Un nom, une adresse et un numéro de téléphone peuvent suffire à rendre un appel frauduleux très convaincant. C’est le risque soulevé par un pirate qui affirme avoir dérobé une vaste base de données attribuée à Solutions30, entreprise intervenant dans les télécommunications et l’énergie. Des clients d’Orange, de Bouygues Telecom ou des personnes liées à des installations Linky pourraient-ils être concernés ? Pour l’heure, rien ne permet de le confirmer. Les chiffres avancés viennent du pirate, et l’origine comme l’authenticité de la base restent à établir.

Le 12 octobre, un pirate utilisant le pseudonyme Syrv4x a annoncé la mise en vente d’une base de données de 34 Go qu’il attribue à Solutions30. Il revendique plus de 10,3 millions d’enregistrements, comprenant notamment des noms, des adresses postales, des numéros de téléphone et des adresses e-mail. Des références de clients, des informations sur des abonnements et des éléments liés à des interventions techniques figureraient également dans les fichiers présentés.  Le cybercriminel avance aussi des chiffres plus précis : près de 982 000 adresses e-mail uniques et environ 6,8 millions de numéros de téléphone distincts. Ces statistiques n’ont toutefois pas été vérifiées de manière indépendante. Surtout, 10,3 millions de fiches ne signifient pas 10,3 millions de personnes touchées. Une même personne peut apparaître plusieurs fois dans une base, par exemple à la suite de plusieurs abonnements, demandes d’intervention ou contrats. L’échantillon associé à la revendication montrerait des données personnelles et opérationnelles, mais il ne suffit pas à confirmer que tous les champs annoncés sont présents dans l’ensemble des fichiers. Il ne permet pas non plus de déterminer si la base est récente, si elle rassemble plusieurs sources ou si elle contient des informations anciennes. Ces distinctions comptent : une fiche issue d’une intervention passée ne signifie pas nécessairement que la personne est encore cliente de l’opérateur concerné.

Solutions30 intervient dans plusieurs secteurs, notamment les réseaux fixes et mobiles, les compteurs intelligents et les infrastructures électriques. Le groupe indique réaliser des déploiements, des installations et des opérations de maintenance auprès des utilisateurs finaux. Son site présente notamment Orange et Enedis parmi ses références dans les télécommunications et l’énergie. 

C’est ce rôle de terrain qui donne à cette revendication une portée particulière. Pour installer une box, intervenir sur une ligne ou assurer une opération liée à un compteur, un prestataire peut avoir besoin d’informations permettant d’identifier le client, de préparer un rendez-vous ou de retrouver un équipement. Ces données ne sont pas forcément détenues uniquement par l’opérateur ou le gestionnaire du réseau : elles peuvent aussi circuler dans les outils des entreprises chargées des interventions. Des noms d’entreprises et de projets associés à Orange, Bouygues Telecom ou Linky apparaîtraient dans les éléments publiés autour de la base. Mais leur présence ne prouve pas que les systèmes informatiques de ces acteurs ont été compromis. La revendication porte sur des données attribuées à Solutions30 ; elle ne confirme pas, à elle seule, un piratage d’Orange, de Bouygues Telecom ou d’Enedis.  Autre élément de contexte : Solutions30 a annoncé en septembre 2026 la sortie d’un contrat-cadre majeur dans les télécommunications en France, dans le cadre d’un recentrage de ses activités. Cela ne permet pas de dater les données revendiquées, mais rappelle qu’une base peut contenir des archives ou des informations liées à d’anciens contrats. La période couverte par les fichiers reste donc une question importante.

Selon les informations rapportées autour de cette revendication, Syrv4x affirme avoir exploité une faille de type IDOR. Ce type de vulnérabilité apparaît lorsqu’une application ne vérifie pas correctement les droits d’accès à une ressource : un utilisateur pourrait, par exemple, accéder à une fiche qui ne lui appartient pas en modifiant un identifiant dans une requête. Le pirate dit avoir extrait les données en un ou deux jours et avoir été repéré le 12 octobre. Ces éléments restent ses propres déclarations : ils ne décrivent pas, à ce stade, un scénario confirmé par l’entreprise ou par une enquête indépendante.  Le mode d’accès compte autant que le volume annoncé. Une faille dans une application de gestion, un accès mal protégé ou une base exposée peuvent conduire à des incidents différents et appeler des réponses différentes. Or l’échantillon rendu public ne permet pas de savoir quel système aurait été touché, comment les données auraient été extraites ni si la totalité de la base revendiquée provient d’une seule source.

Si les coordonnées et les informations opérationnelles sont authentiques, elles pourraient faciliter des tentatives d’hameçonnage ciblées. Un fraudeur qui connaît une adresse, un ancien rendez-vous ou le type d’équipement installé peut construire un SMS ou un appel plus convaincant qu’un message envoyé au hasard. Il pourrait se présenter comme un technicien, annoncer un passage à domicile ou prétendre qu’un problème affecte la connexion Internet ou le compteur électrique. Ce risque demeure hypothétique : aucun élément présenté ne prouve que les informations ont déjà été utilisées dans une campagne d’escroquerie. Mais la prudence est justifiée face aux sollicitations inattendues qui demandent de régler des frais, de cliquer sur un lien, de communiquer un mot de passe ou de transmettre un code reçu par SMS. En cas de doute, mieux vaut contacter l’opérateur ou le prestataire en utilisant les coordonnées indiquées sur son site ou dans l’espace client, et non celles fournies dans le message suspect. À ce stade, rien dans les informations disponibles ne permet d’affirmer que des mots de passe ou des coordonnées bancaires figurent dans les données revendiquées. Il n’y a donc pas lieu de conclure qu’ils ont été exposés. La nature exacte des informations et leur authenticité doivent d’abord être établies.

Plusieurs questions restent ouvertes : la base provient-elle réellement des systèmes de Solutions30 ? Les fichiers sont-ils complets et récents ? Combien de personnes distinctes pourraient être concernées ? Les données correspondent-elles à des interventions en cours, à d’anciens contrats ou à plusieurs ensembles regroupés ? Les chiffres publiés par le pirate ne répondent pas à ces questions. L’incident rappelle néanmoins un enjeu de fond pour les grands opérateurs et les entreprises de services : la protection des données ne s’arrête pas aux systèmes de leur propre marque. Elle dépend aussi des accès accordés aux partenaires, des informations conservées après une intervention et des contrôles appliqués aux outils qui permettent de consulter les dossiers clients. Une faille chez un prestataire peut ainsi exposer des informations utiles à des fraudeurs sans qu’il y ait, pour autant, piratage du réseau de l’opérateur.

La suite dépendra donc moins du chiffre spectaculaire de 10,3 millions que de la vérification de la base, de son origine et de la période qu’elle couvre. Tant que ces éléments ne sont pas établis, les clients d’Orange, de Bouygues Telecom ou les foyers équipés d’un compteur Linky ne peuvent pas savoir s’ils sont concernés. Le bon réflexe reste de traiter avec prudence les demandes inhabituelles et d’attendre des informations confirmées sur le périmètre réel de l’incident. Pour suivre l’affaire, les éléments les plus utiles seront une confirmation de Solutions30, des précisions des opérateurs et gestionnaires concernés, ainsi qu’une analyse indépendante des fichiers. Les organismes de référence en cybersécurité et en protection des données, comme l’ANSSI et la CNIL, pourront également apporter des éclairages si l’incident est confirmé.