Free Mobile e Free: dati di abbonati esposti da un attacco informatico
- Paese
- Francia
- Autorità
- CNIL
- Soggetto
- FREE MOBILE and FREE
- Settore
- Telecomunicazioni
- Notizia dell'EDPB
- 2 febbraio 2026
- Misure decise
-
- Sanzione pecuniaria
Sintesi della decisione
Nell'ottobre 2024 un attaccante ha avuto accesso al sistema informativo delle due società, esponendo dati personali relativi a 24 milioni di contratti di abbonamento, compresi gli IBAN. La CNIL, dopo oltre 2.500 reclami e un'ispezione, ha rilevato violazioni dell'articolo 32 GDPR (autenticazione VPN non sufficientemente robusta e misure di rilevamento dei comportamenti anomali inefficaci), dell'articolo 34 GDPR (email agli interessati priva di informazioni necessarie) e, nel caso di Free Mobile, dell'articolo 5, par. 1, lett. e) GDPR per la mancata cancellazione dei dati degli ex abbonati non più necessari. L'autorità ha irrogato a Free Mobile una sanzione amministrativa pecuniaria e a Free una sanzione di importo inferiore, tenendo conto della capacità finanziaria, del numero di persone coinvolte e della natura dei dati.
Un attacco che espone IBAN e dati contrattuali richiede misure di autenticazione robuste per l'accesso remoto, un monitoraggio efficace delle anomalie e comunicazioni ai clienti complete e comprensibili, con indicazione concreta delle azioni di autodifesa.
Casi simili in Italia
- SanzioneWind Tre S.p.A.
Anche in questo caso le violazioni riguardano misure di sicurezza inadeguate e gestione insufficiente degli accessi ai sistemi, in violazione degli articoli 5 e 32 GDPR.
Fonti
- Notizia del Comitato europeo per la protezione dei dati (EDPB) ↗ “Data breach: FREE MOBILE and FREE fined EUR 42 000 000”, in inglese
AISintesi generata con intelligenza artificiale e rivista prima della pubblicazione
Questa è una sintesi indipendente in italiano della notizia pubblicata dall'EDPB, non una traduzione ufficiale né un documento dell'autorità che ha deciso. Per il testo autentico fa fede la decisione originale. Progetto indipendente, non affiliato al Garante né all'EDPB.