Des comptes clients de Telus compromis lors d’attaques fondées sur des identifiants volés

Telus informe ses clients particuliers que des attaquants ont accédé à leurs comptes de télécommunications à l’aide d’identifiants de connexion compromis, exposant ainsi des informations personnelles et liées à la facturation.

Les intrusions ont eu lieu entre février 2025 et juin 2026, selon les informations figurant dans les notifications de fuite de données de Telus. Le fournisseur canadien de services de télécommunications n’a pas précisé combien de comptes ou de personnes ont été touchés.

Il ne s’agissait pas uniquement d’un vol passif de données. Telus a indiqué que les informations dérobées avaient ensuite été utilisées pour inciter des clients à transférer leurs services de télécommunications vers des fournisseurs concurrents. Les attaquants ont également procédé à des modifications de services non autorisées sur certains comptes.

Des identifiants compromis ont permis d’ouvrir les comptes clients

Les intrus se sont authentifiés à l’aide d’identifiants clients valides, mais compromis. Telus n’a pas indiqué publiquement d’où provenaient ces noms d’utilisateur et mots de passe, ni s’ils avaient été dérobés directement depuis ses systèmes.

L’activité correspond à une opération de prise de contrôle de comptes reposant sur la réutilisation d’identifiants. Dans ce type d’attaque, les cybercriminels testent sur d’autres services des mots de passe exposés lors de fuites de données sans lien, de campagnes d’hameçonnage, d’infections par des malwares ou d’autres opérations de vol d’identifiants.

Le credential stuffing est une explication possible, mais Telus n’a pas confirmé le recours à cette technique. On ignore également si les attaquants ont contourné d’autres mécanismes d’authentification ou ciblé des comptes dépourvus d’authentification multifacteur.

Une fois connectés, les intrus pouvaient consulter les informations associées à chaque abonné touché. Les modifications de services non autorisées indiquent qu’au moins certains comptes compromis donnaient également accès à des fonctions opérationnelles, et pas uniquement aux données clients.

Aucune vulnérabilité logicielle, aucun identifiant CVE ni aucune version de produit concernée n’ont été identifiés. Les éléments disponibles pointent plutôt vers un usage abusif d’identifiants de compte légitimes.

Des données personnelles, de facturation et d’abonnement exposées

Les comptes compromis pouvaient révéler plusieurs catégories d’informations client :

• Noms
• Numéros de compte Telus
• Numéros de téléphone
• Adresses de facturation
• Adresses e-mail
• Numéros partiels de cartes de paiement
• Détails des abonnements
• Historique des paiements

Cette combinaison est particulièrement utile pour l’ingénierie sociale. Un attaquant qui connaît le numéro de téléphone, l’adresse, les services actuels et les paiements antérieurs d’un abonné peut sembler crédible en se faisant passer pour Telus, un autre fournisseur ou le client lui-même.

Les numéros de compte et les détails d’abonnement pourraient également aider les cybercriminels à répondre à des questions de vérification élémentaires ou à formuler des demandes cohérentes avec le service existant d’une victime. L’historique des paiements fournit davantage de contexte pour envoyer des messages frauduleux liés à la facturation.

Telus n’a pas signalé l’exposition de numéros complets de cartes de paiement, de codes d’authentification des cartes ou d’identifiants de paiement complets. Aucun vol financier direct lié à l’incident n’a non plus été confirmé.

Le risque ne peut toutefois pas être écarté. Les informations partielles sur une carte sont souvent utilisées comme éléments de preuve lors d’appels d’hameçonnage : le criminel cite les chiffres visibles pour donner l’impression qu’il a déjà accès à un dossier de facturation légitime.

Les données volées ont servi à cibler des abonnés

Les attaquants auraient utilisé les informations obtenues depuis les comptes Telus pour convaincre des clients de transférer leurs services vers des concurrents non nommés. Le mécanisme précis n’a pas été communiqué.

On ignore donc si ces opérations impliquaient des clôtures de comptes frauduleuses, des transferts de numéros de téléphone, des migrations d’abonnement ou d’autres modifications de services. Telus a seulement confirmé que des modifications non autorisées avaient eu lieu dans certains cas.

