Bouygues Telecom a divulgué la violation le 6 août 2025 après avoir détecté la cyberattaque le 4 août. L'entreprise a déclaré qu'un tiers avait obtenu un accès non autorisé aux informations personnelles associées à 6,4 millions de comptes clients. Bouygues Telecom est un important opérateur fixe et mobile français, de sorte que l'ensemble de données affectées se trouve au cœur d'une dépendance télécom nationale récurrente: identité des clients, facturation et dossiers de contrat de service.

La surface d'exploitation est spécifique. La FAQ de Bouygues Telecom identifie les coordonnées, les données contractuelles, les données d'état civil ou les données d'entreprise pour les clients professionnels, et les IBAN comme les catégories ciblées. Elle indique également que les mots de passe de compte Bouygues Telecom et les numéros de carte client n'ont pas été impactés.

Cette limite est importante car le mécanisme d'exposition probable n'est pas la compromission de carte de paiement; il s'agit d'une fuite de contexte de compte qui peut rendre les appels frauduleux, les SMS, les courriels et les scénarios de faux conseillers bancaires plus convaincants.

La voie institutionnelle est également documentée. Bouygues Telecom a déclaré avoir notifié la CNIL et déposé une plainte auprès des autorités judiciaires. Le cadre de notification des télécoms de la CNIL stipule que les fournisseurs publics de communications électroniques doivent notifier les violations de données personnelles à la CNIL et, dans certains cas, aux personnes concernées. Cela fait de la CNIL le point de contrôle réglementaire pertinent, mais le dossier public ne montre pas de sanction de la CNIL ou de décision finale d'application à l'encontre de Bouygues Telecom.

L'événement doit être suivi pour les détails de confinement, les résultats de fraude client, le suivi de la CNIL, les éventuelles conclusions judiciaires et pour savoir si les attaques répétées contre les opérateurs télécoms français conduisent à des attentes plus fortes en matière de segmentation des entrepôts de comptes, de minimisation des IBAN, de notification client et de surveillance post-violation.

Le dossier public établit la divulgation, le nombre de comptes affectés et les catégories de données; il n'établit pas l'identité de l'attaquant, le temps de présence, l'utilisation abusive des données, l'implication d'un rançongiciel ou une décision finale du régulateur.