🎧 Écouter le résumé de cet article
Vous avez reçu un e-mail de Bouygues Telecom vous informant que vos données personnelles ont peut-être été compromises. Ou vous n’avez encore rien reçu, mais vous êtes abonné fibre — ou vous l’étiez — et vous voulez savoir ce qu’il en est. Dans les deux cas, la situation mérite une réponse rapide et méthodique, sans affolement.
Ce qui s’est passé est documenté : le 11 mai 2026, Bouygues Telecom a officiellement reconnu une cyberattaque ciblant un outil interne de gestion des interventions fibre à domicile, baptisé TECH360 selon plusieurs sources spécialisées. Des données personnelles de clients ont été exfiltrées et circulent déjà sur des forums cybercriminels.
Ce que l’on sait sur la fuite Bouygues Telecom de mai 2026
L’incident a été révélé avant même la communication officielle de l’opérateur. Dès le 5 mai, la plateforme FrenchBreaches signalait une alerte attribuée au collectif de hackers OverSec, confirmée le 8 mai. Bouygues Telecom a ensuite commencé à notifier les abonnés concernés par e-mail, puis a formellement reconnu les faits le 11 mai.
Les données effectivement compromises
Bouygues Telecom a précisé que les informations suivantes font partie des éléments exfiltrés : noms, prénoms, adresses postales complètes, adresses e-mail, numéros de téléphone et dates de naissance. Ce sont des données d’identité et de contact — suffisantes pour construire des tentatives d’escroquerie très crédibles.
En revanche, les mots de passe et les données bancaires (numéros de carte, IBAN) ne seraient pas concernés par cette attaque. C’est une différence notable avec la cyberattaque d’août 2025, lors de laquelle 6,4 millions de clients avaient vu leurs IBAN exposés.
Une base de données massive, une période d’exposition longue
Les hackers revendiquent une base de plus de 80 Go, couvrant une période allant de 2022 à avril 2026. Si ces chiffres sont confirmés, cela signifie que d’anciens abonnés — ayant résilié leur contrat il y a plusieurs années — pourraient tout de même figurer dans la base. Le nombre de personnes potentiellement concernées avoisinerait 4,5 millions selon les premières estimations, un chiffre qui reste à vérifier officiellement.
Bouygues Telecom a indiqué avoir désactivé le compte compromis, renforcé la sécurité de l’outil visé, alerté la CNIL comme l’exige le RGPD, et déposé plainte auprès des autorités judiciaires. Ces démarches relèvent de ses obligations légales. Elles ne changent pas la situation des abonnés, qui doivent agir de leur côté.
Pourquoi la fuite Bouygues Telecom est plus dangereuse qu’elle n’y paraît
L’absence de données bancaires dans cette fuite peut donner une impression de moindre gravité. C’est une lecture trop rapide. Ce qui rend cette brèche particulièrement exploitable, c’est le contexte attaché à chaque fiche client.
L’outil compromis gérait les interventions techniques des techniciens fibre à domicile. Résultat : les données volées ne se résument pas à un annuaire. Elles incluent potentiellement le contexte d’installation, les rendez-vous passés, le statut de la ligne. Un fraudeur qui appelle en mentionnant votre adresse exacte, votre opérateur et une intervention fibre récente n’a rien d’un appel générique à ignorer. Il ressemble à un vrai appel de service client.
C’est précisément ce mécanisme que Bouygues Telecom décrit dans son e-mail d’alerte : un fraudeur pourrait « se faire passer pour un faux technicien dans le but d’obtenir des informations complémentaires comme votre numéro de carte bancaire, identifiant ou mot de passe ». La donnée brute ne vaut pas grand-chose. La donnée contextualisée, elle, ouvre des portes.
À cette menace s’ajoute le phénomène de croisement de bases. Les données issues de la fuite Bouygues Telecom peuvent être combinées avec celles d’incidents précédents — Free en 2024, SFR en septembre 2024, ou encore la cyberattaque Bouygues d’août 2025. Le profil ainsi reconstitué devient nettement plus complet et donc plus dangereux.
Fuite Bouygues Telecom : les 5 réflexes à adopter maintenant
Réflexe 1 — Vérifier si vous êtes directement concerné
Si vous avez reçu un e-mail officiel de Bouygues Telecom, la réponse est claire : oui. Si vous n’avez rien reçu mais que vous êtes ou étiez abonné fibre entre 2022 et 2026, vous pouvez contacter directement l’opérateur via son espace client ou son service client officiel pour obtenir une confirmation. Vous pouvez aussi utiliser l’outil Have I Been Pwned (haveibeenpwned.com) pour vérifier si votre adresse e-mail apparaît dans des bases compromises connues.
Ne contactez jamais l’opérateur en rappelant un numéro reçu dans un message. Utilisez uniquement les coordonnées disponibles sur le site officiel de Bouygues Telecom.
Réflexe 2 — Ne répondre à aucun contact entrant non sollicité
C’est le réflexe le plus difficile à tenir et le plus décisif. Un fraudeur cherche toujours à créer une urgence : une intervention fibre à confirmer, une ligne à sécuriser, un remboursement à valider. Le scénario change, le mécanisme reste le même. Dès qu’un appel, un SMS ou un e-mail évoque une démarche urgente liée à votre ligne ou à votre identité, la bonne réaction est d’interrompre l’échange et de rappeler vous-même le service concerné.
Cela vaut aussi pour les e-mails qui semblent venir de Bouygues Telecom : vérifiez l’adresse d’expédition exacte, ne cliquez sur aucun lien contenu dans le message. Les escrocs imitent parfois les communications officielles avec un niveau de fidélité troublant.
