Effacez vos données chez SFR —
3,6 millions de clients exposés en novembre 2024, dont 150 000 IBAN.
Demandez l'effacement maintenant. Il vous faut deux minutes, votre nom et votre email.
Tous les chiffres affichés ci-dessus (3,6 millions de clients, 150 000 IBAN, récidive après septembre 2024) sont confirmés par ces 5 sources et par le communiqué de SFR à ses abonnés.
SFR, troisième piratage en un an : pourquoi votre opérateur est devenu une cible récurrente
SFR a confirmé en novembre 2024 une cyberattaque sur l'un de ses outils internes ayant exposé les données de 3,6 millions de clients, dont 150 000 IBAN. C'est la deuxième fuite en moins de trois mois après celle de septembre 2024 qui touchait déjà 50 000 IBAN. Si vous êtes abonné SFR ou RED by SFR, vous pouvez exiger la suppression complète de vos données au titre de l'article 17 du RGPD (droit à l'effacement) et l'arrêt immédiat de toute prospection commerciale au titre de l'article 21. Sheeldy envoie cette demande à votre place, gratuitement, au DPO officiel de SFR.
Ce qu'on sait de la fuite SFR de novembre 2024
En novembre 2024, SFR a informé ses abonnés d'une intrusion sur un outil interne ayant permis à un attaquant d'exfiltrer les données personnelles de l'ensemble de ses clients. L'incident survient à peine trois mois après une première fuite, en septembre 2024, qui avait déjà exposé 50 000 IBAN. Cette répétition rapprochée — même groupe, même type de cible, vecteurs distincts — est un signal cybersécurité majeur que les analystes ne manquent pas de relever.
Selon les éléments rapportés par la presse spécialisée, l'attaquant aurait tenté de monnayer les données auprès de SFR contre une rançon de 500 € en cryptomonnaie. Devant le refus de l'opérateur, le hacker aurait publié gratuitement la base sur des forums clandestins. Cette gratuité aggrave le risque côté abonnés : les données sont désormais accessibles à n'importe quel cybercriminel cherchant un fichier prêt à l'emploi pour du phishing ciblé.
Le point qui fait basculer cette affaire d'un incident isolé à un signal de gouvernance, c'est la récidive. En quinze mois, SFR cumule plusieurs incidents distincts (septembre 2024, novembre 2024, puis un troisième en décembre 2025 sur une infrastructure différente). Chaque vecteur est différent — c'est précisément ce qui inquiète : ce ne sont pas les mêmes équipes ni les mêmes systèmes, mais c'est le même groupe qui collectionne les notifications CNIL.
Quelles données ont fuité ?
SFR a communiqué le périmètre précis des données concernées par l'incident de novembre 2024. Deux bonnes nouvelles : les mots de passe de l'Espace Client n'ont pas été compromis, et les numéros de carte bancaire complets n'ont pas fuité. Le mauvais côté : les IBAN d'environ 150 000 clients sont dans la nature, ce qui change la nature du risque par rapport à un simple fichier emails.
— Exposées
— Préservées
Ce que Sheeldy demande, et ce que SFR doit obligatoirement faire
Sheeldy envoie à SFR une demande RGPD cumulative, c'est-à-dire qu'elle invoque deux articles à la fois pour maximiser ce que vous obtenez :
- Article 17 du RGPD — droit à l'effacement : SFR doit supprimer l'intégralité des données qu'il détient sur vous, dès lors qu'au moins l'un des motifs s'applique (contrat résilié, retrait du consentement marketing, fuite récente remettant en cause la licéité du maintien des données dans un environnement qui s'est révélé vulnérable…).
- Article 21 du RGPD — droit d'opposition à la prospection : SFR doit cesser sans délai toute communication marketing, newsletter, SMS commerciaux et profilage publicitaire. Ce droit est absolu et inopposable — aucune justification recevable de la part de SFR.
Ce qui est garanti immédiatement (art. 21) : l'arrêt de toutes les communications marketing, newsletters, SMS commerciaux et utilisation de vos données pour du profilage publicitaire. SFR n'a pas le droit de refuser.
Ce qui dépend des obligations légales du secteur télécoms (art. 17) : la suppression complète de votre compte client. SFR peut conserver certaines données pour répondre à ses obligations comptables, fiscales et aux exigences de conservation des données de connexion imposées aux opérateurs télécoms (article 17.3.b RGPD). En pratique, l'essentiel des données identifiantes et commerciales doit être supprimé, mais les traces nécessaires aux obligations légales peuvent rester archivées dans un système restreint.
Récidive et action collective à venir : la CNIL a ouvert une enquête sur la répétition des incidents SFR (septembre 2024, novembre 2024, puis décembre 2025). Une sanction pécuniaire est attendue en 2026, et plusieurs cabinets se positionnent déjà sur une action de groupe au titre de l'article 80 du RGPD. Faire valoir vos droits dès maintenant — effacement et opposition — constitue une trace utile en cas de procédure ultérieure : vous prouvez que vous avez agi en victime diligente.
SFR dispose d'un mois pour répondre formellement (article 12.3 RGPD), prolongeable à trois mois sur motivation. Sans réponse à J+30, vous pouvez saisir la CNIL.
Remonter au formulaireQuestions fréquentes — Fuite SFR
Comment savoir si mon compte est concerné par la fuite de septembre ou celle de novembre 2024 ?
RED by SFR est-il touché au même titre que SFR ?
Puis-je résilier sans frais mon contrat SFR au motif du manquement à la sécurité ?
Mon IBAN exposé — que faire concrètement ?
Sheeldy envoie-t-il vraiment la demande à SFR ?
Comment SFR a-t-il pu se faire pirater 3 fois en 15 mois ?
Responsable de traitement : Sheeldy (sheeldy.com). Finalité : transmettre en votre nom au DPO de SFR une demande d'effacement et d'opposition à la prospection (articles 17 et 21 RGPD), rédigée à la première personne. Base légale : votre demande explicite via le formulaire (art. 6.1.a RGPD). Destinataires : SFR (DPO) et, le cas échéant, la CNIL en cas de recours. Durée de conservation : 3 ans pour la trace de la demande. Vos droits sur vos données chez Sheeldy : accès, rectification, effacement, opposition — à exercer auprès de privacy@sheeldy.com. Politique complète : conditions d'utilisation.