Le 22 octobre 2026, la Fédération française de tir a décrit l’attaque qui a visé, du 12 au 15 octobre, son espace licenciés et son site de suivi des grades. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité : mode opératoire, correspondance avec MITRE ATT&CK, détection, questions d’audit ISO 27001 et pistes de sensibilisation. Elle repose sur le communiqué de la fédération et sur les articles de ZATAZ et de 24matins ; le mécanisme exact d’accès aux données des autres licenciés et les modalités d’exfiltration ne sont pas publiés.
Pour une lecture orientée dirigeant, voir notre décryptage « Fédération de tir : comment des comptes de licenciés ont ouvert l’accès aux données des autres ».
Contexte
- Sources : communiqué et FAQ de la FFTir, 22 octobre 2026 ; ZATAZ, 23 octobre 2026 ; 24matins, 25 octobre 2026.
- Systèmes visés : EDEN, portail personnel des licenciés avec dépôt de documents (double authentification disponible mais facultative) ; Cibles Couleurs, site de suivi des grades exposant une fonction de vérification des licences. L’application de gestion des licences, visée en octobre 2025, n’est pas citée pour cet incident ; la double authentification y est obligatoire.
- Période : 12 au 15 octobre 2026, puis nouvelles tentatives les 17 et 18 octobre.
- Données : identité, club, catégorie d’âge, grade et date de validation, mention d’une pratique handisport ; environ 64 000 photos d’identité ; près de 19 000 documents déposés (dont des certificats d’aptitude) ; 55 dossiers complets. Ni mot de passe, ni donnée bancaire, ni information sur la détention d’armes, selon la fédération.
- Revendication : mise en vente annoncée sur un forum le 17 octobre, avec des volumes présentés par le vendeur que la fédération ne confirme que pour les photos et les documents (ZATAZ).
- Contexte sectoriel : la même semaine, la Fédération française de voile a confirmé l’extraction de plus de deux millions de fiches via une faille dans un outil d’analyse de données (Cyberattaque.org, 24 octobre 2026).
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce qui est rapporté | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| Obtention d’identifiants | Identifiants de licenciés « obtenus ou devinés » ; provenance non précisée | T1589.001 Gather Victim Identity Information: Credentials ; T1110.004 Credential Stuffing ou T1110.001 Password Guessing |
| Accès initial | Connexion au portail EDEN avec ces comptes valides, double authentification facultative | T1078 Valid Accounts |
| Accès aux données d’autres utilisateurs | Depuis un compte légitime, consultation des données et documents d’autres licenciés ; mécanisme non publié | T1190 Exploit Public-Facing Application (si défaut de contrôle d’accès applicatif, notre hypothèse) ; T1213 Data from Information Repositories |
| Collecte automatisée | Interrogation en masse de la fonction de vérification des licences de Cibles Couleurs | T1119 Automated Collection |
| Exfiltration | Non documentée | Non déterminable |
| Monétisation | Mise en vente sur un forum le 17 octobre, échantillon publié en accès libre le week-end des 17-18 octobre | Hors périmètre ATT&CK Enterprise |
| Seconde vague | 18 octobre : tentatives de prise de contrôle de comptes sur Cibles Couleurs (site fermé le soir même) ; dizaines de milliers de tentatives bloquées sur EDEN | T1110 Brute Force |
Faits techniques connus
L’attaque combine deux faiblesses distinctes. La première relève de l’authentification : un mot de passe valide suffisait pour entrer, la double authentification n’étant pas imposée. La seconde relève de l’autorisation : un compte authentifié a pu accéder à des données qui n’étaient pas les siennes. Notre lecture est qu’il s’agit d’un défaut de contrôle d’accès au niveau des objets (référence directe non vérifiée côté serveur, de type IDOR), schéma le plus fréquent dans ce genre de portail ; la fédération ne le confirme pas. La fonction de vérification des licences, conçue pour répondre à des requêtes unitaires, a été utilisée comme outil de collecte, ce qui suggère l’absence de limitation de débit efficace par client.
Ce qu’on ne sait pas
- Le mécanisme exact d’accès aux données des autres licenciés.
