M1 dit que des noms, des numéros NRIC et des adresses ont été pris lors d’une fuite le 30 octobre

L’opérateur de télécommunications singapourien M1 a annoncé publiquement le 6 novembre 2026 qu’il avait subi, une semaine plus tôt, le 30 octobre, une fuite de données. Les données prises comprennent des noms, des numéros de carte d’identité, des dates de naissance, des numéros de téléphone, des adresses courriel et des adresses résidentielles. M1 n’a pas dit combien de clients sont touchés et a commencé à leur écrire par courriel ou par la poste. Si vous êtes ou avez été client de M1, voici ce qu’on sait.

Ce qui s’est passé

Selon The Straits Times et The Business Times (en anglais), M1 a dit le vendredi 6 novembre avoir subi une fuite de données le 30 octobre, et que la fuite est depuis maîtrisée. Elle dit que ses services et ses activités n’ont jamais été touchés. Elle dit collaborer avec les autorités concernées et des spécialistes externes dans ses enquêtes, et prendre très au sérieux la sécurité et la confidentialité des renseignements qui lui sont confiés.

M1 n’a pas dit comment l’attaquant est entré, qui il est ni si les données ont été publiées ou vendues. Elle n’a pas dit combien de clients sont touchés. AsiaOne (en anglais) rapporte qu’un client dont les renseignements sont en cause a reçu le courriel de M1 vers 20 h le 6 novembre, et que ce courriel présente des excuses pour les inquiétudes causées.

Quelles données sont en cause

M1 énumère :

• les noms
• les numéros NRIC ou FIN (les numéros d’identité nationale et d’identification des étrangers de Singapour)
• les dates de naissance
• les numéros de téléphone mobile
• les adresses courriel
• les adresses résidentielles

M1 dit qu’aucune donnée de carte de paiement, aucun renseignement financier ou bancaire ni aucun accès aux comptes de clients n’a été compromis.

Ce que dit l’autorité de réglementation

Dans une réponse aux médias le 6 novembre, la Personal Data Protection Commission (PDPC) de Singapour a dit être au courant de l’incident et mener une enquête, a rapporté The Straits Times. La PDPC n’a pas dit ce qu’elle a constaté jusqu’ici. AsiaOne rapporte aussi que la chef de la direction de la Cyber Security Agency of Singapore, Gwenda Fong, a exhorté vendredi les entreprises à revoir leurs défenses informatiques, et note qu’une série de fuites de données a été signalée récemment à Singapour.

Contexte

La page d’alertes de sécurité de M1 a été mise à jour le 29 octobre, la veille de la date qu’elle donne maintenant pour la fuite, avec une mise en garde contre des fraudeurs qui se font passer pour du personnel de M1. Elle disait que la base de données de clients de M1 « reste sécurisée et n’était pas la source des renseignements cités par les fraudeurs », qui citent parfois les noms, numéros NRIC et coordonnées de victimes obtenus « par d’autres moyens ». M1 n’a pas lié les deux événements, et nous n’avons vu personne le faire. Nous le mentionnons seulement pour que les lecteurs voient ce que l’entreprise a dit avant l’annonce de la fuite.

Ce que ça signifie pour vous

Un numéro NRIC est une pièce d’identité durable qu’on ne remplace pas facilement, et il figure ici avec votre nom, votre date de naissance et votre numéro de téléphone. Pour un fraudeur, c’est assez pour paraître authentique au téléphone, au nom d’un fournisseur, d’une banque ou d’un organisme officiel. C’est le principal risque à garder en tête : l’usurpation, plutôt que la possibilité d’utiliser directement votre carte ou votre compte bancaire, que M1 dit ne pas avoir été exposés.

Ce que vous pouvez faire

1. Attendez le message de M1 et vérifiez qu’il est authentique. M1 dit qu’elle joindra les clients touchés par courriel ou par lettre. Ne cliquez sur aucun lien d’un message sur la fuite. Allez vous-même dans l’appli ou sur le site de M1.
2. Méfiez-vous des appels ou messages qui connaissent votre NRIC. Le connaître ne prouve pas que l’interlocuteur travaille pour M1, votre banque ou la police. Raccrochez et appelez le numéro officiel. La page d’alertes de M1 renvoie à ScamShield au 1799 et à la ligne de la police au 1800-255-0000 en cas de doute.
3. Ne donnez jamais de données bancaires ni de mots de passe, et n’installez pas d’applis de sources non officielles, au cours d’un appel. M1 dit que ni elle ni les organismes publics ne demanderont jamais ces choses.
4. Vérifiez vos comptes. Regardez votre facture de téléphone et votre banque pour repérer tout ce que vous ne reconnaissez pas.
5. Utilisez une adresse courriel distincte pour chaque service si possible, pour qu’un message qui prétend venir de M1 mais arrive à une autre adresse soit facile à repérer. Voyez comment les fraudeurs utilisent les données divulguées.

Comment Frame peut aider

Ajoutez cette fuite à une adresse courriel vérifiée dans Frame : Frame montre ce qu’elle a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Les alias de courriel de Frame vous permettent aussi de donner à chaque service une adresse qui lui est propre, pour qu’une fuite chez une entreprise ne révèle pas votre boîte principale. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

À lire aussi

• MoneySmart dit qu’un intrus a copié des données de clients à Singapour et à Hong Kong : une autre entreprise de Singapour qui a divulgué une fuite cette semaine, avec des coordonnées et des numéros de police dans les données.
• Singapore Airlines dit qu’environ 46 000 réservations ont été touchées par la fuite chez Amadeus : l’avis de la compagnie, qui visait aussi les documents de voyage d’un petit nombre de réservations.
• Comment les fraudeurs utilisent les données divulguées pour personnaliser l’hameçonnage : comment des détails comme un numéro d’identité sont exploités.

Sources

• The Straits Times, « M1 hit by data breach » (en anglais), 6 novembre 2026
• The Business Times, « M1 hit by data breach » (en anglais), 6 novembre 2026
• AsiaOne, « Data of M1 customers compromised, including NRIC, phone numbers and addresses » (en anglais), 6 novembre 2026
• M1, « Security Alerts » (en anglais; page mise à jour le 29 octobre 2026), consultée le 6 novembre 2026