Données personnelles exposées après le piratage de la Fédération française de gymnastique

La Fédération française de gymnastique vient s’ajouter à la liste des fédés qui se font dépouiller leurs bases de données. Gym, athlé, foot, tir, voile, natation… ça commence à faire beaucoup pour un seul pays. Et le pire, c’est que ce n’est pas juste un « incident informatique » pour faire joli dans un communiqué. Derrière, tu as des noms, des adresses, des mails, des dates de naissance, des numéros de licence, parfois des téléphones. Le kit parfait pour des arnaques qui tiennent debout.

Ce qui frappe, c’est la répétition. On n’est plus sur le hack exceptionnel, le truc qui tombe du ciel. On est sur une mécanique: un compte légitime compromis, un logiciel de gestion utilisé par des clubs, une plateforme de formation, et derrière une extraction de données. Dans un cas récent côté ministère des Sports, 450 000 personnes ont été concernées via un piratage de compte d’un organisme de formation. Résultat, tout le monde se réveille en même temps, mais un peu tard.

Pourquoi les fédés sportives deviennent des cibles faciles

Une fédération, ce n’est pas juste un logo sur un survêt. C’est une énorme machine administrative: licences, certificats, formations, diplômes, inscriptions, mutations, assurances, accès clubs. Du coup, ça accumule des données perso sur des années. Et pas sur 10 000 personnes. La FFF, par exemple, gère un écosystème qui touche plus de 2,2 millions d’individus. À cette échelle, la moindre faille devient un jackpot.

Le truc, c’est que l’informatique du sport français ressemble souvent à un mille-feuille. Tu as la fédé, les ligues, les comités, les clubs, et au milieu des logiciels « administratifs » partagés. Dans le cas du foot, la brèche est passée par un logiciel de gestion utilisé par les clubs, avec un compte compromis qui a ouvert la porte. Ce scénario, tu peux le transposer: un prestataire, un identifiant qui traîne, un mot de passe recyclé, et tu viens de transformer un outil du quotidien en pass VIP.

Marc, responsable informatique dans une ligue régionale (il ne veut pas que je cite son nom de famille, tu m’étonnes), résume ça simplement: « On a des bénévoles, des salariés débordés, des accès donnés au fil des saisons, et personne n’a le temps de faire le ménage. » Ce n’est pas une excuse, mais c’est une explication. Quand l’organisation vit au rythme des compétitions, la cybersécurité passe vite après les urgences du week-end.

Et puis il y a un angle mort: la gestion des droits. Des experts en sécurité le répètent, y compris dans des dossiers récents sur des fuites en France: l’accès doit être limité au besoin opérationnel, pas au grade ou à l’ancienneté. Sauf que dans la vraie vie, plus tu montes, plus tu as de droits, parce que « c’est pratique ». Résultat, quand un compte « important » saute, l’attaquant ne récupère pas trois fiches, il siphonne une base entière.

Ce qu’on sait des données exposées et pourquoi ça fait mal

Dans les incidents récents qui touchent l’écosystème sport, la liste des données qui partent est souvent la même: noms, prénoms, adresses postales, mails, dates de naissance, numéros de téléphone. Le ministère des Sports a parlé noir sur blanc d’une exfiltration concernant 450 000 candidats, avec exactement ce type d’infos. Et côté foot, les éléments exposés incluaient aussi des données comme le lieu de naissance, la nationalité, et le numéro de licence, sans numéro d’identité ni données bancaires selon la fédé.

Tu pourrais te dire: « OK, pas de RIB, pas de carte bleue, donc ça va. » Sauf que non. Avec un nom, une date de naissance, une adresse et un numéro de licence, tu peux monter des arnaques très crédibles. Exemple concret: un mail qui ressemble à un message de la fédé ou du club, qui te demande de « confirmer ton identité » ou de « mettre à jour ton dossier d’assurance ». Le piège, c’est que l’attaquant connaît déjà tes infos. Donc tu baisses la garde.

Le cas de la Fédération française de tir a montré un autre niveau de risque, plus sale encore. Après une fuite, des licenciés ont subi des repérages, et les autorités ont dû alerter sur des faux policiers, faux gendarmes ou faux douaniers qui pourraient appeler ou se présenter. Cybermalveillance. gouv. fr a relayé des consignes très claires: les forces de l’ordre ne viennent pas spontanément récupérer des armes chez toi à cause d’une fuite. Là, on n’est plus sur du spam, on est sur de l’ingénierie sociale qui peut finir très mal.

Autre effet domino: la réutilisation des données dans des bases revendues ou échangées. Dans l’athlétisme, une fuite massive a été signalée avec une base qui aurait concerné plus de 11 millions d’individus, diffusée sur des forums clandestins. Même si chaque dossier n’a pas la même sensibilité, l’ampleur donne une idée de la valeur du marché. Une fois que c’est dehors, tu ne « rappelles » pas une base de données comme un lot de yaourts.

Arnaques à prévoir: faux mails, faux clubs, faux « service licences »

Après une fuite, le premier réflexe des escrocs, c’est le phishing. La FFF a d’ailleurs averti ses membres de messages suspects se faisant passer pour elle après l’intrusion, preuve que les attaquants ne perdent pas de temps. Le mail typique joue sur l’urgence: « Votre compte a été suspendu », « Action requise sous 24h », « Réinitialisation obligatoire ». Et comme la fédé a vraiment été touchée, tu te dis que c’est plausible. C’est exactement l’objectif.

