Un sénateur exige des explications : pourquoi Trump Mobile n'a-t-il pas certains documents auprès de la FCC après son piratage ?

Trump Mobile, opérateur de réseau mobile virtuel (MVNO) lancé par la famille Trump en juin 2025 avec un forfait à 47,45 dollars par mois, a été victime d'un piratage et d'une fuite de données. Un second scandale a suivi : un sénateur demande pourquoi l'entreprise ne retrouve pas certains documents auprès de la Commission fédérale des communications (FCC). Ars Technica rapporte l'information de façon succincte. Dans l'extrait disponible, l'ampleur de la fuite, le nombre de personnes touchées et le type de données ne sont pas précisés.

Ce que l'on sait, et ce que l'on ignore encore

Les faits sont peu nombreux. Il y a eu un piratage, il y a eu une fuite, et le sénateur a des questions sur le volet réglementaire, « administratif », de l'activité. Tout le reste relève pour l'instant de la supposition, et il ne faut pas le présenter comme établi.

L'absence d'une entrée dans les bases de la FCC peut s'interpréter de plusieurs façons. Première hypothèse : l'entreprise n'a réellement pas déposé les formulaires requis. Seconde hypothèse : elle les a déposés sous une autre entité juridique ou par l'intermédiaire d'un partenaire.

Pour un MVNO, ce montage est courant, car le réseau, les fréquences et une partie des obligations restent du ressort de l'opérateur hôte. Il en va de même pour les appareils. La certification du smartphone T1, annoncé à 499 dollars, peut être enregistrée au nom du fabricant et non de la marque affichée sur la boîte.

La question du sénateur doit donc se lire comme une demande de clarification sur la structure de l'entreprise, et non comme une accusation en bonne et due forme.

Quels documents FCC attend-on généralement d'un opérateur

La liste précise des griefs n'a pas été publiée, mais le dossier type pour une entreprise de ce profil ressemble à ceci :

• Equipment authorization (FCC ID) : obligatoire pour tout appareil émettant des ondes radio vendu aux États-Unis.
• Certification annuelle CPNI : règles de protection des données clients, à déposer avant le 1er mars.
• Inscription à la Robocall Mitigation Database pour les fournisseurs de services vocaux.
• Formulaire 499-A : déclaration des contributions au fonds du service universel.
• Notification de piratage : selon les règles en vigueur depuis 2024, il faut informer la FCC, le FBI et le Secret Service au plus tard sept jours ouvrables après avoir raisonnablement conclu à une violation, et les clients sans retard injustifié, dans un délai maximal de 30 jours.

Le dernier point pèse plus lourd que les autres. Si la fuite a touché des données d'abonnés, le délai de déclaration court déjà, et il sera facile de vérifier si l'opérateur l'a respecté.

Conseils pratiques pour les clients et les concurrents

Les abonnés de Trump Mobile ont intérêt à changer le mot de passe de leur espace client et des services associés, à activer une authentification à deux facteurs qui ne passe pas par SMS, et à demander à l'opérateur une notification écrite sur la nature des données divulguées. Si la base contenait des numéros de téléphone, des adresses et des coordonnées de paiement, il est préférable de geler son dossier de crédit à titre préventif et de surveiller les tentatives de SIM swapping. Pour les numéros de téléphone, c'est l'étape suivante classique des attaquants.

Pour les autres acteurs du marché, cette affaire sert de test de maturité. Un opérateur de marque sans réseau propre reste responsable des données de ses clients, et le régulateur lui demande des comptes comme aux grandes entreprises. La notoriété politique de ses propriétaires ne fait qu'accroître l'attention portée à chaque document manquant. La suite dépend du sénateur et de la FCC : soit des réponses accompagnées de numéros de dossiers apparaîtront, soit les questions se multiplieront.