Cyberaanval op Bloctel: drie miljoen telefoonnummers buitgemaakt

Parijs – 12.08.2026: De Franse beschermingsdienst Bloctel is het doelwit geworden van een cyberaanval. Volgens de Algemene Directie voor Concurrentie, consumentenbescherming en frastrijding (DGCCRF) zijn daarbij ongeveer drie miljoen telefoonnummers buitgemaakt. Voor de betrokkenen is dat bijzonder vervelend: zij hadden de dienst gebruikt om zich te beschermen tegen ongewenste reclameoproepen.

De autoriteit verklaarde dat de aanvallers bij de gestolen nummers noch namen en adressen, noch e-mailadressen of andere bijbehorende persoonsgegevens hadden verkregen. Volgens de huidige stand van zaken zijn er dus geen volledige gebruikersgegevens blootgelegd. Telefoonnummers kunnen echter ook op zichzelf worden misbruikt, bijvoorbeeld voor massale reclameoproepen, frauduleuze contactpogingen of berichten die een persoonlijke band veinzen.

Hoe de toegang technisch mogelijk was, wanneer deze werd ontdekt en of de nummers al zijn doorgegeven of gebruikt, werd aanvankelijk niet publiekelijk toegelicht. Ook over de identiteit van de verantwoordelijken zijn geen bevestigde bevindingen bekend. De DGCCRF spreekt van een cybercrimineel. Over mogelijke onderzoeken verstrekte de autoriteit aanvankelijk geen nadere informatie.

Bloctel was jarenlang het door de staat gecontroleerde register waarin consumenten hun telefoonnummer konden inschrijven om bezwaar te maken tegen het gebruik ervan voor reclameoproepen. Bedrijven moesten de lijst voorafgaand aan dergelijke campagnes raadplegen en geregistreerde nummers uit hun bellijsten verwijderen. De dienst stond onder toezicht van de DGCCRF; onlangs werd hij door het bedrijf Consoprotec geëxploiteerd in het kader van een concessie voor openbare dienstverlening.

De aanval valt samen met een fundamentele verandering in de Franse consumentenbescherming. Sinds 11 augustus 2026 zijn reclameoproepen in principe alleen nog toegestaan wanneer consumenten daar vooraf uitdrukkelijk mee hebben ingestemd. Daarmee komt een einde aan het eerdere bezwaarmodel, waarbij burgers zelf actie moesten ondernemen om dergelijke oproepen af te weren. Bloctel beëindigde zijn activiteiten bij de inwerkingtreding van de nieuwe regels.

Bedrijven moeten nu een ondubbelzinnige, aantoonbare en te allen tijde intrekbare toestemming kunnen overleggen. Deze mag hoogstens een jaar geldig zijn; de betreffende bewijzen moeten ten minste drie jaar worden bewaard. Overtredingen van de voorschriften kunnen met hoge boetes worden bestraft.

Voor voormalige Bloctel-gebruikers is extra alertheid bij onbekende oproepen en sms-berichten aan te raden. Een afzonderlijk telefoonnummer bevat weliswaar minder informatie dan een volledig klantendossier. Het kan echter volstaan om ongewenste contacten te vermenigvuldigen of ontvangers tot een reactie te verleiden. Volgens de DGCCRF zijn bij de aanval geen verdere persoonsgegevens blootgelegd.