Γαλλία: Πρόστιμο στη Free Mobile για την παραβίαση δεδομένων του 2024

Η γαλλική αρχή προστασίας δεδομένων CNIL επέβαλε συνολικά πρόστιμα ύψους 42 εκατομμυρίων ευρώ στη Free Mobile και τη μητρική της εταιρεία Free, στέλνοντας ένα σαφές μήνυμα προς τον κλάδο των τηλεπικοινωνιών: η ελλιπής προστασία προσωπικών δεδομένων δεν θα γίνεται ανεκτή. Η υπόθεση αφορά σοβαρή παραβίαση δεδομένων που σημειώθηκε τον Οκτώβριο του 2024 και επηρέασε δεκάδες εκατομμύρια συνδρομητές.

Η Free αποτελεί τον δεύτερο μεγαλύτερο πάροχο υπηρεσιών διαδικτύου στη Γαλλία, γεγονός που καθιστά το περιστατικό ιδιαίτερα κρίσιμο τόσο σε επίπεδο εμπιστοσύνης των καταναλωτών όσο και σε επίπεδο εθνικής ψηφιακής ασφάλειας.

Δείτε επίσης: Betterment: Hackers απέκτησαν πρόσβαση σε εσωτερικά συστήματα

Η κυβερνοεπίθεση που εξέθεσε 23 εκατομμύρια συνδρομητές

Σύμφωνα με τα στοιχεία της έρευνας, χάκερ κατάφεραν να αποκτήσουν πρόσβαση σε εσωτερικό εργαλείο διαχείρισης της εταιρείας, αποσπώντας ευαίσθητες πληροφορίες πελατών κινητής και σταθερής τηλεφωνίας. Η παραβίαση οδήγησε στη διαρροή δεδομένων σχεδόν 23 εκατομμυρίων χρηστών.

Τα κλεμμένα δεδομένα εμφανίστηκαν προς πώληση σε φόρουμ του dark web από λογαριασμό με το ψευδώνυμο «drussellx». Ο δράστης υποστήριξε ότι η επίθεση επηρέασε 19,2 εκατομμύρια άτομα, ενώ περίπου το 25% των εγγραφών φέρεται να περιλάμβανε τραπεζικά στοιχεία τύπου IBAN — ένα ιδιαίτερα ανησυχητικό εύρημα με σοβαρές συνέπειες για την οικονομική ασφάλεια των θυμάτων.

Τα λάθη της Free και οι παραβιάσεις του GDPR

Παρότι η Free προχώρησε σε ενίσχυση των μηχανισμών κυβερνοασφάλειας μετά το περιστατικό, η CNIL έκρινε ότι η προγενέστερη αμέλεια συνιστά σαφή παραβίαση του Γενικού Κανονισμού για την Προστασία Δεδομένων (GDPR). Η έρευνα ξεκίνησε έπειτα από περισσότερες από 2.500 καταγγελίες πολιτών που επηρεάστηκαν άμεσα.

Δείτε επίσης: Monroe University: Η παραβίαση δεδομένων του 2024 επηρεάζει 320.000 άτομα

Η γαλλική αρχή εντόπισε τρεις βασικούς άξονες παραβάσεων. Πρώτον, ανεπαρκή τεχνικά και οργανωτικά μέτρα ασφάλειας, όπως αδύναμο έλεγχο ταυτότητας VPN για απομακρυσμένη πρόσβαση εργαζομένων και ελλιπή μηχανισμό ανίχνευσης ύποπτης δραστηριότητας. Δεύτερον, ανεπαρκή ενημέρωση των χρηστών, καθώς τα email ειδοποίησης δεν εξηγούσαν με σαφήνεια τους κινδύνους ούτε παρείχαν πρακτικές οδηγίες προστασίας. Τρίτον, υπερβολική διατήρηση προσωπικών δεδομένων πρώην συνδρομητών, πέραν του χρονικού ορίου που δικαιολογείται από λογιστικές ή νομικές υποχρεώσεις.

Υποχρεωτικά μέτρα και στενά χρονικά περιθώρια

Η CNIL δεν περιορίστηκε στην επιβολή προστίμων. Διέταξε τη Free και τη Free Mobile να εφαρμόσουν πλήρως τα νέα μέτρα ασφαλείας εντός τριών μηνών, ενώ η Free Mobile οφείλει μέσα σε έξι μήνες να προχωρήσει σε ταξινόμηση και διαγραφή των περιττών δεδομένων πελατών.

Η υπόθεση αναδεικνύει πόσο κρίσιμη είναι η αρχή της ελαχιστοποίησης δεδομένων, μία από τις πιο συχνά παραμελημένες απαιτήσεις του GDPR από μεγάλους οργανισμούς.

Δείτε επίσης: Νοσοκομείο AZ Monica: Servers εκτός σύνδεσης λόγω κυβερνοεπίθεσης

Κλιμάκωση περιστατικών στις γαλλικές τηλεπικοινωνίες

Το περιστατικό της Free δεν αποτελεί μεμονωμένο γεγονός. Μετά την επίθεση, η Γαλλία βρέθηκε αντιμέτωπη με κύμα κυβερνοεπεισοδίων στον τηλεπικοινωνιακό τομέα. Τον Ιούλιο του 2025, η Orange France ανακοίνωσε παραβίαση που προκάλεσε λειτουργικές διαταραχές στα συστήματά της. Ένα μήνα αργότερα, η Bouygues Telecom αποκάλυψε διαρροή δεδομένων 6,4 εκατομμυρίων πελατών.

Η συσσώρευση αυτών των περιστατικών ενισχύει τον προβληματισμό για την ανθεκτικότητα κρίσιμων ψηφιακών υποδομών και επιβεβαιώνει ότι η κυβερνοασφάλεια δεν αποτελεί πλέον τεχνικό ζήτημα, αλλά βασικό πυλώνα εταιρικής ευθύνης και δημόσιας εμπιστοσύνης.

Πηγή: www.bleepingcomputer.com