Un pirate affirme avoir volé la base des membres d’une fédération sportive française, IBAN compris, en exploitant une faille classique de son site web. La fédération n’a pas confirmé à ce stade. Que la revendication soit exacte ou non, le scénario décrit concerne toutes les petites structures qui gèrent des données sensibles en ligne.
Ce qui s’est passé
Le 20 septembre 2026, un pirate a publié sur un forum cybercriminel une annonce de vente portant, selon lui, sur la base de données d’une fédération sportive française. Plusieurs sites spécialisés dans le suivi des fuites ont relayé l’annonce (cyberattaque.org, 20 septembre 2026).
D’après le pirate, le fichier compte un peu plus de 93 000 enregistrements. Ce chiffre ne correspond pas aux adhérents actuels : il couvre l’historique des licences sur plusieurs décennies. Les données annoncées comprennent l’identité, les coordonnées, la date de naissance, le numéro de licence, des informations de paiement et plusieurs centaines d’IBAN (coordonnées bancaires).
Tous ces éléments viennent de l’attaquant. Ils n’ont pas été confirmés par la fédération ni vérifiés de façon indépendante à ce stade.
Le même jour, deux autres organisations françaises (une enseigne de distribution alimentaire et une plateforme de livraison entre particuliers) faisaient elles aussi l’objet de revendications de vol de données, par d’autres moyens.
Comment l’attaque a fonctionné
Le pirate décrit un enchaînement en trois temps.
- Une injection SQL sur le site web. Un site qui consulte sa base de données à partir de ce que tape l’internaute (un formulaire, une recherche) doit filtrer ces saisies. S’il ne le fait pas, un attaquant peut glisser dans le champ des instructions que la base va exécuter, par exemple « donne-moi toute la table des membres ». C’est ce qu’on appelle une injection SQL. Selon le pirate, la faille était accessible sans compte.
- La prise de contrôle du serveur. Il affirme être allé plus loin et avoir pu lancer ses propres commandes sur le serveur. Il ne donne aucun détail technique sur ce point.
- La revente. Les données ont été mises en vente sur un forum, sans qu’une demande de rançon à la fédération soit mentionnée dans les éléments relayés.
L’injection SQL est l’une des failles web les plus anciennes et les mieux connues. Elle se corrige par de bonnes pratiques de développement, mais elle reste fréquente dans les sites développés sur mesure ou peu maintenus.
Ce qu’on ne sait pas encore
- Si l’intrusion a réellement eu lieu, et si les données mises en vente sont récentes ou issues d’un incident plus ancien.
- Comment et quand la fédération a pu la détecter. L’affaire n’est connue que par l’annonce du pirate, ce qui est souvent le signe qu’aucune alerte interne ne s’est déclenchée au moment des faits.
- Si les IBAN étaient protégés (chiffrés) dans la base.
Ce que ça change pour une PME
Une fédération, une association ou une PME peuvent détenir des données aussi sensibles qu’un grand groupe (IBAN, dates de naissance, adresses), avec beaucoup moins de moyens. Quatre actions simples :
- Faites tester vos applications web exposées à Internet (site, espace adhérent, extranet) par un test d’intrusion ou un scan de vulnérabilités, au moins une fois par an et après chaque évolution importante. Exigez-le de votre prestataire de développement.
- Demandez à votre développeur comment il se protège des injections SQL. La réponse attendue tient en une phrase : toutes les requêtes à la base sont « paramétrées » (les saisies des internautes ne sont jamais mélangées aux instructions).
- Ne gardez que les données utiles, et pas indéfiniment. Un fichier de licences qui remonte à plusieurs décennies multiplie l’impact d’une fuite. Supprimez ou archivez hors ligne les anciennes données, et chiffrez les IBAN.
- Préparez votre réponse à une revendication publique : qui vérifie techniquement, qui décide de la notification à la CNIL (le RGPD impose de la prévenir dans les 72 heures après avoir pris connaissance d’une fuite de données personnelles qui présente un risque pour les personnes), et comment prévenir les personnes concernées.
Dossier : Sites web et données clients
Cet article prolonge notre bulletin de veille du 22 septembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.