Par
En bref : par quoi commencer ?
La première chose à faire n'est ni de changer de mot de passe, ni de changer d'opérateur : c'est de savoir quelles données vous concernant ont fuité. Une fuite de coordonnées expose à du faux message ; une fuite contenant le numéro de carte SIM et le code PUK expose à la perte de votre ligne — donc, en Belgique, à la perte de votre itsme et de votre banque en ligne.
L'article 15 du RGPD vous donne le droit d'exiger ce détail, avec un mois pour vous répondre ; ensuite, l'Autorité de protection des données reçoit votre plainte. Méfiez-vous surtout du deuxième temps : un appel qui cite votre vraie fuite pour vous faire valider une demande itsme est la fraude la plus coûteuse observée ici.
Le réflexe que personne n'a
La seule mesure existante de ce que font les gens prévenus d'une fuite est française : une enquête Ipsos pour Cybermalveillance.gouv.fr, menée du 13 au 18 mai 2026 auprès de 2 000 personnes. 45 % d'entre elles ont été prévenues d'une fuite dans l'année, contre 30 % l'année précédente, et la plupart ont réagi : 59 % par plus de méfiance, 53 % par un changement de mot de passe, 44 % en surveillant leur compte bancaire.
Mais seules 13 % ont demandé à l'organisme quelles données étaient concernées. Neuf personnes sur dix agissent donc sans savoir contre quoi elles se protègent : elles changent un mot de passe quand la fuite n'en contenait aucun, et laissent leur numéro de GSM à découvert quand c'est lui qui a fuité. Côté belge, l'Autorité de protection des données a reçu 1 216 notifications de violations en 2025 et 1 394 plaintes de citoyens, soit 67 % de plus qu'en 2024 — et chaque notification concerne un fichier, pas une personne.
Pourquoi la question se pose autrement ici
En Belgique, itsme fonctionne avec une carte SIM belge. Perdre le contrôle de son numéro n'y est pas une gêne : c'est risquer de perdre l'accès à son banking en ligne, à MyMinfin et à tous les services publics numériques. Et les deux plus grosses fuites belges récentes sont justement des fuites d'opérateur.
Deux fuites belges, deux risques qui n'ont rien à voir
Les deux incidents les plus commentés du marché belge sont des fuites d'opérateur, et c'est ce qui rend la comparaison utile : ils se lisent comme la même nouvelle et n'exposent pas aux mêmes conséquences. La ligne décisive n'est pas le nombre de personnes touchées : c'est la présence, ou non, du numéro de carte SIM et du code PUK.
| Incident | Données concernées | Données non concernées | Risque principal |
|---|---|---|---|
| Orange Belgium Intrusion détectée fin juillet 2025, annoncée le 20 août 2025 — 850 000 comptes |
Nom, prénom, numéro de téléphone, numéro de carte SIM, code PUK, plan tarifaire. | Mots de passe, adresses e-mail, données bancaires et financières. | Détournement de la ligne : SIM swap et portage frauduleux du numéro. |
| Proximus Consultation non autorisée de la base de contacts par un collaborateur d'un partenaire, annoncée le 23 décembre 2025 |
Nom, prénom, adresse postale, adresse e-mail, date de naissance, numéros de téléphone fixe et mobile. | Numéro de carte SIM, codes PIN et PUK, coordonnées bancaires, cartes de crédit, mots de passe, numéro de registre national, données de communication. | Usurpation crédible : faux messages et faux appels citant vos vraies coordonnées. |
Sources : communications officielles d'Orange Belgium et du groupe Proximus, consultées en septembre 2026. Proximus indique déterminer encore le périmètre exact de l'incident et avoir notifié l'Autorité de protection des données, le CCB et le parquet fédéral.
Traduit en gestes : face au profil Orange, on sécurise la ligne. Face au profil Proximus, la ligne n'est pas menacée, mais tout message affichant votre nom, votre adresse et votre date de naissance devient beaucoup plus crédible : on cesse d'accorder de la confiance à ce qui est « su » de vous. Le raisonnement vaut pour toute fuite : on réagit à la liste des champs, pas au titre de l'article de presse. Sur les raisons de fond, voir notre article sur les cyberattaques contre les réseaux télécoms en Belgique.
Le geste : demander la liste exacte de vos données touchées
C'est l'action que 13 % seulement des personnes prévenues pensent à faire, et c'est pourtant celle qui conditionne toutes les autres. Elle ne coûte rien, ne demande aucune compétence technique, et la loi en organise déjà le déroulé.
