Usurpation d'identité pour l'abonnement « Freebox »

[htiss (Auteur du topic)]

Bonjour,

Je suis abonné depuis des années chez Free: box et téléphone portable.

J’ai donc un numéro de téléphone fixe Freebox : 09 51 xx xx xx.

Pour me connecter à ma Freebox, je mets mon login (=mon numéro de téléphone) et un mot de passe. J’ai aussi indiqué à Free un mail de contact : xxx@free.fr et un numéro de téléphone 06 xx xx xx xx.

Dimanche 3/9/2023, dans l’après midi, je reçois sur mon portable un SMS me disant :
« Vous avez demandé à changer votre mail de contact, cliquez ici pour confirmer »
Le lien venait bien de free.fr
Surpris, j’ouvre cette page et je clique sur « je refuse de changer mon email de contact ».
Une nouvelle page s’ouvre et je clique sur « Je confirme que je refuse de changer mon email de contact ».

Lundi matin 4/9/2023, j’appelle le service client Free qui me dit constater que effectivement, il y a eu une demande de changement de mail de contact a été faite et qu’elle a été refusée. Je pense que le problème est réglé.

L’après midi, je reçois d’autres SMS me demandant de confirmer un changement d’adresse mail de contact. J’ignore ces SMS. Je me dis, que le pirate essaie de me piéger, en espérant que je vais cliquer sur « oui » au lien de « non ».

Mardi matin 5/9/2023, je téléphone au service client de Free, et on me répond qu’effectivement mon adresse mail de contact a été changée par une adresse mail ti4XXXX@Gmail.com. J’essaie immédiatement de me connecter sur ma Freebox (numéro de téléphone, mot de passe) : impossible, le mot de passe a été changé. Toujours en ligne avec le service client Free, je leur demande comment est-ce possible.

Le type que j’ai en ligne, bien sympa mais bien embêté, m’avoue a demi mot que sans doute, ça a été fait eu téléphone par un pirate malin qui a réussi a convaincre son interlocuteur de sa bonne foi. Il me dit aussi qu’il ne peut rien faire pour moi et qu’il va remonter l’affaire à ses chefs.

Mercredi matin 6/9/2023 je rappelle Free et on me dit qu’on va réinitialiser ma Freebox avec mon ancienne adresse mail de contact (@free.fr) et m’envoyer un nouveau mot de passe. Jeudi matin, on me dit que c’est en cours, mais que tout le monde est très occupé chez Free. Du coup, ma Freebox est éteinte depuis lundi.

Je me pose la question suivante :
- Que peut faire un pirate avec un login/mot de passe d’une Freebox, à part changer le mot de passe Wifi et supprimer mes pages perso (j’ai plusieurs sites en XXXXX.free.fr) ?

- Que feriez-vous à ma place ?

Bonne Journée à ceux qui m’ont lu jusqu’au bout.

[franki06]

Ton mot de passe est très différent de ceux des autres sites que tu visites (c'est ce qu'il faut faire, mais que beaucoup ne font pas, et ont un MDP unique pour plusieurs sites) ? Sinon, changes tes MDP.

Ensuite, ton RIB est en clair sur ton espace client... est ce qu'ils peuvent en faire quelque chose, je ne pense pas, mais peut être signaler ce piratage a ta banque, qu'ils fassent le nécessaire (et ça t'assure que c'est la faute de ta banque si les pirates réussissent a faire quelque chose sur ton compte).

[Renard des ondes]

[Renard des ondes]

[chrispas]

Bonsoir,

mon ex identifiant est (était) aussi mon N° de téléphone, c'est le cas pour les anciens abonnés. Au passage à la Fibre j'ai eu un N° en fbx, mais celui de mon N° de téléphone fonctionne toujours.

Je ne sais plus pour quelles applications, mon fbx n'est pas reconnu et il faut que je me connecte avec mon N° de téléphone.

[Renard des ondes]

C'est plus que moyen le numéro de téléphone comme ID et le RIB en clair sur l'espace abonné...

J'avais jamais fait attention à ça, et il me semble que les moyens de paiement ne sont pas en clair sur l'espace abonné Free Mobile.

[el_maestro59]

[chrispas]

Bonjour,

via l'interface de gestion abonné > Mon abonnement > Consulter/Modifier mon compte bancaire pour les prélèvements > le BIC et l'IBAN sont en clairs > Afficher votre mandat SEPA et là tu as tout: Nom, Prénom, coordonnées bancaires, Adresse et l'identifiant Freebox.

Très peu rassurant tout ça.

[thorontor]

Quel dommage que Free ne mette pas en place le MFA pour accéder à ces données aussi sensible...

[brunom]

[Renard des ondes]

[CurtisNewton]

Bonjour,

Plus de nouvelles...

Et si il y a eu une demande par SMS de confirmation pour le changement d'email, le pirate est rentré dans l'Espace Abonné.

[Busyspider]

Bonjour

Renseignement pris, quelques précisions !

Les informations bancaires sont visibles uniquement depuis la ligne de l'abonné. Sinon, l'IBAN est partiellement masqué et le mandat inaccessible. Donc dans le cas présent, le changement d'email de contact (par un pirate) ne permet pas d'accéder aux infos bancaires.

Par contre à vous de bien sécuriser votre accès espace abonné, avec un mot de passe Ultra robuste et unique (à ne pas re-utiliser pour un autre compte).

Et un email spécifique, là aussi unique pour contact, çà va minimiser les risques et à éviter vos nom-prenom en email:

1 email - 1 compte = 1 mot de passe à usage unique par site.
_________________

:: La Toile de Busyspider - Tutoriels - Aide Free - Freebox - xDSL - Fibre optique ::

[CurtisNewton]

Bonjour,

Bien ! C'est comme quand avec Free Mobile, on était connecté automatiquement à l'Espace Abonné, sauf que là, c'est "l’inverse".

Il faut juste qu'il n'y ait pas de bugs sur cette fonction... Faudrait tester depuis une autre ligne...

Donc, le pirate est bien rentré dans son Espace Abonné !

[Renard des ondes]

Effectivement, depuis un partage de connexion, le RIB est partiellement masqué... Ouf !

Vu l'heure de mon message plus haut, je devais être en Wifi sur ma box pour avoir vu le RIB in extenso.