CNIL vs Free/Free Mobile : 42 M€ pour une MFA trop faible sur le VPN

Le 13 janvier 2026, la CNIL a infligé 27 M€ à Free Mobile et 15 M€ à Free pour manquements à l’article 32 RGPD : authentification VPN insuffisamment robuste et détection inopérante, après une exfiltration affectant ~24,6 M de contrats. Voici la MFA résistante au phishing qui aurait évité l’essentiel.

Les faits

En octobre 2024, un attaquant s’est connecté au VPN de Free Mobile puis a pivoté vers Free. Entre le 6 octobre et la détection, des données liées à 24 633 469 contrats fixes et mobiles — dont des IBAN — ont été exfiltrées. À l’issue de plus de 2 500 plaintes, la CNIL a constaté que l’authentification aux VPN n’était « pas suffisamment robuste » et que la détection d’anomalies était inefficace. Le 13 janvier 2026, elle a prononcé 27 M€ d’amende contre Free Mobile et 15 M€ contre Free, en relevant aussi des lacunes d’information des personnes (art. 34) et, pour Free Mobile, de purge (art. 5‑1‑e). Source officielle : CNIL — sanction Free/Free Mobile et décisions SAN‑2026‑001 (Free Mobile) / SAN‑2026‑002 (Free). Une synthèse presse est également disponible : Le Monde.

Le cadre légal qui s’applique

La sanction repose d’abord sur l’article 32 RGPD : le responsable doit mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, notamment la « capacité à assurer la confidentialité, l’intégrité, la disponibilité », et des moyens permettant de « garantir la résilience des systèmes ». Concrètement, pour des données clients massives et sensibles (ex. IBAN), les autorités attendent une authentification forte résistante au phishing et une surveillance détectant les accès anormaux. Références : Eur‑Lex — RGPD art. 32, CNIL — Free/Free Mobile.

Pour les entités soumises à NIS 2 au Luxembourg, ces lacunes auraient aussi impliqué la gouvernance de l’article 21 (contrôles d’accès, surveillance) et l’alerte précoce en 24 h (art. 23). L’ILR rappelle ce jalon « endéans 24h » pour la notification préliminaire : ILR — FAQ NIS 2 et ILR — Notification d’incident.

La solution technique à déployer

MFA résistante au phishing (FIDO2/WebAuthn) pour les VPN/SSO

• Ce que c’est : des facteurs cryptographiques liés au matériel (clés de sécurité, passkeys device‑bound) et au domaine, empêchant l’Adversary‑in‑the‑Middle et les OTP réutilisables. Pas de code à saisir ni de SMS interceptables.
• Comment ça marche : lors de l’activation, un couple clé publique/clé privée est créé dans l’authentificateur. À chaque connexion, une attestation et une signature liées au domaine/au client VPN sont vérifiées côté serveur. Aucune donnée secrète ne transite, rendant l’hameçonnage et la collecte de codes inefficaces.
• En pratique VPN/SSO : on délègue l’authentification VPN à l’IdP (OIDC/SAML) avec policy FIDO2 obligatoire, on désactive TOTP/SMS, on impose l’enrôlement d’un second facteur FIDO2 de secours, et on segmente les accès admin avec approbation just‑in‑time.
• Contrôles apportés : prévention de la prise de compte (A.5.17/ISO 27001 : « informations d’authentification »), réduction du risque de mouvement latéral, journalisation probante des authentifications (A.8.16 : « surveillance »), alignement NIST SP 800‑63B et bonnes pratiques ENISA.

Compléments minimaux exigibles par l’article 32

• Surveillance en continu : collecte centralisée des journaux VPN/IdP/EDR, détection d’anomalies (localisation impossible, heuristiques de « impossible travel », connexions hors plage, échecs répétés), alertes corrélées (ISO 27001 A.8.16). Un SOC managé 24/7 permet d’orchestrer ces détections et escalades.
• Durcissement VPN : certification des clients, chiffrement fort, désactivation des comptes dormants, politiques de verrouillage, règles de geo‑fencing et d’IP allow‑listing adaptées.
• Moindre privilège : segmentation réseau, autorisations temporaires d’administration via PAM, révocation automatique à la fin des missions (ISO 27001 A.5.15/A.5.18).
• Purge : gouvernance des durées de conservation (art. 5‑1‑e RGPD) pour limiter l’impact d’une éventuelle exfiltration.

Comment Luxgap déploie cela

• Notre gouvernance ISO 27001 : ateliers « use‑cases accès à distance », cartographie des flux sensibles (dont IBAN), politique d’authentification cible, choix d’un IdP compatible WebAuthn, et matrice de risques/mesures (A.5.17, A.8.16). Nous fournissons les modèles de politiques et les preuves attendues par les autorités.
• Notre SOC managed 24/7 : intégration des logs IdP/VPN/EDR, règles de détection dédiées au VPN (anomalies d’heures/IP, MFA « step‑up » déclenché), procédures d’escalade et d’early warning NIS 2 dans les 24 h en coordination avec l’ILR/CERT‑LU.
• Nos consultants DPO et CISO externalisés : alignement juridique (art. 32 et 34 RGPD), modèles de notification CNPD/ILR, plan de communication et registres de preuves (journaux, tableaux de bord d’enrôlement FIDO2, revues d’accès trimestrielles).

Cas concret au Luxembourg ou en UE

Exemple : une société de services aux entreprises soumise à NIS 2 et opérant au Luxembourg et en Belgique a migré son accès distant en SSO+VPN avec MFA FIDO2 obligatoire pour tous les comptes à privilèges, puis pour l’ensemble des collaborateurs. En six semaines : enrôlement guidé des passkeys (clé matérielle + passkey mobile), bascule progressive des politiques d’accès, désactivation des OTP. Le SOC a connecté les journaux IdP et le concentrateur VPN pour corréler les échecs/alertes « impossible travel ». Résultat : tentatives de phishing VPN neutralisées, revue des accès simplifiée, et capacité démontrable à notifier sous 24 h avec pièces (journaux signifiants, chronologie d’incident, messages d’information conformes à l’art. 34).

Premiers pas concrets

1. Décider du standard MFA : valider FIDO2/WebAuthn comme méthode par défaut pour le VPN et l’IdP, et planifier la désactivation des OTP/SMS sur les accès externes.
2. Cartographier les accès distants : qui se connecte, à quoi, quand ? Lister les groupes à privilèges et les comptes dormants. Nettoyer avant d’enrôler.
3. Lancer un pilote passkeys : équipes IT+Finance+RH en premier, avec deux facteurs FIDO2 chacun (clé matérielle + passkey). Préparer un kit d’onboarding utilisateur.
4. Brancher les journaux : envoyer au SIEM les logs IdP, VPN, EDR. Créer des règles « early warning » (connexion hors zone, multi‑échecs, session longue, TOR/VPN grand public).
5. Préparer la notification : modèles d’emails conformes à l’art. 34, fiche de séquencement NIS 2 (24 h/72 h/1 mois), et registre de conservation pour limiter l’exposition.

Sources officielles

• CNIL — Violation de données : sanction de 42 M€ (Free Mobile/Free)
• CNIL — Délibération SAN‑2026‑001 (Free Mobile) et SAN‑2026‑002 (Free)
• Eur‑Lex — RGPD, article 32 (sécurité du traitement)
• ILR — NIS 2 : notification préliminaire dans les 24 h et ILR — Notification d’incident

Contactez-nous pour sécuriser votre VPN et votre SSO avec une MFA résistante au phishing.