Free 持有 2400 萬名客戶的銀行資料過久。一次外洩讓它付出 4200 萬歐元代價。

2024 年 10 月，一名攻擊者入侵了 Xavier Niel 旗下 Iliad 集團兩家電信公司 Free 與 Free Mobile 的資訊系統，觸及 2400 萬份訂戶合約的個人資料——包括同時使用兩項服務之客戶的銀行帳號（IBAN）。這是法國消費品牌歷來最大規模的資料外洩事件之一。其中超過 2,500 名客戶向資料保護主管機關 CNIL 投訴。

CNIL 於 2026 年 1 月 13 日作出裁決，對兩家公司合計罰款 4200 萬歐元——Free Mobile 2700 萬歐元，Free 1500 萬歐元。監管機關的認定不限於駭客入侵本身。CNIL 指出，Free Mobile 將數百萬筆訂戶紀錄保存得遠超過任何正當理由所需，違反 GDPR 僅在必要期間內保存資料的規定。囤積越多，外洩規模就越大。

安全缺失相當具體。用於存取系統的 VPN 身分驗證不夠嚴謹；用來偵測異常行為的工具並未發揮作用；保護機密性的措施不足。換句話說，資料既被過度蒐集，又未受到充分保護。

接著是讓此事成為品牌信任危機、而非單純 IT 事故的部分。CNIL 認定，Free 通知客戶外洩的電子郵件漏掉了人們所需的資訊——未能讓客戶了解後果，或知道該如何保護自己。一家持有 2400 萬名客戶銀行資料、卻無法清楚告知客戶哪些資料遭竊的公司，是在客戶關係上失職，而不只是防火牆失守。

CNIL 因過度保存、安全防護薄弱，以及外洩通知信未提供客戶所需指引，對 Free 與 Free Mobile 合計罰款 4200 萬歐元。

資料被過度蒐集且過度保存。Free Mobile 保存了數百萬筆毫無正當理由持有的紀錄，因此當攻擊者入侵時，遭竊資料量在設計上就極為龐大。

基本安全防護遭到輕忽。身分驗證不足的 VPN 與失效的監控形同門戶洞開；這起外洩與其說手法高明，不如說毫無阻礙。

通知作業辜負了客戶。外洩通知信省略了人們了解風險與自我保護所需的資訊，使安全事件演變成信任事件。

監管機關將資料管理視為品牌義務。CNIL 對整體失職——安全、保存與揭露——開罰 4200 萬歐元：持有客戶資料，就是承擔客戶的信任。

只蒐集你需要的客戶資料，不需要時就刪除，並保護好留下的資料——因為監管機關如今將資料外洩定價為對客戶關係的破壞，而非單純的意外。

CNIL 於 2026 年 1 月 13 日作出的兩項裁決合計 4200 萬歐元，屬於法國資料保護罰款中金額較高者，且是在超過 2,500 名受影響訂戶投訴後作出。對以低價挑戰既有業者起家的 Free 而言，這項裁決為其規模附加了另一種代價：簽下越多客戶，當他們的資料暴露時，欠下的就越多。