Freeは2400万人の顧客の銀行口座情報を必要以上に長く保持していた。侵害による代償は4200万ユーロ。

2024年10月、攻撃者がグザビエ・ニエルのイリアド・グループの通信事業2社、FreeとFree Mobileの情報システムに侵入し、2400万件の加入契約の個人データに到達した。これには両サービスを利用していた顧客の銀行口座番号（IBAN）も含まれていた。フランスの消費者向けブランドとしては最大級の侵害の一つだった。これらの顧客のうち2500人以上がデータ保護監督機関であるCNILに苦情を申し立てた。

CNILは2026年1月13日の決定で、両社に合計4200万ユーロの制裁金を科した。Free Mobileに2700万ユーロ、Freeに1500万ユーロである。監督機関の認定はハッキング自体にとどまらなかった。Free Mobileは、保持する正当な理由をはるかに超えて数百万件の加入者記録を長期間保持しており、データは必要な期間だけ保持すべきとするGDPRの規則に違反していたとCNILは指摘した。蓄積が大きければ大きいほど、侵害の規模も大きくなる。

セキュリティ上の欠陥は具体的だった。システムへのアクセスに使われていたVPNの認証が十分に堅牢でなかった。異常な挙動を検知するためのツールが機能していなかった。機密性を保護する措置が不十分だった。つまり、データは過剰に収集され、かつ十分に守られていなかったのである。

そして、これを単なるIT上の失敗ではなくブランドの失敗にした部分がある。CNILは、侵害を顧客に通知するFreeのメールに、人々が必要とする情報が欠けていたと認定した。すなわち、影響を理解し、身を守るために何をすべきかを顧客が理解できる内容になっていなかった。2400万人の顧客の銀行口座情報を保持しながら、何が奪われたかを明確に伝えられない企業は、ファイアウォールだけでなく、顧客との関係においても失敗したのである。

CNILは、過剰な保持、脆弱なセキュリティ、そして顧客に必要な指針を与えない侵害通知メールを理由に、FreeとFree Mobileに合計4200万ユーロの制裁金を科した。

データは過剰に収集され、過剰に保持されていた。Free Mobileは保持する正当性のない数百万件の記録を保管していたため、攻撃者が侵入したとき、設計上、被害は甚大だった。

基本的なセキュリティは脆弱なまま放置されていた。認証が不十分なVPNと機能しない監視が扉を開けたままにしており、この侵害は高度なものというより、無防備なものだった。

通知は顧客に対して失敗していた。侵害メールは、リスクを理解し身を守るために人々が必要とする情報を欠いており、セキュリティ上の事故を信頼上の事故に変えてしまった。

監督機関はデータの管理をブランドの義務として扱った。CNILは、セキュリティ、保持、開示という失敗全体を4200万ユーロと評価した。顧客データを保持することは、顧客の信頼を保持することなのである。

必要な顧客データだけを収集し、不要になったら削除し、残ったものを守ること。なぜなら、今や監督機関は情報漏えいを事故ではなく、顧客との関係の侵害として値付けするからである。

2026年1月13日のCNILの2件の決定は合計4200万ユーロに達し、フランスのデータ保護制裁としては比較的大きな部類に入り、影響を受けた加入者からの2500件以上の苦情を受けてのものだった。既存事業者の価格を下回ることで築かれたブランドを持つFreeにとって、この決定はその規模に別種のコストを結びつけた。契約する顧客が増えるほど、そのデータが露出したときに負う責任も大きくなるのである。