Plusieurs millions de licenciés

La Fédération française de golf qui compte 450 000 adhérents, est l’une des cibles les plus récentes. La fédération prévenu ses membres vendredi : les informations volées comprennent les noms, prénoms, coordonnées postales et électroniques, numéros de licence et autres données administratives. Aucun mot de passe ni renseignement bancaire n’a été compromis, mais les fichiers ont été mis en vente sur le dark web, exposant les licenciés à un risque réel d’escroquerie ciblée. Selon des experts en cybersécurité, des personnalités comme Bernard Arnault, Xavier Niel ou Francis Cabrel pourraient faire partie des victimes. La fédération a mis en place un dispositif « liste rouge » pour permettre aux membres de rester anonymes.

La Fédération nationale des chasseurs a également confirmé un piratage le 20 janvier dernier, affectant près d’un million de licenciés. Les données dérobées concernent l’état civil, le numéro de permis et l’historique des examens et formations. Là encore, aucune information bancaire ou sur la détention d’armes n’a été volée, mais l’accès à ces fichiers sur le dark web pourrait servir de « liste de repérage » pour des cambriolages ciblés, comme cela a été constaté après le piratage de la Fédération française de tir.

Plus tôt dans le mois, la Fédération française de volley a subi une fuite massive touchant plus d’un million de licenciés. Contrairement aux autres attaques, cette fuite inclut des documents sensibles : cartes d’identité, actes de naissance, photos personnelles et documents administratifs signés. Les experts alertent sur le risque accru d’usurpation d’identité et d’escroquerie ciblée, certaines informations permettant de monter des dossiers complets sur les victimes.

La Fédération française de tennis a été touchée quelques jours avant, avec plus de 1,2 million de comptes compromis, tandis que la Fédération française de montagne et d’escalade a annoncé la fuite de données concernant 100 000 licenciés. Ces attaques successives montrent que le phénomène touche l’ensemble du sport français, indépendamment de la taille de la fédération.

Des failles communes

Pourquoi plusieurs fédérations ont-elles été ciblées ? Selon les spécialistes, le problème tient à la dépendance à quelques prestataires communs et à des logiciels de gestion mutualisés. Des plateformes comme AssoConnect, Comiti ou Be Sport centralisent la gestion des licences, des paiements et de la communication pour plusieurs fédérations. Une faille sur un compte ou une vulnérabilité logicielle peut alors compromettre simultanément des centaines de milliers de dossiers. L’absence de double authentification, l’usage de mots de passe simples et la multiplication des accès par les bénévoles aggravent le problème.

Les données volées sont rapidement mises en circulation sur des forums du dark web. Elles peuvent être utilisées pour des tentatives de phishing ultra-ciblé, des arnaques téléphoniques personnalisées, des tentatives d’escroquerie jusqu’à des usurpations d’identité. Les cybercriminels disposent ainsi d’informations très détaillées, allant de l’état civil aux coordonnées postales, permettant de monter des scénarios d’escroquerie sophistiqués et de repérer des cibles physiques, comme pour les chasseurs.