L’incident fait peser plusieurs menaces qui se recoupent sur les clients concernés :

• Hameçonnage ciblé par e-mail, téléphone ou SMS
• Usurpation de l’identité d’employés de Telus ou de fournisseurs concurrents
• Modifications frauduleuses d’abonnements de télécommunications
• Nouvelles prises de contrôle de comptes à l’aide de mots de passe réutilisés
• Tentatives de manipulation du personnel du service client
• Demandes frauduleuses liées à la facturation ou à la vérification de comptes

Les attaquants pourraient exploiter les données volées au cours de plusieurs interactions. Par exemple, un premier appel pourrait s’appuyer sur des informations exactes concernant l’abonnement pour instaurer un climat de confiance, puis être suivi d’une demande de mot de passe, de code de vérification ou d’informations de paiement supplémentaires.

L’absence de chiffre concernant les victimes empêche de mesurer précisément la gravité globale de l’incident. Telus n’a pas fourni de niveau de gravité officiel, n’a pas attribué l’activité touchant les comptes clients à un groupe identifié et n’a pas signalé de composante liée à un ransomware.

La fuite de données de Telus Digital est un incident distinct

La compromission des comptes clients fait suite à une fuite de données distincte touchant Telus Digital, une filiale de Telus, qui a confirmé une intrusion en mars.

Le groupe de cybercriminels ShinyHunters a affirmé avoir dérobé environ 1 pétaoctet d’informations sur les systèmes de Telus Digital. Ce chiffre n’a pas été vérifié de manière indépendante, et la nature des données prétendument volées n’a pas été établie.

Aucun lien n’a pour l’instant été confirmé entre la fuite de données de Telus Digital et les attaques visant les comptes de télécommunications des particuliers. Aucun élément n’a été communiqué pour démontrer qu’un même acteur était à l’origine des deux opérations ou que les identifiants utilisés contre les comptes clients provenaient de Telus Digital.

Établir un lien entre ces incidents sans éléments techniques risquerait d’en masquer les différences. Le premier cas concerne un accès authentifié à des comptes individuels d’abonnés, tandis que l’événement touchant Telus Digital a été présenté comme une allégation de vol de données à grande échelle.

Telus a réinitialisé les identifiants et renforcé la surveillance

Telus a indiqué avoir réinitialisé les identifiants compromis et mis en place une surveillance de sécurité renforcée pour les comptes concernés. L’entreprise a également informé le service de police de Vancouver.

Les clients touchés se sont vu proposer des services gratuits de protection contre l’usurpation d’identité. Les informations concernant la durée ou l’étendue exacte de cette protection n’ont pas été communiquées.

Plusieurs questions essentielles restent sans réponse. Telus n’a pas révélé le nombre de comptes compromis, la manière dont les identifiants ont été obtenus ni les modifications précises effectuées par les attaquants après leur accès.

On ignore également si l’entreprise a identifié une source commune d’identifiants, comme une fuite antérieure chez un tiers, ou si plusieurs méthodes distinctes de vol d’identifiants ont été utilisées. Des informations complémentaires aideraient les clients à déterminer s’il suffit de modifier leur mot de passe Telus.

Les clients doivent vérifier les modifications de services par des canaux de confiance

Toute personne qui reçoit une notification de fuite de données de Telus doit modifier immédiatement le mot de passe concerné. Le nouveau mot de passe doit être unique et ne pas être utilisé pour la messagerie électronique, les services bancaires, les réseaux sociaux ou d’autres comptes de télécommunications.

Si l’ancien mot de passe était réutilisé ailleurs, ces comptes doivent également être mis à jour. La sécurisation du compte e-mail associé est particulièrement importante, car la messagerie peut souvent servir à réinitialiser les identifiants d’un compte de télécommunications.

Les clients doivent vérifier les informations de leur compte, leurs abonnements, leurs paiements récents et les paramètres de leurs services afin de détecter toute modification inexpliquée. Toute anomalie doit être signalée en contactant Telus à l’aide d’un numéro de téléphone connu, de l’application officielle ou de l’adresse d’un site saisie manuellement.

Les messages inattendus concernant des migrations, des réductions, la vérification d’un compte ou des problèmes de facturation doivent être traités avec prudence. Les clients ne doivent jamais communiquer leur mot de passe ou leurs codes de vérification à usage unique à une personne qui les appelle, même si celle-ci est capable de réciter des informations exactes sur leur compte.

Lorsque cette fonction est proposée, l’authentification multifacteur doit être activée. Telus n’a pas détaillé publiquement les options d’authentification disponibles pour chacun des services destinés aux particuliers concernés. Les clients devront donc vérifier les protections compatibles avec leur compte.

Les abonnés touchés doivent également surveiller leurs relevés de carte de paiement et leurs dossiers de crédit, même si rien n’indique que des identifiants de carte complets ont été exposés. Le danger le plus immédiat réside dans des fraudes très personnalisées s’appuyant sur des données de compte Telus légitimes.