AllUnited : une faille expose les membres de tous les clubs clients, le sous-traitant notifie l'autorité pour leur compte
Le 9 novembre 2026 au soir, un attaquant a exploité une faille du logiciel néerlandais AllUnited, qui gère l'administration des membres d'associations, de clubs sportifs et de fédérations, et a copié sa base de données. Selon l'éditeur, les données de tous ses clients sont concernées, IBAN et dates de naissance compris. Pour un DPO, l'affaire est un cas d'école : le sous-traitant a obtenu de l'autorité néerlandaise de protection des données (AP) de notifier la violation au nom de ses clients, qui restent pourtant juridiquement responsables.
Ce qui s'est passé
D'après la page d'incident publiée par AllUnited, l'attaquant est entré par le formulaire d'inscription du site web d'un club, a atteint l'un des serveurs de l'éditeur et en a copié la base. La faille a été découverte et corrigée le mardi 10 novembre. Le même jour, AllUnited a notifié la violation à l'AP, annoncé porter plainte, et prévenu par e-mail toutes les organisations clientes.
Les données copiées sont larges :
- pour les membres : nom, adresse, date de naissance, téléphone, e-mail, IBAN, et tous les autres champs de la fiche, y compris les notes libres saisies par le club et les mots de passe temporaires ;
- pour les inscriptions faites sur les sites des clubs : nom, e-mail, téléphone, date de naissance et IBAN ;
- pour les gestionnaires : nom, e-mail, téléphone et mot de passe chiffré.
Anciens membres, parents de jeunes licenciés, bénévoles et sponsors encore présents dans les fichiers sont touchés ; les fiches déjà anonymisées ne le sont pas. AllUnited précise que les mots de passe étaient chiffrés, mais que l'attaquant a aussi emporté la manière dont ce chiffrement fonctionne : tous les mots de passe ont été invalidés. Les mots de passe temporaires, eux, étaient stockés en clair. L'éditeur dit n'avoir connaissance d'aucun usage des données à ce stade et désigne l'hameçonnage comme le risque principal. Depuis le 11 novembre, les échanges de données par API avec plusieurs fédérations sportives néerlandaises sont coupés.
Une notification groupée, faite par le sous-traitant
Le 10 novembre, AllUnited demandait à chaque club de notifier lui-même l'AP dans les 72 heures suivant son e-mail, puisque chaque club est responsable des données de ses membres. Le 11 novembre au soir, après concertation avec l'AP, l'éditeur a proposé de faire une notification groupée pour le compte des organisations qui lui donnent un accord écrit, et d'informer leurs membres si elles le souhaitent. Le 12 novembre, il indiquait que des centaines d'organisations y avaient adhéré. Le 13 novembre, le délai d'adhésion a été prolongé en accord avec l'AP, et la notification groupée était annoncée pour le jour même. Aux clubs qui préfèrent notifier seuls, l'éditeur indique une échéance au 13 novembre à 19 h 15.
AllUnited le rappelle lui-même : l'organisation qui délègue la notification reste juridiquement responsable.
Pourquoi c'est important
Le RGPD répartit les rôles sans ambiguïté. Le sous-traitant notifie la violation au responsable du traitement dans les meilleurs délais (article 33, paragraphe 2), et c'est le responsable qui notifie l'autorité dans les 72 heures. Le contrat de sous-traitance doit prévoir que le sous-traitant aide le responsable à respecter ses obligations des articles 32 à 36 (article 28, paragraphe 3, point f). La notification groupée d'AllUnited est une forme poussée de cette assistance : elle ne transfère pas la responsabilité.
Avec des IBAN, des dates de naissance et des données d'enfants, la question de la communication aux personnes concernées se pose aussi (article 34). La CNIL avait déjà décrit ce scénario d'une cyberattaque chez un sous-traitant et ses conséquences pour le responsable.
Ce que ça change pour les organisations
- Relire, dans chaque contrat de sous-traitance, la clause de notification des violations : délai, contenu, interlocuteur, et possibilité pour le sous-traitant de notifier pour votre compte.
- Savoir, pour chaque outil métier, quelles catégories de données il contient réellement, champs libres compris : ce sont souvent eux qui aggravent une violation.
- Préparer à l'avance le message aux personnes concernées et la liste des destinataires, anciens membres et représentants légaux compris.
- Vérifier que vos fournisseurs ne stockent aucun mot de passe en clair, même temporaire.
- Tenir à jour l'audit de vos sous-traitants, avec la méthode du guide RGPD du sous-traitant B2B.
Ce que Leto en pense
La réaction d'AllUnited est un exemple de transparence et d'assistance au responsable, utile à ses clients. Le point d'entrée, un formulaire d'inscription public, et les mots de passe temporaires en clair renvoient en revanche à deux mesures de l'annexe A d'ISO/IEC 27001:2022, le codage sécurisé (8.28) et l'usage de la cryptographie (8.24), et à l'exigence de sécurité de l'article 32 du RGPD. Côté responsable, tout se joue avant l'incident : un registre des sous-traitants qui dit quelles données vivent où. Si vous voulez voir comment Leto tient ce registre et les questionnaires sécurité de vos fournisseurs, demandez une démo.
Sources