- La provenance des identifiants (fuites antérieures, devinette, hameçonnage).
- Le nombre de personnes uniques concernées et la part de données anciennes dans l’archive revendiquée.
- L’origine des adresses postales que le vendeur associerait à certaines fiches, alors que la fédération indique qu’elles ne figurent pas dans les données récupérées.
Détection : une alerte rapide, une remédiation en plusieurs jours
L’adresse de l’attaquant a été bloquée dès le soir du 12 octobre et l’hébergeur a alerté la fédération le 13 au matin. Le déclencheur n’est pas précisé ; le volume de requêtes est l’explication la plus probable, selon notre lecture. La fonction de Cibles Couleurs n’a pourtant été fermée et corrigée que le 15 octobre, et les documents d’EDEN rendus inaccessibles le 16. Un blocage par adresse ne neutralise pas un attaquant qui dispose de plusieurs sources ou de comptes valides.
Signaux exploitables dans ce type de portail :
- volume de fiches ou de documents consultés par session et par compte, comparé à l’usage normal d’un adhérent ;
- accès à des identifiants d’objets n’appartenant pas au compte connecté (à journaliser côté application, pas seulement côté serveur web) ;
- taux d’échecs de connexion par compte et par source, connexions réussies depuis des sources déjà vues en échec sur d’autres comptes ;
- appels répétés à une fonction de vérification depuis une même source ou un même jeton de session.
Point clé de réponse à incident : la capacité à couper une fonction précise (mode dégradé) en quelques heures, avec une personne habilitée à le décider, réduit fortement la fenêtre d’exposition.
Questions d’audit ISO 27001:2022
- A.5.17 et A.8.5 (informations d’authentification, authentification sécurisée) : « Pour vos portails ouverts aux clients ou adhérents, la double authentification est-elle obligatoire ou seulement proposée ? Quelles protections contre le bourrage d’identifiants sont en place (limitation des tentatives, détection de mots de passe connus comme compromis) ? Montrez-moi les seuils et la dernière alerte déclenchée. »
- A.8.3, A.8.26 et A.8.29 (restriction d’accès à l’information, exigences de sécurité des applications, tests de sécurité dans le développement et l’acceptation) : « Comment vérifiez-vous qu’un utilisateur authentifié ne peut accéder qu’à ses propres objets ? Montrez-moi le dernier test d’intrusion ou la dernière revue de code couvrant ce point, et le suivi des écarts. »
- A.8.16, A.5.25 et A.5.26 (activités de surveillance, appréciation des événements, réponse aux incidents) : « Quel indicateur déclenche une alerte en cas de consultation massive par un même compte ou sur une même fonction ? Dans votre dernier incident, quel délai entre la première alerte et la neutralisation de la fonction en cause, et qui pouvait la décider ? »
- A.5.34 et A.8.10 (protection des données personnelles, suppression des informations) : « Pourquoi des pièces justificatives (photos, certificats) restent-elles consultables en ligne après vérification ? Quelle durée de conservation est définie et comment est-elle appliquée techniquement ? »
Pistes de sensibilisation
- Pour les équipes produit et les prestataires web : atelier « Un compte, ses données, rien d’autre ». Partir du cas pour montrer qu’un compte valide suffit à aspirer une base si les droits ne sont pas vérifiés à chaque requête, puis recenser les écrans et les fonctions de l’espace client qui renvoient des données à partir d’un identifiant. Support complémentaire : la fiche « Pourquoi et comment bien gérer ses mots de passe ? » de Cybermalveillance.gouv.fr, pour expliquer le bourrage d’identifiants.
- Pour les adhérents, clients et salariés : « L’escroc qui sait tout ». Dix minutes sur les arnaques qui suivent une fuite (faux policiers, faux club, faux service client), avec la liste à faire de la CNIL et de Cybermalveillance.gouv.fr, « Violation de données personnelles, que faire en 3 étapes clés ? ».
À lire aussi : notre décryptage « Fédération de tir : comment des comptes de licenciés ont ouvert l’accès aux données des autres » et notre bulletin de veille du 26 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.