateurs télécoms français, que sont Orange, Bouygues Telecom, SFR et Free, sont plus que jamais exposés à des cyberattaques de leurs systèmes d’information, où sont gérées et stockées des milliards de données personnelles de leurs plusieurs dizaines de millions d’abonnés mobiles et fixes. Devenus encore plus redoutables et imprévisibles avec l’intelligence artificielle, ces cyberpiratages massifs inquiètent de plus en plus leurs clients.
Données personnelles : open bar ?
Orange compte en France près de 22,1 millions d’abonnés mobiles et plus de 14 millions d’abonnés fixes, et totalise presque 300 millions de clients dans le monde. Bouygues Telecom a, lui, plus de 18 millions d’abonnés mobiles et 5,3 millions d’abonnés fixes, toujours sur l’Hexagone. SFR, c’est 19,3 millions d’abonnés mobiles et 6,1 millions d’abonnés fixes. Quant à Free, il compte en France 15,5 millions d’abonnés mobiles et 7,6 millions d’abonnés fixes, avec un total d’environ 51 millions avec les quelques autres pays où le groupe est présent. Autant dire que les quatre « telcos » français regorgent de données personnelles qui suscitent les convoitises de hackers et cybercriminels désireux de s’en emparer pour demander une rançon et/ou les vendre sur le dark web. Coup sur coup, cet été, Orange puis Bouygues Telecom ont subi une violation de leur système d’information respectif. Or, ce n’est pas la première fois que (suite)
« Bouygues Telecom a été victime d’une cyberattaque ayant permis l’accès non autorisé à certaines données personnelles de 6,4 millions de comptes clients, a fait savoir le 6 août 2025 la filiale du groupe de BTP et de communication Bouygues à propos de cette cyberintrusion détectée le 4 août. L’opérateur a notifié la Cnil (1) et déposé plainte auprès des autorités judiciaires. Tous les clients concernés ont reçu ou vont recevoir un mail ou un SMS pour les en informer et nos équipes restent pleinement mobilisées pour les accompagner ». Bouygues Telecom a voulu rassurer en affirmant que « la situation a[vait] été résolue dans les plus brefs délais » par ses équipes techniques et que « toutes les mesures complémentaires nécessaires ont été mises en place » (2). L’opérateur télécom dirigé par Benoît Torloting (photo de gauche) a mis en place une page web dédiée à cette cyberattaque du 4 août (3) ainsi qu’un numéro vert au 0801 239 901, tandis qu’un dossier « Cybersécurité » (4) informe les abonnés. « Nous tenons une nouvelle fois à vous présenter nos excuses pour cet incident », est-il indiqué en préambule d’une page mise en ligne le 13 août (5).
De son côté, le groupe Orange a communiqué le 28 juillet 2025 sur la cyberintrusion dont il a été victime trois jours avant par un : « Le vendredi 25 juillet, le groupe Orange a détecté une cyberattaque sur un de ses systèmes d’information. Immédiatement alertées, avec le support d’Orange Cyber-defense, les équipes se sont pleinement mobilisées pour isoler les services potentiellement concernés et limiter les impacts. Cependant, ces opérations d’isolement ont eu pour conséquence de perturber certains services et plateformes de gestion pour une partie de nos clients […]. Une plainte a été déposée et les autorités compétentes ont été alertées. Nous travaillons avec elles en parfaite collaboration » (6).
L’opérateur télécoms historique, dirigé par Christel Heydemann (photo du milieu), indiquait ce jour-là qu’« aucun élément ne laisse penser que des données de nos clients ou d’Orange auraient été exfiltrées ». Mais le 28 août, Bloomberg révélait qu’avaient été publiées sur le dark web des données qu’un porte-parole d’Orange a qualifiées « d’obsolètes ou de faible sensibilité » (7). SFR (8) et Free ont eux aussi été cybervisités de façon malveillante – respectivement le 3 septembre et le 17 octobre 2024. SFR et Free n’ont, eux, pas publié de communiqué, mais confirmé cette cyberattaque auprès de leurs clients, le 19 septembre pour SFR (9) et le 28 octobre pour Free après des révélations dès le 22 octobre (10).
Avant Orange et Bouygues, SFR et Free
Alors que le cybervol massif chez Free a touché 19,2 millions de clients (11), le directeur général de la maison mère Iliad, Thomas Reynaud (photo de droite), avait affirmé à l’AFP le 14 novembre 2024 qu’« il n’y a[vait] pas eu d’impact opérationnel ». L’enquête et l’instruction se poursuivent par la Cnil, laquelle pourrait infliger des amendes en cas de manquements, tandis que des abonnés pourraient attaquer leur opérateur télécoms devant la justice (12). Quant à l’Arcep, elle a enfin publié le 15 septembre 2025 son avis de 2024 (13) sur le projet de loi renforçant la cybersécurité (NIS2). @
Charles de Laubier