Descoberta e escopo
Segundo a comunicação divulgada, em 13/11/2025 atacantes exploraram uma vulnerabilidade em um software usado pela Eurofiber France e pelas suas marcas regionais (Eurafibre, FullSave, Netiwan e Avelia). O ataque também afetou o portal ATE, que atende a divisão de cloud da Eurofiber, operando sob a marca Eurofiber Cloud Infra France.
Abordagem técnica e mitigação
As fontes reportam que o vetor foi a exploração de uma falha de software na infraestrutura do sistema de ticketing, que permitiu acesso não autorizado e extração de dados. O tipo específico de vulnerabilidade não foi divulgado. Imediatamente após a detecção, a empresa aplicou correções no componente explorado, reforçou controles de acesso e aumentou monitoramento e segmentação para impedir movimentos laterais.
Impacto e dados afetados
O comprometimento foi restrito a clientes da Eurofiber France; não houve propagação para entidades do grupo na Bélgica, Alemanha ou Países Baixos, segundo a comunicação. A empresa afirma que dados sensíveis como informações bancárias permaneceram em sistemas separados e não foram acessados pelos invasores.
Resposta regulatória e legais
A Eurofiber informou que reportou o incidente às autoridades francesas e cumpriu os procedimentos legais, registrando notificações junto à CNIL (autoridade de proteção de dados) e comunicando a ANSSI (agência nacional de cibersegurança da França). A companhia também protocolou uma queixa por tentativa de extorsão, indicando que os invasores podem ter tentado um pedido de pagamento.
Limites das informações
As comunicações públicas não detalham quais campos ou volumes exatos de dados foram exfiltrados nem o tipo preciso da vulnerabilidade explorada. As fontes afirmam que serviços permaneceram operacionais durante o incidente, sem interrupção para clientes.
Relevância e recomendações
O caso reforça a criticidade de controle de plataformas de ticketing e portais de suporte — sistemas frequentemente integrados a fluxos de suporte e que podem concentrar dados de clientes. A rápida detecção, patch e a notificação às autoridades são ações alinhadas com boas práticas de resposta a incidentes e requisitos regulatórios de proteção de dados.