Aller au contenu
France Cyberwatch
enfr

Retour aux incidents

4 août 2025

Bouygues Telecom

Entreprise Télécommunications

Critique Confirmé

Bouygues Telecom a détecté une cyberattaque le 4 août 2025 et l’a rendue publique deux jours plus tard. L’intrusion a donné un accès non autorisé à des données personnelles liées à 6,4 millions de comptes clients. Ce chiffre compte des comptes, pas nécessairement 6,4 millions de personnes distinctes. Les champs exposés comprenaient des coordonnées et des données d’état civil, des informations contractuelles et des identifiants bancaires tels que BIC et IBAN. Bouygues a indiqué que les mots de passe des comptes et les numéros de carte n’étaient pas exposés.

Faits datés dans le dossier public

  1. Bouygues Telecom détecte l’attaque ; les équipes techniques stoppent l’accès non autorisé.

  2. Annonce publique : 6,4 millions de comptes ; CNIL notifiée ; plainte déposée ; notification des clients commencée.

  3. Bouygues et Cybermalveillance.gouv.fr publient des conseils pratiques sur l’hameçonnage, la fraude liée à l’IBAN et la contestation des prélèvements.

  4. Cybermalveillance.gouv.fr met à jour sa fiche de conseils, en conservant le périmètre de 6,4 millions de comptes et les consignes anti-fraude.

Comment cela s’est passé

Bouygues a décrit l’événement comme un accès non autorisé et indiqué que ses équipes techniques l’avaient stoppé. L’entreprise n’a pas identifié publiquement la voie d’accès initiale, une vulnérabilité ni un attaquant.

Ce qui a été exposé

Coordonnées des clients, données d’état civil, données contractuelles, BIC et IBAN. La synthèse publique de Cybermalveillance mentionne aussi l’identité de l’entreprise et le SIREN pour les dossiers professionnels concernés. Le chiffre de 6,4 millions compte des comptes clients, pas nécessairement 6,4 millions de personnes physiques distinctes.

Ce qui n’était pas dans le périmètre

Bouygues a indiqué que les mots de passe des comptes clients et les numéros de carte n’étaient pas exposés. Détenir un IBAN n’équivaut pas à détenir des identifiants bancaires et ne permet pas automatiquement de déplacer de l’argent.

Ce que cela a changé concrètement

Le risque durable est l’usurpation ciblée. Un arnaqueur qui connaît l’opérateur, l’identité, le contexte contractuel et l’IBAN d’une victime peut se faire passer de façon crédible pour un conseiller télécom, un service antifraude bancaire, un recouvreur ou un intermédiaire de paiement. L’exposition peut aussi servir à des tentatives de prélèvement frauduleux, même si les banques offrent des voies de contestation.

Ce qui a suivi

Bouygues a contenu l’accès non autorisé, notifié la CNIL, déposé plainte et informé les clients concernés par e-mail ou SMS. Sa FAQ a expliqué ce qu’un IBAN permet ou non, et renvoyé les clients vers leur banque en cas d’activité suspecte. Cybermalveillance.gouv.fr a publié des conseils publics destinés à réduire la fraude de suivi.

Ce que les suites ont modifié

Le chiffre confirmé de 6,4 millions désigne des comptes clients, et la présence d’IBAN ne doit pas être décrite comme une compromission de la banque en ligne.

Dans leurs mots

  • accès non autorisé à certaines données personnelles de 6,4 millions de comptes clients

    Bouygues Telecom

Qu’est-ce que cela veut dire ?

IBAN
Votre numéro de compte bancaire au format international. Le connaître permet à un escroc de paraître crédible ; cela ne suffit pas à prélever de l’argent.
Identifiants
Un couple identifiant / mot de passe, ou la clé équivalente utilisée par une application pour se connecter.