La Fédération française de tir a confirmé le 22 octobre une nouvelle fuite de données, un an après la précédente. L’attaquant n’a pas forcé une porte blindée : il est entré avec des comptes de licenciés dont il connaissait ou avait deviné les mots de passe, puis a pu consulter les données d’autres membres. Une leçon pour toute structure qui propose un espace client ou adhérent en ligne.
Ce qui s’est passé
Selon le communiqué de la fédération, l’attaque s’est déroulée entre le 12 et le 15 octobre 2026 sur deux de ses sites : EDEN, l’espace personnel des licenciés, et Cibles Couleurs, qui suit la progression sportive (FFTir, 22 octobre 2026).
L’attaquant a copié environ 64 000 photos d’identité, près de 19 000 documents déposés par les licenciés (dont des certificats d’aptitude au tir) et 55 dossiers complets. Pour la plupart des licenciés, actuels et anciens, il s’agit du nom, du club, de la catégorie d’âge et du niveau sportif. La fédération précise qu’aucun mot de passe, aucune donnée bancaire et aucune information sur la détention d’armes n’est concernée. Elle a prévenu la CNIL et l’ANSSI, et porté plainte.
Les données avaient été mises en vente sur un forum dès le 17 octobre, selon ZATAZ (ZATAZ, 23 octobre 2026). La même semaine, la Fédération française de voile annonçait l’extraction de plus de deux millions de fiches via la faille d’un outil d’analyse de données (Cyberattaque.org, 24 octobre 2026).
Comment l’attaque a fonctionné
Des mots de passe déjà connus. L’attaquant s’est connecté avec de vrais comptes de licenciés. Il a pu récupérer ces mots de passe dans d’anciennes fuites, quand ils sont réutilisés sur plusieurs sites, ou simplement les deviner. La double authentification (un code en plus du mot de passe) existait sur EDEN, mais elle était facultative.
Un compte, et les données des autres. Une fois connecté, l’attaquant a pu consulter les données d’autres licenciés. La fédération ne détaille pas comment. Dans ce type de cas, la cause habituelle est un site qui vérifie que l’on est connecté, mais pas que l’on a le droit de voir la fiche demandée.
Des requêtes en rafale. En parallèle, l’attaquant a interrogé en masse la fonction de vérification des licences de Cibles Couleurs.
Une alerte rapide, une fermeture plus lente. Son adresse a été bloquée dès le soir du 12 octobre et l’hébergeur a prévenu la fédération le lendemain. Mais la fonction en cause n’a été fermée et corrigée que le 15, et les documents d’EDEN rendus inaccessibles le 16. Le week-end suivant, l’attaquant est revenu et a tenté de prendre le contrôle de comptes : le site Cibles Couleurs a été fermé.
Ce qu’on ne sait pas encore
- Le nombre exact de personnes concernées : la fédération alerte tous ses licenciés, actifs et anciens, par précaution.
- Le mécanisme précis qui a permis de voir les données d’autres licenciés.
- L’ampleur réelle de l’archive mise en vente, dont les volumes annoncés par le vendeur ne sont pas confirmés.
Ce que ça change pour une PME
- Rendez la double authentification obligatoire sur votre espace client ou adhérent, au moins pour les comptes qui donnent accès à des documents ou à des données sensibles.
- Faites tester le cloisonnement des comptes : demandez à votre prestataire de vérifier qu’un client connecté ne peut jamais afficher la fiche ou le document d’un autre, et que ce point figure dans chaque test d’intrusion.
- Prévoyez qui peut couper une fonction en cas d’attaque, sans attendre plusieurs jours : bloquer une adresse ne suffit pas, l’attaquant en change.
- Ne gardez pas en ligne les pièces justificatives (photos d’identité, certificats) une fois vérifiées. Et prévenez vos clients des arnaques qui suivent une fuite, avec la liste à faire de la CNIL et de Cybermalveillance.gouv.fr, « Violation de données personnelles, que faire en 3 étapes clés ? ».
Le regard de l’auditeur
Quatre questions à vous poser, ou à poser à votre prestataire. Elles s’inspirent de ce que vérifie un auditeur ISO 27001 :
- Sur notre espace client, la double authentification est-elle obligatoire, et que se passe-t-il quand quelqu’un essaie des centaines de mots de passe ?
- Avons-nous la preuve, par un test récent, qu’un client connecté ne peut voir que ses propres données ?
- Qui est prévenu si un compte consulte soudain des milliers de fiches, et qui peut décider de couper le service ?
- Combien de temps gardons-nous les pièces d’identité et justificatifs déposés en ligne, et qui vérifie qu’ils sont bien supprimés ?
Pour les pros : notre analyse technique (mode opératoire, MITRE ATT&CK, questions d’audit ISO 27001).
Dossiers : Sites web et données clients · Mots de passe et accès volés
Cet article prolonge notre bulletin de veille du 26 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.