Deuxième classique: le faux support. Tu reçois un appel d’un soi-disant « service informatique » ou « service licences » qui te guide pour « sécuriser ton compte ». On te fait installer un outil de prise en main à distance, ou on te fait dicter un code reçu par SMS. Dans les clubs, ça marche encore mieux, parce que les gens ont l’habitude de se dépanner entre eux. Sauf que là, tu donnes les clés de ta boîte mail ou de ton compte admin, et tu offres un deuxième round à l’attaquant.

Troisième scénario, plus vicieux: l’arnaque au président version sport. Un trésorier de club reçoit un message « du président » ou « de la ligue » pour régler une facture urgente, payer une inscription, débloquer une commande d’équipements. Si l’escroc a des infos issues de la fuite (nom, rôle, mail, numéro), il peut personnaliser. Et quand c’est personnalisé, les gens cliquent. Sophie, bénévole dans un club de province, me disait récemment: « Quand tu vois le bon nom, la bonne catégorie, tu ne réfléchis pas, tu veux juste régler le problème. »

Dernier point, et il faut le dire franchement: les campagnes d’arnaque vont se nourrir de l’actualité. Quand les médias parlent d’un hack, ça sert de décor. « Suite à la cyberattaque, merci de confirmer vos informations. » C’est le piège parfait. Donc si tu es licencié, parent, entraîneur, dirigeant, considère que les semaines qui suivent sont les plus à risque. Pas parce que tu es parano, parce que c’est statistiquement ce que font les escrocs.

Ce que l’État et les autorités bougent vraiment, et ce que ça vaut

Face à la série d’attaques, le ministère des Sports a annoncé vouloir renforcer ses dispositifs de cybersécurité et accompagner les fédérations avec l’Anssi. C’est une réaction logique, surtout après avoir reconnu une exfiltration touchant 450 000 personnes via la plateforme Forômes, liée à la gestion des formations, candidats et diplômes. L’incident serait parti d’un compte légitime d’un organisme de formation, rapidement désactivé. Le message est clair: même sans « hack hollywoodien », un simple compte compromis suffit.

Il y a aussi le volet CNIL, qui revient régulièrement dans ce type d’affaires. Dans le cas du foot, la fédé a indiqué avoir notifié l’Anssi et la CNIL, et avoir lancé des mesures immédiates comme la désactivation du compte compromis et des réinitialisations de mots de passe pour tous les utilisateurs. Sur le papier, c’est ce qu’il faut faire. Dans la vraie vie, ça ne répare pas la fuite. Ça limite surtout la casse pour éviter que l’attaquant reste dans le système.

Le problème, c’est l’écart entre « renforcer » et « transformer ». Renforcer, ça peut vouloir dire ajouter une couche, acheter un outil, faire une sensibilisation annuelle avec un quiz. Transformer, c’est revoir les droits, imposer du MFA partout, nettoyer les comptes, journaliser, segmenter, auditer les prestataires. Et ça, c’est long, c’est pénible, et ça coûte. Dans le sport, où chaque euro est discuté, tu vois vite le dilemme: un budget pour la cyber ou un budget pour les actions terrain.

Et puis il y a la question de la communication. Beaucoup d’organisations ont tendance à minimiser, parfois pour éviter la panique, parfois pour protéger leur image. Sauf que les victimes, elles, ont besoin de concret: quelles données, quelle période, quels risques, quels gestes. Quand une fédé prévient « attention aux messages suspects », c’est utile, mais ça reste vague. Les gens veulent savoir si leur adresse postale est dans la nature, si leur téléphone aussi, et quoi surveiller pendant les prochains mois.

Ce que tu peux faire si tu es licencié, parent ou bénévole

Premier geste, basique mais vital: change ton mot de passe sur les services liés au sport, et surtout si tu l’utilises ailleurs. Le cas du foot a montré des resets généralisés après l’intrusion, preuve que c’est un réflexe attendu. Profite-en pour passer à une phrase de passe, pas « Gym2026! » ou le prénom du chien. Et si tu peux activer la double authentification sur ta messagerie, fais-le. Ta boîte mail, c’est la clé de tout le reste.

Deuxième geste: méfie-toi des messages « post-fuite ». Un mail qui te demande de cliquer pour « confirmer ton identité », tu le traites comme suspect, même s’il cite ton club ou ton numéro de licence. Tu vas sur le site officiel en tapant l’adresse toi-même, tu n’utilises pas le lien du mail. Et si tu as un doute, tu appelles ton club avec un numéro que tu connais déjà, pas celui indiqué dans le message. C’est bête, mais c’est là que ça se joue.

Troisième geste: surveille les signaux faibles. Tentatives de connexion sur tes comptes, SMS de codes que tu n’as pas demandés, appels bizarres, demandes de documents. Dans le cas de la FFTir, les autorités ont dû rappeler que de faux représentants des forces de l’ordre pouvaient tenter des approches. Même si tu n’es pas concerné par les armes, retiens l’idée: quand une fuite sort, des gens essaient des scénarios très concrets, dans la vraie vie, pas seulement derrière un écran.

Dernier geste, pour les clubs et les bénévoles qui gèrent des accès: fais l’inventaire. Qui a un compte admin? Qui a encore accès alors qu’il est parti? Est-ce que les mots de passe tournent? Est-ce que le compte « contact@club » est protégé? J’ai vu des clubs où trois générations de dirigeants se partagent la même boîte mail depuis 2014. C’est pratique, mais c’est une autoroute. Si tu mets un minimum de discipline, tu ne deviens pas invulnérable, mais tu arrêtes d’être la cible la plus simple du quartier.