SFR fibre : votre adresse de raccordement vaut plus cher qu'un IBAN pour les cambrioleurs

Ce qu'on sait de la fuite SFR fibre

En décembre 2025, SFR a confirmé une cyberattaque ciblant l'outil interne de gestion des interventions de raccordement fibre. Cette intrusion concerne le système métier utilisé par les techniciens et la sous-traitance pour piloter les chantiers de pose et d'entretien des prises FTTH chez les abonnés. À ne pas confondre avec la fuite SFR de novembre 2024, qui touchait une autre base technique (et qui faisait l'objet d'une page dédiée distincte).

La spécificité de cet incident, c'est que cet outil métier contenait les adresses postales précises des points de raccordement fibre — l'adresse exacte de la prise FTTH installée chez chaque abonné, avec souvent l'étage et le numéro d'appartement. Les techniciens en avaient besoin pour intervenir physiquement ; les attaquants en ont exfiltré le contenu.

Ce qui rend cette fuite différente des précédentes touchant le secteur télécom, c'est le risque de cambriolage avant celui de phishing. L'adresse précise d'une prise FTTH dit trois choses à un acteur malveillant : (1) la personne habite bien là, (2) le logement est câblé fibre — donc bien équipé, donc patrimonial, (3) souvent l'étage exact. Croisée avec l'open data cadastrale, cette information peut servir à du repérage ciblé bien avant d'être utilisée pour des arnaques au faux conseiller SFR.

Quelles données ont fuité ?

SFR a communiqué le périmètre des champs exposés via son outil de gestion des raccordements fibre. Bonne nouvelle : aucun élément bancaire ni mot de passe Box ne sont concernés. Mauvaise nouvelle : les éléments exposés permettent une géolocalisation très fine de votre logement.

— Exposées

— Préservées

Ce que Sheeldy demande, et ce que SFR doit obligatoirement faire

Sheeldy envoie à SFR une demande RGPD cumulative, c'est-à-dire qu'elle invoque deux articles à la fois pour maximiser ce que vous obtenez :

• Article 17 du RGPD — droit à l'effacement : SFR doit supprimer les données vous concernant dès lors qu'au moins l'un des motifs s'applique (retrait du consentement, fuite récente questionnant la licéité du maintien, fin de la finalité de traitement…). Si vous n'êtes plus abonné fibre, c'est intégral. Si vous l'êtes encore, la suppression porte au minimum sur le périmètre marketing et profilage.
• Article 21 du RGPD — droit d'opposition à la prospection : SFR doit cesser sans délai toute communication marketing, newsletter et profilage publicitaire. Ce droit est absolu et inopposable — aucune justification recevable de la part de SFR.

Ce qui est garanti immédiatement (art. 21) : l'arrêt de toutes les communications marketing, newsletters, SMS commerciaux, démarchage téléphonique et utilisation de vos données pour du profilage publicitaire. SFR n'a pas le droit de refuser.

Ce qui dépend de votre statut d'abonné (art. 17) : la suppression du dossier de raccordement complet. Tant que votre raccordement fibre est actif, SFR a une obligation contractuelle de conserver les données techniques nécessaires à l'exploitation du service (intervention en cas de panne, maintenance du réseau). Le périmètre marketing/profilage reste en revanche supprimable sans condition.

Au-delà de la demande RGPD, nous vous recommandons fortement de déposer plainte — au commissariat, ou en ligne via cybermalveillance.gouv.fr. La plainte n'a pas vocation à identifier l'attaquant, mais à matérialiser votre préjudice en cas d'action en responsabilité civile ultérieure contre SFR. C'est gratuit, ça prend dix minutes, et c'est la pièce maîtresse de tout dossier d'indemnisation.

SFR dispose d'un mois pour répondre formellement (article 12.3 RGPD), prolongeable à trois mois sur motivation. Sans réponse à J+30, vous pouvez saisir la CNIL.