FFHandball piratée : plus d'un million de données personnelles en vente, la CNIL et l'ANSSI saisies

Le 10 août 2026, la Fédération française de handball a détecté un accès non autorisé à Gest’Hand, le logiciel qui centralise les licences de ses adhérents. Un pirate a aussitôt revendiqué la mise en vente d’une base de plus de 1,36 million de lignes, dont environ 311 000 licences accompagnées de pièces d’identité, passeports et certificats médicaux. C’est la deuxième intrusion en huit mois pour la fédération — un signal que la CNIL, qui a déjà placé 30 fédérations sportives sous surveillance renforcée, ne devrait pas laisser passer.

Ce qui s'est passé

Selon le communiqué officiel de la fédération, l’incident a été identifié le 10 août et a immédiatement déclenché des mesures de sécurisation avec le prestataire en charge de Gest’Hand. Le même jour, un individu revendiquait sur un forum spécialisé l’intrusion sur ffhandball.fr et proposait à la vente une base de 1 367 197 lignes. Environ 311 000 licences seraient concernées, avec des documents personnels sensibles : cartes d’identité, passeports et certificats médicaux. Des échantillons publiés laisseraient apparaître des données de mineurs, sans confirmation officielle de la fédération à ce stade.

En réponse, l’accès à Gest’Hand a été temporairement suspendu, la double authentification va devenir obligatoire pour tous les utilisateurs à la réouverture du service, et la FFHandball indique avoir effectué les signalements nécessaires auprès de la CNIL et de l’ANSSI. Il s’agit de la deuxième cyberattaque visant l’outil en huit mois, après un premier incident en décembre 2025.

Pourquoi c'est important

Des certificats médicaux et des pièces d’identité relèvent de catégories de données à traiter avec la plus grande prudence : les données de santé sont des catégories particulières de données au sens de l’article 9 du RGPD, soumises à un régime de protection renforcé. Leur exposition, combinée à celle de documents d’identité, multiplie les risques d’usurpation d’identité et de fraude pour les personnes concernées — d’autant plus si des mineurs figurent parmi les licenciés touchés.

Le responsable de traitement — ici la fédération, éventuellement solidairement avec son prestataire Gest’Hand en tant que sous-traitant — reste tenu par l’obligation de notification à l'autorité de contrôle dans un délai de 72 heures après avoir eu connaissance de la violation, et le cas échéant par l’obligation de communication directe aux personnes concernées lorsque le risque est élevé. Le signalement annoncé à la CNIL et à l’ANSSI va dans ce sens, mais l’ampleur des catégories de données exposées laisse présager un examen approfondi du dossier.

Cet épisode s’inscrit surtout dans une tendance déjà identifiée par le régulateur : notre article sur les contrôles CNIL visant 30 fédérations sportives pointait une série de fuites massives dans ce secteur. La FFHandball, victime pour la seconde fois en moins d’un an, illustre à quel point ces organisations peinent à combler leurs failles malgré les alertes répétées.

Ce que ça change pour les organisations

Pour toute structure qui gère des bases de licenciés, adhérents ou bénéficiaires — fédérations, associations, clubs, organismes de formation — cet incident rappelle plusieurs priorités concrètes. D’abord, vérifier que les prestataires techniques appliquent une authentification forte par défaut, et pas seulement après un incident : la MFA promise par la FFHandball aurait idéalement dû être en place avant la première attaque de décembre 2025. Ensuite, limiter la collecte de documents d’identité et de certificats médicaux au strict nécessaire, et purger ceux qui n’ont plus d’utilité active, conformément au principe de minimisation. Enfin, disposer d’un plan de réponse à incident déjà rédigé, pour ne pas improviser la notification CNIL et la communication aux personnes concernées sous la pression d’une revendication publique de fuite. Notre guide sur la violation de données personnelles détaille la marche à suivre étape par étape, de la qualification de l’incident à la notification.

Ce que Leto pense de cette décision

Une récidive en moins de huit mois n’est plus un simple incident de sécurité : c’est un signal de gouvernance défaillante. Que des documents aussi sensibles que des certificats médicaux et des pièces d’identité de mineurs aient pu rester exposés après une première alerte en décembre 2025 interroge directement la mise en œuvre des mesures correctives promises à l’époque. Pour la CNIL, qui a déjà les fédérations sportives dans son viseur, ce dossier a toutes les caractéristiques d’un cas d’école sur le manquement à l’article 32 (sécurité du traitement) plutôt que sur la seule obligation de notification. Les organisations du secteur associatif et sportif, souvent sous-dotées en ressources IT, ont intérêt à traiter ce type d’épisode comme un avertissement collectif plutôt que comme une fatalité isolée.

Sources : FFHandball — Communiqué officiel, ZATAZ