Fédération française de tir : une seconde intrusion en un an, 64 000 photos d'identité de licenciés copiées
La Fédération française de tir (FFTir) a informé ses licenciés le 22 octobre 2026 d'une nouvelle intrusion dans ses outils, environ un an après une première attaque. Selon la fédération, l'attaquant a récupéré environ 64 000 photos d'identité et près de 19 000 documents déposés par des licenciés, dont des certificats d'aptitude. Pour un DPO, le cas se lit comme une leçon de mise en œuvre : authentification, cloisonnement des droits et délai de correction.
Ce qui s'est passé
D'après le courrier de la FFTir, relayé par Next le 26 octobre, l'attaquant s'est connecté le 12 octobre à l'espace licencié avec des identifiants « volés ou devinés ». Il aurait ensuite outrepassé ses droits pour accéder aux données d'autres licenciés, puis interrogé « en masse » la fonction de vérification des licences de Cibles Couleurs, le site de formation de la fédération.
La fédération indique avoir détecté et bloqué l'accès litigieux dès le 12 octobre. La fonction de Cibles Couleurs n'a toutefois été fermée et corrigée que le 15 octobre, et l'accès aux documents déposés dans EDEN, l'outil de gestion des licences des tireurs, n'a été coupé que le 16.
Les données touchées varient selon les licenciés. Pour la plupart, actuels et anciens, il s'agit du nom, du prénom, du club, de la catégorie d'âge et, le cas échéant, du grade Cibles Couleurs et de la mention d'une pratique handisport. Le dossier complet de 55 licenciés a été copié. La FFTir précise qu'aucune information sur la possession d'armes n'est concernée, puisqu'elle ne les détient pas, ni les mots de passe ni des données bancaires.
Son président, Hugues Senger, écrit que la fédération a informé l'ANSSI les 13 et 15 octobre, et la CNIL le 16, « dans le délai prévu par la loi ».
Pourquoi c'est important
Ce n'est pas un premier incident. En octobre 2025, la FFTir avait déjà signalé une intrusion dans ITAC, son intranet des clubs, survenue entre le 18 et le 20 octobre 2025, avec exposition de l'état civil, des adresses et des coordonnées de licenciés. Les fédérations sportives figurent par ailleurs parmi les thèmes de contrôle prioritaires de la CNIL pour 2026, après une série de fuites dont celle de la Fédération française de handball cet été.
Le cadre est connu. L'article 32 du RGPD impose des mesures de sécurité adaptées au risque, et le risque se mesure aussi à l'historique : une seconde intrusion après une première attaque peut peser dans l'appréciation de ces mesures. L'article 33 encadre la notification à l'autorité, dans les 72 heures après en avoir pris connaissance, et l'article 34 l'information des personnes en cas de risque élevé. Des photos d'identité et des documents personnels peuvent rendre crédibles des tentatives d'hameçonnage ciblé, ce que la fédération souligne elle-même auprès de ses licenciés : « Vos données peuvent servir à les rendre crédibles ».
Enfin, la fédération écrit elle-même que la double authentification est « déployée progressivement » et sera « généralisée dans les semaines à venir ». Autrement dit, un an après la première attaque, la double authentification n'était pas encore obligatoire sur tous ses outils.
Ce que ça change pour les organisations
- Imposer l'authentification multifacteur sur tous les espaces utilisateurs qui exposent des documents d'identité, et pas seulement sur les outils internes.
- Tester le cloisonnement entre comptes : un utilisateur authentifié ne doit jamais pouvoir lire le dossier d'un autre en modifiant un identifiant dans une requête.
- Limiter le débit des fonctions de consultation publiques ou semi-publiques, comme une vérification de licence, et surveiller les interrogations en masse.
- Prévoir la coupure immédiate d'une fonction compromise : ici, trois à quatre jours ont séparé le blocage de l'accès et la fermeture des fonctions exposées.
- Appliquer la minimisation : archiver ou supprimer les documents des anciens membres que rien n'oblige à conserver en ligne. Notre guide sur les bons réflexes face à une violation de données détaille la procédure de qualification et de notification.
Ce que Leto en pense
La FFTir communique avec transparence, et une attaque préparée peut viser n'importe quelle organisation. Mais deux mesures de l'annexe A d'ISO/IEC 27001:2022 auraient sans doute limité l'incident : l'authentification sécurisée (A.8.5) et la restriction d'accès à l'information (A.8.3). Après un premier incident, le plan d'action mérite d'être tenu dans un registre, avec des échéances et des preuves. Leto tient déjà la partie RGPD de ce travail, registre des violations, plan d'action et sous-traitants : voir une démo.
Sources
