Deux millions de clients SFR, 162 000 chez Accor, 125 000 sapeurs-pompiers : la semaine du 14 juillet 2026 a aligne les fuites de donnees en France. La tentation est de blamer les pirates. L’erreur serait de croire que le pare-feu etait le sujet. Dans plusieurs cas, la porte etait deja ouverte, de l’interieur. Fuite de donnees SFR et la vague de juillet 2026
Que s’est-il passe chez SFR et les autres en juillet 2026 ?
Le 17 juillet, un acteur revendique l’extraction d’environ 2,1 millions de lignes clients SFR. Selon les elements publies, l’acces serait passe par un outil interne d’exploitation nomme NOVA. L’extraction aurait commence le 30 juin avant d’etre stoppee.
Ce n’est pas un cas isole. Entre le 14 et le 16 juillet, sept fuites revendiquees ont expose environ 210 000 personnes supplementaires : Accor, Croq’Vacances, la Federation des Centres Sociaux, EVA esport, entre autres. Le CERT-FR a par ailleurs alerte le 15 juillet sur des vulnerabilites critiques notees 10 sur 10 dans des boitiers SonicWall.
Attention : ces revendications ne sont pas toutes confirmees par les organisations citees. Le volume et l’authenticite restent a verifier. Mais le signal, lui, est clair.
Pourquoi ces fuites ne sont pas d’abord un probleme technique ?
Le cas SFR est parlant. Une extraction via un outil interne d’exploitation n’est pas une intrusion frontale. C’est un probleme d’habilitation et de journalisation. Qui accede a l’outil ? Avec quels droits ? Et surtout, qui l’aurait vu extraire deux millions de lignes en deux semaines ?
La minimisation des acces n’est pas un confort. C’est le principe qui limite l’ampleur d’une fuite quand elle survient. Un compte trop large transforme un incident en catastrophe. C’est tout l’enjeu de la gestion des habilitations d’acces, souvent traitee apres le reste.
Second enseignement : la fenetre entre la publication d’un correctif critique et son application reste la principale porte d’entree. L’alerte SonicWall du 15 juillet le rappelle. Le delai de patch est une donnee de gouvernance, pas seulement de la technique.
Notification a la CNIL : que faire dans les 72 heures ?
Une fois la fuite constatee, le compte a rebours de l’article 33 du RGPD demarre. 72 heures pour notifier l’autorite, sauf si la violation est peu susceptible d’engendrer un risque. Voici la sequence a derouler :
- Qualifier : est-ce une violation de confidentialite, d’integrite ou de disponibilite ?
- Evaluer le risque pour les personnes : nature des donnees, volume, possibilite de reidentification.
- Notifier la CNIL sous 72 heures si le risque n’est pas ecarte, meme avec un dossier incomplet.
- Informer les personnes concernees si le risque est eleve, sans delai.
- Documenter l’incident dans le registre des violations, notifie ou non.
- Geler les preuves : journaux d’acces, horodatage, perimetre exact des donnees.
Le point qui coince toujours : le delai de 72 heures court a partir de la connaissance de la violation, pas de sa comprehension complete. On notifie avec ce qu’on sait, puis on complete. La procedure de notification d’une violation a la CNIL en 72 heures tolere une notification en plusieurs temps.
Comment savoir si mes donnees circulent deja ?
Les sous-traitants sont un angle mort. Beaucoup des organisations touchees en juillet sont des structures moyennes ou des associations, dont les donnees transitent par des prestataires. Une fuite chez le sous-traitant reste votre responsabilite d’information.
D’ou l’interet d’un recensement a jour : quels prestataires detiennent quelles donnees, avec quelle clause de notification en cas d’incident. C’est ce que le registre des traitements doit permettre de retrouver en minutes, pas en jours.
Reconstituer a chaud qui detient quoi est precisement ce qui fait perdre les premieres heures. DPO SUITE relie traitements, sous-traitants et donnees concernees au meme endroit, pour savoir en minutes qui prevenir apres une fuite. La demonstration prend quinze minutes.
La lecon de juillet 2026 n’est pas qu’il faut craindre les pirates. C’est que la reaction se prepare a froid. Une organisation qui teste son plan de notification une fois par an traverse la crise ; les autres la subissent.
FAQ
La fuite SFR est-elle confirmee ?
Au 17 juillet 2026, il s’agit d’une revendication. Un acteur affirme avoir extrait environ 2,1 millions de lignes via un outil interne. Le volume annonce et l’authenticite complete des donnees restent a verifier. SFR avait deja subi une fuite un an plus tot, ce qui rend la revendication credible sans la confirmer.
Dois-je notifier la CNIL pour toute fuite ?
Non. La notification s’impose sous 72 heures uniquement si la violation est susceptible d’engendrer un risque pour les droits des personnes. Si le risque est ecarte, par exemple des donnees chiffrees et inexploitables, vous documentez l’incident dans votre registre sans notifier. La preuve de cette analyse est essentielle.
Que risque une entreprise qui ne notifie pas ?
Le defaut de notification est un manquement autonome, sanctionnable meme si la fuite elle-meme n’est pas fautive. La CNIL a deja sanctionne des organisations pour ce seul motif. S’y ajoute le risque de reputation, souvent plus lourd que l’amende, quand la fuite est revelee par un tiers avant l’entreprise.
Une fuite chez mon sous-traitant m’engage-t-elle ?
Oui. En tant que responsable de traitement, l’obligation d’information des personnes vous incombe, meme si l’incident vient du prestataire. Le sous-traitant doit vous alerter sans delai, ce que le contrat doit prevoir. Verifiez que vos clauses de sous-traitance imposent une notification rapide et documentee.
Comment reduire l’ampleur d’une fuite avant qu’elle arrive ?
Par la minimisation des acces. Moins un compte voit de donnees, moins une fuite via ce compte expose de personnes. Revoyez les habilitations aux outils internes, activez la journalisation des extractions et appliquez les correctifs critiques dans un delai defini. Ces trois mesures limitent le volume expose bien plus que le seul pare-feu.
