Cyberattaque SFR : l’outil interne NOVA, ce qui est confirmé et ce qui est revendiqué

En juillet 2026, une cyberattaque SFR vise un outil interne de gestion des raccordements fibre, souvent désigné NOVA dans les revendications. SFR a confirmé l’incident et commencé à écrire à des abonnés fibre (SFR et RED) à partir du 20 août. Le reste — volumes, nom de l’outil, identité de l’attaquant — doit être lu avec deux colonnes : confirmé / revendiqué.

Confirmé par SFR (août 2026)

D’après les courriers clients et les déclarations à l’AFP (BFMTV, 01net, 20–21 août 2026) :

• détection interne le 2 juillet 2026 ;
• cible : un outil de gestion et d’analyse des raccordements fibre ;
• données citées : civilité, nom, prénom, adresse, mobile, identifiant de contrat, données techniques de ligne ;
• SFR affirme que mots de passe et données bancaires ne sont pas concernés ;
• compte utilisé désactivé, IP bloquées, notification CNIL, plainte ;
• SFR n’a pas publié de volume officiel de clients touchés.

Le délai entre détection (2 juillet) et information clients (20 août) a été commenté au regard du RGPD (information « dans les meilleurs délais » en cas de risque élevé). C’est un débat juridique ; nous le notons sans conclure à une sanction, qui n’était pas publique au moment de rédiger.

Revendiqué — pas repris tel quel par l’opérateur

• le 17 juillet, une publication sur forum criminel parle d’une extraction depuis un outil interne baptisé NOVA (Network Observation and Visual Analysis), commencée vers le 30 juin et interrompue ;
• le volume avancé est d’environ 2,1 millions de lignes ; SFR ne confirme pas ce chiffre ;
• plusieurs médias ont supposé ZeroBytes. SFR n’a pas attribué officiellement l’attaque à ce nom.

Autrement dit : incident fibre confirmé ; « 2,1 millions » et « ZeroBytes » restent du côté revendication / hypothèse de presse, jusqu’à preuve contraire.

Leçon pour une PME

NOVA n’est pas un site vitrine. C’est un outil interne avec un compte « valide ». C’est le scénario le plus fréquent chez nos clients : un portail prestataire, un CRM terrain, une console fibre ou un extranet SAV. Un test d’intrusion application web sur ces outils — pas seulement sur le site marketing — change le niveau de preuve. Un audit cybersécurité PME doit lister ces comptes de prestataires avant qu’ils ne deviennent le récit de votre propre notification CNIL.

Sources

Déclarations SFR à l’AFP (20 août 2026), analyses 01net / BFMTV / Generation-NT. Les détails NOVA et le volume 2,1 millions proviennent de la revendication du 17 juillet, clairement séparés ci-dessus.