Beaucoup d'utilisateurs conservent, par habitude, l'adresse e-mail fournie par leur opérateur internet. Cette pratique crée pourtant une double dépendance : contractuelle, l'accès à cette messagerie restant soumis aux conditions du fournisseur, et sécuritaire, la boîte mail étant exposée aux mêmes risques que l'ensemble du système d'information de l'opérateur. Plusieurs incidents récents chez les principaux opérateurs français illustrent concrètement ces risques.
Ouvrir une ligne internet ou un forfait mobile s'accompagne presque toujours d'une adresse e-mail « offerte » : @orange.fr, @sfr.fr, @free.fr, @bbox.fr... Beaucoup d'utilisateurs continuent de s'en servir au quotidien, des années après la souscription, sans jamais s'interroger sur ce que cette habitude implique réellement. Cette adresse n'a pourtant rien d'anodin : elle reste juridiquement et techniquement rattachée à un contrat commercial, avec des conséquences bien concrètes en cas de changement d'opérateur ou d'incident de sécurité.
Contrairement à une adresse ouverte auprès d'un service de messagerie indépendant, celle fournie par un fournisseur d'accès à internet (FAI) reste attachée au contrat commercial qui l'a créée. La loi encadre précisément ce point : l'article L44-1 du code des postes et des communications électroniques oblige les FAI, en cas de changement de fournisseur, à maintenir gratuitement l'accès au courrier reçu sur cette adresse pendant six mois après la résiliation. Passé ce délai, l'opérateur reste libre de prolonger l'accès, de le facturer, ou de supprimer purement et simplement la boîte et son contenu.
Certains opérateurs communiquent sur la possibilité de conserver l'adresse « à vie », mais cette promesse reste conditionnée au respect de leurs conditions d'utilisation et à un usage régulier du compte : une boîte laissée inactive peut être désactivée. Dans tous les cas, l'utilisateur reste en position de dépendance vis-à-vis d'une entreprise dont l'offre commerciale, la politique de conservation des données, voire l'existence même, peuvent évoluer indépendamment de sa volonté.
Au-delà de la dépendance contractuelle se pose une question de concentration du risque. Une adresse e-mail liée à un FAI n'est pas qu'une simple boîte de réception : elle est associée, dans les systèmes de l'opérateur, à l'identité complète de l'abonné (nom, coordonnées bancaires pour la facturation, historique de contrat, données techniques de connexion). Une faille affectant l'opérateur expose donc potentiellement, d'un seul coup, l'ensemble de ces informations.
Les deux dernières années illustrent concrètement ce risque pour les principaux opérateurs français. En octobre 2024, une cyberattaque a permis à un pirate d'accéder aux données personnelles liées à 24 millions de contrats d'abonnés Free et Free Mobile, IBAN compris pour les clients à la fois abonnés aux deux marques. En janvier 2026, la CNIL a sanctionné les deux sociétés à hauteur de 42 millions d'euros au total, relevant notamment une procédure d'authentification VPN insuffisamment robuste et des dispositifs de détection des comportements anormaux jugés inefficaces au moment des faits.
SFR a connu une trajectoire comparable : une première fuite en septembre 2024, touchant environ 50 000 dossiers clients via la vulnérabilité d'un outil utilisé par un partenaire, une seconde en novembre 2024 concernant 3,6 millions d'abonnés dont les données ont été publiées gratuitement sur Telegram, puis un nouvel incident détecté début juillet 2026 affectant des abonnés fibre, RED by SFR compris. Bouygues Telecom n'a pas non plus été épargné, avec une fuite ayant exposé 6,4 millions de clients en août 2025, suivie d'une nouvelle intrusion confirmée début 2026 via un outil interne de gestion des interventions.
Ces incidents ne remettent pas en cause la compétence des équipes techniques des opérateurs, engagées dans une course permanente contre des attaquants de mieux en mieux organisés. Ils rappellent en revanche une réalité structurelle : plus une organisation concentre de données sensibles sur un grand nombre de clients, plus elle devient une cible prioritaire, et plus les conséquences d'une intrusion sont lourdes pour chaque abonné pris individuellement.
Le risque ne s'arrête pas à la fuite elle-même. Les données dérobées lors de ces incidents (nom, adresse e-mail, numéro de téléphone, type d'offre souscrite) permettent aux attaquants de construire des campagnes d'hameçonnage (phishing) particulièrement crédibles. Après la fuite chez Free, plusieurs vagues de courriels frauduleux ont ainsi exploité la base de données dérobée pour piéger des abonnés en se faisant passer pour l'opérateur lui-même, avec un niveau de personnalisation rendant la fraude difficile à repérer pour un utilisateur non averti.
C'est ici que la dépendance devient un facteur aggravant : lorsque l'adresse e-mail utilisée au quotidien est précisément celle gérée par l'opérateur touché par la fuite, l'utilisateur reçoit les messages frauduleux sur la boîte même dont les identifiants viennent d'être exposés, ce qui brouille davantage la frontière entre communications légitimes et tentatives de fraude.
La recommandation qui découle de ces constats est simple dans son principe, plus progressive dans sa mise en œuvre : dissocier son identité numérique de son fournisseur d'accès à internet. Concrètement, cela suppose de :
Cette dissociation ne supprime pas tout risque, mais elle réduit un point de défaillance unique et redonne à l'utilisateur la maîtrise de son identité numérique, indépendamment des aléas commerciaux ou sécuritaires de son fournisseur d'accès.