Bouygues Telecom : 48 heures pour stopper l'attaque, 6,4 millions d'IBAN déjà entre des mains hostiles

Ce qu'on sait de la fuite Bouygues Telecom

Début août 2025, le SOC interne de Bouygues Telecom détecte une activité anormale sur l'un de ses systèmes hébergeant les données contractuelles clients. L'intrusion est stoppée en 48 heures, l'accès attaquant coupé, et un communiqué officiel publié dans la foulée. Sur le papier, c'est une réaction modèle — sauf que la fenêtre d'exfiltration a suffi à siphonner les comptes de 6,4 millions d'abonnés Bbox et mobile.

Le vecteur d'intrusion exact n'a pas été rendu public par Bouygues Telecom. Ce qui est confirmé, c'est l'exfiltration : identité, état civil, données contractuelles, IBAN de prélèvement, et données entreprise pour les comptes pros. Les IBAN étaient stockés en base sans chiffrement spécifique au champ — une fois la base accessible, ils étaient lisibles tels quels. C'est précisément ce point qui transforme un incident court en problème durable : une politique de centralisation sans chiffrement granulaire annule le bénéfice d'une détection rapide.

La particularité de cette fuite, c'est la permanence du risque IBAN. Un mot de passe se change en une minute, une carte bancaire se fait réémettre en cinq jours — un IBAN, lui, est attaché à votre compte courant pour toute sa durée de vie. Vous ne pouvez pas le « renouveler ». Les fraudeurs disposent donc d'un identifiant bancaire valide à long terme, exploitable pour tenter des prélèvements SEPA non autorisés ou alimenter des campagnes de phishing personnalisé (« votre prélèvement Bouygues du XX/XX a été rejeté, régularisez ici… »).

Quelles données ont fuité ?

Bouygues Telecom a communiqué la liste précise des champs exposés. Les mots de passe et les numéros de carte bancaire n'ont pas été touchés — mais la combinaison identité complète + IBAN + données contractuelles constitue une « kit phishing financier » prêt à l'emploi.

— Exposées

— Préservées

Ce que Sheeldy demande, et ce que Bouygues Telecom doit obligatoirement faire

Sheeldy envoie à Bouygues Telecom une demande RGPD cumulative, c'est-à-dire qu'elle invoque deux articles à la fois pour maximiser ce que vous obtenez :

• Article 17 du RGPD — droit à l'effacement : Bouygues Telecom doit supprimer l'intégralité des données qu'il détient sur vous, dès lors qu'au moins l'un des motifs s'applique (contrat résilié, retrait du consentement, fuite récente questionnant la licéité du maintien…). Tant que vous êtes abonné actif, Bouygues conserve une base contractuelle de traitement pour la facturation : pour obtenir une suppression complète, il faut d'abord résilier.
• Article 21 du RGPD — droit d'opposition à la prospection : Bouygues Telecom doit cesser sans délai toute communication marketing, newsletter et profilage publicitaire. Ce droit est absolu et inopposable — aucune justification recevable, même si vous êtes encore abonné.

Ce qui est garanti immédiatement (art. 21) : l'arrêt de toutes les communications marketing, newsletters, SMS commerciaux et utilisation de vos données pour du profilage publicitaire. Bouygues n'a pas le droit de refuser, même sur un contrat actif.

Ce qui dépend de votre statut contractuel (art. 17) : la suppression complète de votre compte et de votre historique. Tant que votre abonnement Bbox ou mobile est actif, Bouygues peut conserver les données nécessaires à la facturation (article 17.3.b RGPD). Après résiliation, l'essentiel doit être supprimé, mais les justificatifs nécessaires aux obligations comptables et fiscales (~10 ans) peuvent rester archivés.

Le cas spécifique de l'IBAN. Contrairement à un mot de passe, votre IBAN reste exposé à vie une fois divulgué — vous ne pouvez pas le « renouveler » sans changer de banque. Sheeldy recommande d'activer les alertes SMS bancaires pour tout nouveau mandat SEPA et de surveiller la liste de vos prélèvements autorisés depuis votre espace banque. La directive SEPA vous donne 8 semaines pour contester sans justification un prélèvement non autorisé.

Bouygues Telecom dispose d'un mois pour répondre formellement (article 12.3 RGPD), prolongeable à trois mois sur motivation. Sans réponse à J+30, vous pouvez saisir la CNIL.