Réflexe 3 — Changer les mots de passe sur vos comptes sensibles
Les mots de passe n’ont pas été compromis dans cette attaque — l’opérateur l’a confirmé. Mais ce n’est pas une raison de ne rien changer. Si vous réutilisez le même mot de passe sur plusieurs services (messagerie, banque en ligne, espace client Bouygues), une fuite antérieure peut avoir déjà exposé ces identifiants. C’est le moment de mettre de l’ordre.
- Changez en priorité le mot de passe de votre espace client Bouygues Telecom, de votre messagerie principale et de vos applications bancaires.
- Utilisez des mots de passe différents pour chaque service. Un gestionnaire de mots de passe (Bitwarden, 1Password) simplifie ce travail.
- Activez la double authentification partout où elle est disponible — c’est une barrière supplémentaire que la plupart des tentatives d’intrusion ne franchissent pas.
Réflexe 4 — Surveiller vos relevés bancaires et alerter votre banque
Même si aucun IBAN n’a été exposé dans cette attaque — contrairement à la fuite d’août 2025 —, des données croisées avec d’autres incidents antérieurs pourraient permettre des tentatives de fraude bancaire. les recommandations de Cybermalveillance.gouv.fr sont claires à ce sujet : vérifiez régulièrement vos relevés et signalez à votre banque tout prélèvement non autorisé, en invoquant l’article L133-24 du Code monétaire et financier.
Vous pouvez aussi demander à votre banque de mettre votre compte sous surveillance renforcée, ou de restreindre les autorisations de prélèvement SEPA aux créanciers déjà connus. Cette mesure préventive ne coûte rien et peut éviter bien des complications.
Réflexe 5 — Signaler et, si nécessaire, déposer plainte
Si vous recevez une tentative d’arnaque exploitant vos données, signalez-la sur la plateforme Cybermalveillance.gouv.fr. Ce signalement alimente la veille nationale et permet d’identifier les campagnes en cours. En cas de préjudice avéré — fraude bancaire, usurpation d’identité, ouverture d’un compte à votre nom — deux voies s’offrent à vous.
La première : déposer une plainte au commissariat ou à la gendarmerie, ou directement auprès du procureur de la République. La seconde : saisir la CNIL sur signal.cnil.fr si vous estimez que Bouygues Telecom n’a pas répondu à vos droits ou a manqué à ses obligations de sécurité. La CNIL ne peut pas vous indemniser directement, mais une sanction à l’encontre de l’opérateur reste possible — Free en a fait l’expérience avec une amende de 42 millions d’euros en janvier 2026 pour un incident similaire.
Une série noire qui ne s’arrête pas
Cette cyberattaque n’est pas un accident isolé. Elle survient moins de neuf mois après une première attaque massive contre Bouygues Telecom, en août 2025, qui avait touché 6,4 millions de clients avec des IBAN exposés. Les opérateurs télécoms français accumulent les incidents depuis deux ans : SFR en septembre 2024, Free en octobre 2024, Orange en juillet 2025. Ce n’est pas une fatalité, mais c’est une réalité du secteur. Les volumes de données stockées par ces acteurs en font des cibles récurrentes.
Ce qui change avec la fuite de mai 2026, c’est la nature des données compromises. Un outil de gestion des interventions terrain, c’est une base opérationnelle. Les informations qu’elle contient sont directement exploitables pour monter des arnaques contextualisées. Le risque ne disparaîtra pas dans quelques semaines. Les données circulent, elles seront croisées, revendues, réutilisées. La vigilance doit s’inscrire dans la durée — pas seulement dans les jours qui suivent la révélation de l’incident.
FAQ — Fuite Bouygues Telecom : vos questions
Comment savoir si mes données ont été volées lors de la fuite Bouygues Telecom ?
Bouygues Telecom a envoyé des e-mails d’alerte aux abonnés directement concernés. Si vous n’avez rien reçu mais étiez client fibre entre 2022 et 2026, contactez le service client officiel via le site ou l’application Bouygues Telecom pour vérification. Le site haveibeenpwned.com permet aussi de contrôler si votre adresse e-mail figure dans une base compromise.
Mes données bancaires sont-elles en danger après cette fuite ?
Bouygues Telecom affirme que les coordonnées bancaires, numéros de carte et mots de passe n’ont pas été compromis dans cet incident de mai 2026. Le risque principal reste l’arnaque ciblée par téléphone, SMS ou e-mail, et non le prélèvement frauduleux direct. Une surveillance accrue des relevés bancaires reste conseillée par précaution, notamment si vous aviez aussi été touché par la fuite d’août 2025.
Je ne suis plus abonné à Bouygues Telecom depuis deux ans. Suis-je concerné ?
Peut-être. La base revendiquée par les hackers couvrirait une période de 2022 à avril 2026, ce qui signifie que d’anciens abonnés pourraient y figurer. Si vous avez souscrit un abonnement fibre durant cette période, vos données ont pu être conservées dans l’outil compromis. Restez vigilant face aux contacts non sollicités.
Que faire si je reçois un appel d’un soi-disant technicien Bouygues Telecom ?
Ne communiquez aucune information pendant l’appel. Raccrochez et rappelez vous-même Bouygues Telecom via le numéro affiché sur le site officiel ou dans votre espace client. Aucun technicien légitime ne vous demandera un code reçu par SMS, un mot de passe ou des informations bancaires lors d’un appel entrant non planifié par vos soins.
Puis-je obtenir réparation pour la fuite de mes données personnelles ?
Oui, sous certaines conditions. Si vous subissez un préjudice avéré — fraude, usurpation d’identité — vous pouvez déposer plainte et demander réparation sur le fondement de l’article 82 du RGPD. La CNIL peut être saisie si l’opérateur ne répond pas à vos demandes. Pour constituer un dossier, conservez tous les e-mails reçus, copies de signalements et preuves de tentatives frauduleuses.