Bouygues Telecom reveló la brecha el 6 de agosto de 2025, tras detectar el ciberataque el 4 de agosto. La compañía informó que un tercero obtuvo acceso no autorizado a información personal asociada a 6,4 millones de cuentas de clientes. Bouygues Telecom es un importante operador francés de telefonía fija y móvil, por lo que el conjunto de datos afectado se enmarca en una dependencia nacional recurrente de las telecomunicaciones: registros de identidad de clientes, facturación y contratos de servicios.

La superficie operativa es específica. Las preguntas frecuentes de Bouygues Telecom identifican como categorías objetivo los datos de contacto, los datos contractuales, los datos de estado civil o de empresa para clientes profesionales y los IBAN. También afirman que las contraseñas de las cuentas de Bouygues Telecom y los números de tarjetas de clientes no se vieron afectados.

Este límite es importante porque el mecanismo de exposición probable no es el compromiso de tarjetas de pago, sino la filtración del contexto de la cuenta que puede hacer que las llamadas fraudulentas, los SMS, los correos electrónicos y los guiones de falsos asesores bancarios sean más convincentes.

También está documentada la vía institucional. Bouygues Telecom declaró haber notificado a la CNIL y presentado una denuncia ante las autoridades judiciales. El marco de notificación de telecomunicaciones de la CNIL establece que los proveedores públicos de comunicaciones electrónicas deben notificar las violaciones de datos personales a la CNIL y, en algunos casos, a las personas afectadas. Esto convierte a la CNIL en el punto de control regulatorio pertinente, pero el registro público no muestra una sanción o decisión de ejecución final de la CNIL contra Bouygues Telecom.

El evento debe ser monitoreado para obtener detalles sobre la contención, los resultados del fraude a clientes, el seguimiento de la CNIL, los posibles hallazgos judiciales y si los ataques repetidos contra operadores de telecomunicaciones franceses conducen a expectativas más estrictas en torno a la segmentación de almacenes de cuentas, la minimización de IBAN, la notificación a clientes y el monitoreo posterior a la brecha.

El registro público establece la divulgación, el número de cuentas afectadas y las categorías de datos; no establece la identidad del atacante, el tiempo de permanencia, el uso indebido de datos, la participación de ransomware o una decisión final del regulador.