Ce que l'organisme doit dire de lui-même
Quand une violation présente un risque élevé, l'article 34 du RGPD l'oblige à vous informer individuellement et en termes clairs : nature de la violation, conséquences probables, mesures prises, point de contact. Orange Belgium l'a fait en 2025. Mais une notification de masse reste générique : elle décrit les données touchées pour tout le fichier, pas ce qui a fuité chez vous.
Le droit d'accès, et son délai d'un mois
L'article 15 du RGPD transforme « vos données ont peut-être été concernées » en une liste que vous pouvez lire. La demande se formule par écrit, sans formalisme, au délégué à la protection des données dont l'adresse figure dans la notification ; l'organisation a un mois pour répondre, prolongeable à trois si elle vous prévient du report. Deux précautions évitent la réponse creuse : demander quels champs vous concernant figuraient dans la violation plutôt qu'une copie générale du dossier, et poser nommément la question du code PUK et du numéro de SIM chez un opérateur — c'est la seule ligne qui change la conduite à tenir.
Le silence n'est pas une réponse recevable : passé ce mois — et pas avant, sous peine d'être prématuré — vous pouvez porter plainte. Conservez la copie de votre demande et sa date d'envoi : c'est la seule pièce qui fait courir le délai.
La deuxième vague : l'appel qui cite votre vraie fuite
Le préjudice arrive rarement le jour de la fuite, mais dans les semaines qui suivent, quand les listes circulent. Moins d'un mois après l'annonce d'Orange Belgium, Test-Achats a relayé le cas d'un client appelé par un faux conseiller de l'opérateur : l'interlocuteur lui explique que ses données font partie de celles compromises lors de l'attaque — ce qui est vrai — puis lui demande une « vérification » via itsme. La confirmation donnée, le compte bancaire a été vidé.
Ce qui rend ce montage redoutable n'est pas sa technique : c'est qu'il s'appuie sur une information exacte. La fuite ne sert pas à voler l'argent, elle sert à rendre l'appel crédible. La règle qui protège est spécifiquement belge : une confirmation itsme n'est jamais une vérification d'identité qu'on vous demande, c'est une signature que vous donnez. Personne ne vous appellera pour vous en faire valider une pendant la conversation.
Le piège du numéro affiché
L'arrêté royal anti-spoofing du 12 mai 2024 fait bloquer les appels internationaux se présentant avec un numéro belge, mais l'IBPT a annoncé le 20 mai 2025 ne pas instaurer la liste « do-not-originate » qui aurait protégé les numéros de services clientèle. Un appel affichant le numéro officiel de votre opérateur ou de votre banque reste donc possible pour un fraudeur : le numéro qui s'affiche ne prouve rien. On raccroche, et on rappelle soi-même.
Le SMS STOP, et les 8 heures que peu de clients connaissent
La fuite Orange a produit une conséquence réglementaire qui change ce qui se passe le jour où quelqu'un tente de faire porter votre numéro ailleurs. Le 29 août 2025, l'IBPT a publié une mesure prise avec l'opérateur, redoutant explicitement le vol de numéros de téléphone par demande de transfert frauduleuse.
À chaque demande de portage, Orange envoie désormais un SMS de vérification depuis le 5000 (particuliers) ou le 5995 (professionnels), qui laisse 8 heures pour répondre STOP et annuler le transfert ; sans réponse, le portage se poursuit. Huit heures, c'est court : un SMS reçu de nuit peut passer inaperçu, et c'est ce que vise un fraudeur. L'opérateur a aussi renforcé le remplacement de carte SIM — eID en magasin, itsme dans l'application, nouvelles questions de sécurité au 5000.
À ce jour, cette vérification n'a été imposée qu'à l'opérateur concerné : ailleurs, ce SMS n'existe pas. Si vous le recevez sans avoir rien demandé, répondez STOP immédiatement ; et si votre GSM perd le réseau sans explication technique, traitez-le comme une urgence — c'est le signe le plus fiable d'un SIM swap réussi, détaillé dans notre guide sur la portabilité du numéro en Belgique.
Les six gestes, dans l'ordre où ils comptent
L'ordre n'est pas décoratif : les deux premiers gestes déterminent l'utilité des quatre suivants. Tout ce qui suit est gratuit et se fait sans compétence technique.
-
1
Lire la notification jusqu'à la liste des champs
C'est elle, et non le titre, qui dit si votre ligne, votre boîte mail ou votre compte en banque est exposé.
-
2
Écrire à l'organisme pour obtenir votre détail
Au titre de l'article 15 du RGPD, par ses canaux officiels — jamais par un lien reçu dans le message.
