Bouygues Telecom a divulgué la violation le 6 août 2025 après avoir détecté la cyberattaque le 4 août. L'entreprise a déclaré qu'un tiers avait obtenu un accès non autorisé aux informations personnelles associées à 6,4 millions de comptes clients. Bouygues Telecom est un opérateur majeur de téléphonie fixe et mobile en France, de sorte que l'ensemble de données affecté s'inscrit dans une dépendance nationale récurrente des télécommunications: identité des clients, facturation et dossiers de contrat de service.

La surface opérationnelle est spécifique. La FAQ de Bouygues Telecom identifie les coordonnées, les données contractuelles, les données d'état civil ou les données d'entreprise pour les clients professionnels, ainsi que les IBAN, comme les catégories ciblées. Elle précise également que les mots de passe des comptes Bouygues Telecom et les numéros de carte des clients n'ont pas été impactés.

Cette limite est importante car le mécanisme probable d'exposition n'est pas la compromission des cartes de paiement; c'est la fuite de contexte de compte qui peut rendre les appels frauduleux, les SMS, les courriels et les scripts de faux conseillers bancaires plus convaincants.

Le parcours institutionnel est également étayé par des sources. Bouygues Telecom a déclaré avoir notifié la CNIL et déposé une plainte auprès des autorités judiciaires. Le cadre de notification des telecoms de la CNIL stipule que les fournisseurs publics de communications électroniques doivent notifier les violations de données personnelles à la CNIL et, dans certains cas, aux personnes concernées. Cela fait de la CNIL le point de contrôle réglementaire pertinent, mais les preuves publiques ne montrent pas de sanction de la CNIL ou de décision d'exécution finale contre Bouygues Telecom.

L'événement doit être suivi pour les preuves de confinement, les conséquences de fraude pour les clients, le suivi par la CNIL, les éventuelles conclusions judiciaires et pour savoir si les attaques répétées contre les opérateurs télécoms français conduisent à des attentes renforcées concernant la segmentation des systèmes de comptes, la minimisation des IBAN, la notification des clients et la surveillance post-violation.

Le dossier public étaye la divulgation, le nombre de comptes affectés et les catégories de données; il n'établit pas l'identité de l'attaquant, le temps de résidence, l'utilisation abusive des données, une implication de ransomware ou une décision finale du régulateur.