Groot datalek bij SFR treft ruim twee miljoen klantgegevens

De Franse telecomprovider SFR heeft officieel bevestigd dat bij een cyberaanval op 2 juli 2026 gegevens van mogelijk meer dan twee miljoen klanten zijn buitgemaakt. Volgens SFR zijn vooral abonnees op het glasvezelnetwerk getroffen door het datalek. Het telecombedrijf heeft betrokken klanten inmiddels schriftelijk op de hoogte gebracht.

Nieuwe stand van zaken op 20 augustus 2026:

Uit aanvullend onderzoek blijkt dat de cyberaanval specifiek gericht was op een intern analysetool voor het beheer van glasvezelaansluitingen. SFR ontdekte het incident op 2 juli via hun beveiligingsteams en heeft direct de toegang tot het getroffen systeem afgesloten en extra beveiligingsmaatregelen doorgevoerd. Het datalek leidde tot tijdelijke toegankelijkheid van adressen, e-mailadressen en telefoonnummers van getroffen klanten, maar wachtwoorden en bankgegevens zijn volgens SFR niet geraakt.

Het incident is niet alleen gemeld bij de Franse privacywaakhond CNIL, maar SFR heeft bovendien aangifte gedaan bij de Procureur de la République, de Franse officier van justitie. Dit bevestigt de ernst van het incident ook op juridisch vlak. SFR heeft sinds 20 augustus brieven verstuurd naar getroffen klanten waarin deze stappen officieel worden medegedeeld.

Verantwoordelijkheid voor de aanval werd medio juli opgeëist door hackersgroep ZéroBytes, dezelfde groep die recentelijk de Franse belastingdienst (DGFiP) zou hebben aangevallen. Hoewel deze groep claimt interne tools te hebben gehackt en gegevens van ruim 2,1 miljoen klanten te bezitten, benadrukt SFR dat de omvang van het gelekte klantenbestand niet onafhankelijk is vastgesteld. Er blijven dus onzekerheden bestaan, maar het telecombedrijf stelt alles in het werk om verdere schade te beperken.

Waarom dit relevant is: Nederlandse inwoners en bezoekers van Frankrijk maken veel gebruik van SFR voor internet, mobiel en vaste aansluiting. Ook tweede-woningbezitters kunnen hierdoor geraakt zijn. Gezien het type gelekte gegevens loopt men vooral risico op phishing en misbruik van contactinformatie. Details over de precieze omvang en gevolgen blijven onderwerp van onderzoek.