Deux fédérations sportives françaises, le tir et la voile, confirment des fuites de données de leurs licenciés, et un réseau de centres d’ophtalmologie prévient ses patients d’un vol passé par l’outil de rendez-vous d’un prestataire. Côté réglementation, les États de l’UE ont arrêté leur position sur la simplification du RGPD et du signalement des incidents.
Attaques
- Fédération française de tir : 64 000 photos d’identité copiées. Entre le 12 et le 15 octobre, un attaquant s’est connecté à l’espace des licenciés avec des comptes dont il avait obtenu ou deviné les mots de passe, puis a consulté les données d’autres membres. Près de 19 000 documents et 55 dossiers complets ont aussi été copiés ; ni mot de passe, ni donnée bancaire, ni information sur la détention d’armes, selon la fédération. FFTir, 22 octobre 2026 ; ZATAZ, 23 octobre 2026
- Fédération française de voile : plus de deux millions de fiches extraites. Un attaquant a exploité le 19 octobre une faille dans un outil d’analyse de données. Sont concernés des licenciés actuels et anciens, des titulaires du Passeport Voile, ainsi que des IBAN de certains clubs : attention aux faux changements de RIB. La faille est corrigée. Cyberattaque.org, 24 octobre 2026
- Point Vision : des données de patients volées via un prestataire. Une faille dans l’outil de prise de rendez-vous d’un partenaire a permis de télécharger l’identité, les coordonnées et des échanges liés aux rendez-vous. L’exposition des motifs de consultation est possible mais pas démontrée ; aucun accès aux dossiers médicaux n’a été constaté à ce stade. ZATAZ, 24 octobre 2026
Vulnérabilités
- Failles PHP2Shell : une première victime documentée. Selon Palo Alto Networks, un organisme public européen a été compromis : en deux heures, les attaquants ont récupéré des empreintes de mots de passe et des secrets de double authentification, avec des signes de pilotage par un agent d’IA. Le 24 octobre, aucune compromission n’était encore confirmée. Seule parade : mettre PHP à jour sur le serveur. The Hacker News, 25 octobre 2026
- Assistants de programmation par IA : attention au dossier Téléchargements. Des chercheurs montrent qu’un fichier d’instructions piégé, déposé dans ce dossier par une simple page web, peut pousser un agent de code à installer un logiciel malveillant ou à livrer ses accès. Ne lancez jamais ces outils depuis Téléchargements, mais depuis le dossier du projet. BleepingComputer, 25 octobre 2026
Réglementation et normes
- Digital Omnibus : les États de l’UE adoptent leur position. Le 21 octobre, le Conseil a validé son texte pour simplifier le RGPD, les règles sur les cookies et le signalement des incidents : délai de notification des violations allongé, plus de cas où les cookies ne demandent pas de consentement, et un point d’entrée national unique pour signaler les incidents. Rien ne change encore : le Parlement européen doit adopter sa propre position avant les négociations. Conseil de l’UE, 21 octobre 2026
- NIS2 en France : toujours pas de date. Retiré de l’ordre du jour de l’Assemblée nationale le 6 octobre, le projet de loi Résilience, qui transpose la directive, n’a pas été reprogrammé à notre connaissance. Les entreprises concernées ont intérêt à avancer sans attendre le texte. Leto, 6 octobre 2026
Le bon réflexe
- Vos données ont fuité ? Méfiez-vous des messages qui « savent tout ». Après une fuite, l’escroc connaît votre nom, votre club ou votre rendez-vous, et c’est ce qui le rend crédible. Trois gestes : ne donnez jamais un code, un mot de passe ou vos coordonnées bancaires à quelqu’un qui vous contacte, même s’il cite des informations exactes ; en cas de doute, rappelez l’organisme à son numéro officiel ; changez le mot de passe s’il sert ailleurs et activez la double authentification. La CNIL et Cybermalveillance.gouv.fr proposent une liste à faire en trois étapes, du jour de la découverte à J+30 : CNIL, 1er octobre 2026.
Pour aller plus loin : notre décryptage du jour, « Fédération de tir : comment des comptes de licenciés ont ouvert l’accès aux données des autres ».
Veille publiée le 26 octobre 2026, préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.