-
3
Sortir les codes bancaires du SMS
L'application de la banque ou le lecteur de carte : seule mesure qui neutralise un détournement de ligne.
-
4
Changer le mot de passe concerné, et ses jumeaux
Celui de l'espace client touché et de tout compte qui le partageait, avec l'authentification à deux facteurs.
-
5
Surveiller les extraits de compte plusieurs mois
Y compris les petits montants inhabituels, qui servent souvent de test avant un débit important.
-
6
Signaler les messages suspects au CCB
Une capture d'écran à [email protected] suffit, puis on supprime — sans jamais les faire suivre.
Un point revient à chaque incident et mérite une réponse nette : changer de numéro de téléphone est presque toujours une mauvaise idée. Cela oblige à prévenir la banque, la mutualité, le médecin et l'entourage, cela casse l'association entre votre numéro et vos comptes en ligne, et cela ne protège de rien si la fuite portait sur autre chose. Sécuriser ce que le numéro permet protège bien mieux que le remplacer.
Vos recours, et les délais qui courent sans vous
Une fuite ouvre trois recours distincts : récupérer de l'argent, faire sanctionner un manquement, faire corriger un service. Les mélanger fait perdre du temps, et certains délais s'éteignent tout seuls.
Si de l'argent est parti
Appelez Card Stop au 078 170 170, joignable 24 h sur 24, puis la banque au numéro figurant au dos de la carte ; si une carte d'identité a été photographiée ou remise, Doc Stop au 00800 2123 2123 la bloque immédiatement. Une opération non autorisée doit ensuite être contestée dans les treize mois suivant le débit, faute de quoi le droit au remboursement s'éteint ; avant votre déclaration, la franchise est plafonnée à 50 €, et nulle ensuite sauf négligence grave que la banque doit démontrer. Le dépôt de plainte à la police locale reste indispensable.
Si c'est le traitement de vos données
L'Autorité de protection des données est compétente quand l'organisme n'a pas notifié la fuite, n'a pas répondu dans le mois ou a répondu de façon incomplète : la plainte est gratuite et se dépose en ligne, mais elle ne vous indemnise pas — elle fait examiner le manquement. Le Centre pour la Cybersécurité Belgique n'instruit pas les dossiers individuels : son adresse [email protected] sert à faire bloquer les liens frauduleux, ce qui protège les personnes contactées après vous.
Si c'est votre ligne ou votre facture
Numéro détourné, abonnement souscrit à votre insu, service apparu sur la facture : ces litiges relèvent du service clientèle de l'opérateur, à saisir par écrit. En cas de blocage, le Service de médiation pour les télécommunications est gratuit, et le point de contact du SPF Économie oriente vers l'autorité compétente. Les montants réclamables sont dans notre guide sur l'indemnisation par l'opérateur.
Questions fréquentes — Fuite de données personnelles en Belgique
En le demandant. L'article 15 du RGPD vous donne droit à la confirmation que l'organisme traite vos données et à une copie de celles-ci. Écrivez à son délégué à la protection des données — l'adresse figure dans la notification — en demandant quels champs vous concernant figuraient dans la violation. Il a un mois pour répondre, après quoi la plainte à l'Autorité de protection des données est gratuite.
Raccrocher. C'est la fraude la plus coûteuse observée en Belgique après la fuite Orange : Test-Achats a relayé le cas d'un client dont le compte a été vidé après une « vérification » itsme demandée par un faux conseiller. Une confirmation itsme n'est pas une vérification d'identité, c'est une signature : personne ne vous en demandera une pendant un appel, et le numéro affiché ne prouve rien.
Treize mois à compter du débit ; au-delà, le droit au remboursement s'éteint. Bloquez d'abord la carte via Card Stop au 078 170 170, joignable 24 h sur 24. Avant la déclaration, votre franchise est plafonnée à 50 € ; elle tombe à zéro ensuite, sauf négligence grave que la banque doit démontrer.
Presque jamais. Cela oblige à prévenir la banque, la mutualité, le médecin et l'entourage, casse l'association entre le numéro et vos comptes en ligne, et ne protège de rien si la fuite portait sur autre chose. Mieux vaut sécuriser ce que le numéro permet : codes bancaires hors du SMS, authentification à deux facteurs, et réaction immédiate à toute perte de réseau.
Déjà client chez un opérateur belge ? Notez-le en une minute — votre avis aide les autres lecteurs à choisir.
Avez-vous trouvé les informations utiles ?
Merci pour votre retour !