Un pirate met en vente 34 Go de données, dont 6,8 millions de numéros de téléphone. Ni Orange, ni Bouygues Telecom, ni Enedis n’ont été piratés… et c’est bien le problème. Lundi 12 octobre, un pirate mettait en vente une base de données de 34 Go.

Dans le lot, plus de 10 millions de lignes, dont 982 000 adresses mail, 6,8 millions de numéros de téléphone distincts, des noms, des adresses postales, mais aussi des informations sur les abonnements et les équipements électriques installés chez les particuliers. Rapidement, les noms d’Orange, de Bouygues Telecom et d’Enedis circulent. Pourtant cette fois, aucun opérateur n’a été piraté.

Solutions30, l’inconnu qui vous connaît bien Le nom ne dit sans doute rien à grand monde. Solutions30 est pourtant bien connu des foyers français. Le groupe coté à la Bourse de Paris depuis 2005 sert de bras armé technique aux opérateurs et aux gestionnaires de réseau : c’est lui qui envoie les techniciens raccorder la fibre, brancher la box ou poser le compteur Linky, notamment pour le compte d’Orange, de Bouygues Telecom ou d’Enedis.

L’entreprise revendique plus de 16 000 techniciens et 80 000 interventions par jour, dans neuf pays européens. Chaque intervention laisse une trace : un nom, une adresse, un numéro de téléphone, mais aussi le modèle de box ou de compteur installé. Multipliée par des années de déploiement de la fibre, cette paperasse numérique finit par dessiner une cartographie précise, qui devient une véritable mine d’or pour les pirates.

Selon le site spécialisé French Breaches, qui a révélé l’affaire, le pirate dit avoir exploité une faille de type IDOR, puis extrait les données, avant d’être repéré le 12 octobre. Derrière l’acronyme (pour Insecure Direct Object Reference), on retrouve un mode opératoire très simple. Une application web affiche une fiche client repérée par un identifiant, souvent un simple numéro glissé dans l’adresse de la page.

Si le serveur ne vérifie pas que la personne connectée a bien le droit de consulter cette fiche, il suffit de changer le numéro pour tomber sur celle du voisin. Puis sur la suivante, et ainsi de suite. Un faux technicien, ça sonne vraiment à la porte À ce stade, tout repose sur les affirmations du pirate et sur les échantillons qu’il a publiés.

French Breaches le rappelle : les 34 Go n’ont pas été authentifiés, et une ligne de données ne correspond pas forcément à une personne, un même client pouvant apparaître plusieurs fois au fil de ses interventions. Solutions30 travaille aussi pour de nombreux donneurs d’ordre ailleurs en Europe, si bien qu’on ignore encore combien de Français sont réellement concernés. Si la fuite se confirme, le danger sera pourtant plus concret que d’habitude.

Un fichier d’opérateur classique permettra d’envoyer un faux SMS. Un fichier d’interventions techniques permettra quant à lui de passer un coup de fil convaincant, voire de se présenter physiquement à une adresse dont les escrocs connaissent déjà l’équipement. Les réflexes de sécurité ne changent pas.

Ne communiquez jamais un code reçu par SMS, des identifiants ou des coordonnées bancaires à un interlocuteur qui appelle, aussi bien renseigné soit-il. En cas de doute, raccrochez et rappelez vous-même le service client via un numéro officiel. Dans son bilan 2025, la CNIL a recensé un record de 6 167 violations de données notifiées, soit une hausse de 9,5 % sur un an, dont la moitié liée à du piratage.

Non seulement personne n’est épargné, mais les fuites sont de plus en plus massives, et elles impliquent souvent des prestataires tiers. Après Free (jusqu’à 19 millions de personnes touchées fin 2024) et Bouygues Telecom (6,4 millions de comptes en août 2025), les opérateurs ont passé de longs mois sous le feu des projecteurs. Force est de constater que leurs sous-traitants sont aussi devenus des cibles de choix pour les pirates.

Ce sont eux qui manipulent au quotidien les données de terrain, avec des outils souvent développés à la chaîne pour suivre des milliers de rendez-vous, et des normes de sécurité qui laissent parfois à désirer.