La Fédération française de tir a annoncé le 22 octobre avoir été victime d’un nouveau piratage, le deuxième en un an. L’attaque s’est déroulée entre le 12 et le 15 octobre. Il y a un an, les données volées avaient servi à dérober des armes. Cette fois, 64 000 photos d’identité et près de 19 000 documents ont été récupérés, dont des certificats d’aptitude. La fédération revendique 300 000 licenciés ; le pirate affirme détenir les dossiers de 587 000 personnes.
- Ce que la fédération reconnaît
- Pourquoi 587 000 personnes pour 300 000 licenciés
- Ce que la première fuite a déjà produit
- Ce que le communiqué ne dit pas
- Ce que j’en retiens
Ce que la fédération reconnaît
Le communiqué de la FFTir est précis sur le mécanisme. « L’attaquant s’est connecté à l’espace licencié EDEN avec des comptes de licenciés dont il avait obtenu ou deviné les identifiants », écrit la fédération, avant de consulter les données personnelles d’autres licenciés (FFTir, 22 octobre 2026). Son adresse a été bloquée le soir du 12 octobre ; l’hébergeur a alerté la fédération le lendemain matin. Une plainte a été déposée et la CNIL prévenue (franceinfo, 22 octobre 2026).
Les données sont celles d’un fichier d’adhérents ordinaire : nom, prénom, club, catégorie d’âge, grade « Cibles Couleurs », mention éventuelle d’une pratique handisport. S’y ajoutent 64 000 photos d’identité et près de 19 000 documents déposés dans l’espace personnel, dont des certificats d’aptitude. Pour 55 personnes, le dossier complet a été copié. Aucune donnée bancaire n’est concernée.
Pourquoi 587 000 personnes pour 300 000 licenciés
La fédération annonce 300 000 licenciés (FFTir). Le pirate revendique 587 000 dossiers, dont 250 000 membres actifs et 350 000 anciens selon FrenchBreaches, cité par franceinfo. L’écart n’est pas une erreur de comptage : il mesure ce que la fédération garde.
Le piratage précédent l’avait déjà montré. En octobre 2025, le parquet de Paris décrivait le vol des données de 250 000 adhérents et de 750 000 anciens, soit un million de personnes pour une fédération qui en comptait alors 275 000. Les fichiers ne s’arrêtent donc pas à la fin de la licence. Le règlement européen sur les données personnelles impose qu’une durée de conservation soit fixée et justifiée. La fédération ne dit rien de la sienne.
300 000 licenciés, 587 000 dossiers revendiqués
Personnes dont les données sont en jeu, par année
Ce que la première fuite a déjà produit
La fuite de 2025 n’est pas restée abstraite. Selon TF1 Info, certaines données ont servi à dérober des armes chez des tireurs sportifs, par effraction ou en se faisant passer pour des policiers (TF1 Info, 22 octobre 2026). Le parquet de Paris avait décrit une « compromission d’un compte interne » et confié l’enquête à la brigade anti-cybercriminalité. Un homme de 18 ans a été mis en examen le 9 janvier 2026.
Le risque se lit dans ce précédent : un nom, un club et une photo disent qui détient une arme et où il vit. La répétition s’inscrit dans une série documentée, des 99 fuites recensées dans l’administration, dont l’Anssi elle-même (notre article du 4 octobre), aux fichiers perdus par des prestataires de collectivités (Hauts-de-France, même jour).
Ce que le communiqué ne dit pas
La date, d’abord. Le règlement européen fixe à 72 heures le délai de notification d’une violation à la CNIL. La fédération indique l’avoir prévenue ; elle ne dit pas quand. L’attaque a été détectée le 13 octobre au matin, le communiqué public est daté du 22.
La porte d’entrée, ensuite. L’attaquant est entré avec des identifiants « obtenus ou devinés », ce qui suppose qu’un identifiant et un mot de passe suffisaient. Rien n’indique qu’une authentification à deux facteurs ait été ajoutée depuis 2025. La règle existe pourtant depuis 2014, sans contrainte (notre article du 21 octobre).
La portée, enfin. La fédération écrit que l’attaquant a consulté les données des autres licenciés, sans préciser si un seul compte ouvrait les dossiers des autres. Le chiffre de 587 000 vient du pirate, pas d’un décompte de la fédération.
Ce que j’en retiens
Une fédération sportive est une association privée, financée par les licences. Elle détient les photos, les certificats médicaux et les coordonnées de 300 000 pratiquants, et les dossiers de centaines de milliers d’anciens. Aucun audit public de sa sécurité n’est publié ; la CNIL peut contrôler et sanctionner, mais après coup.
La question n’est pas de savoir si la fédération est coupable, mais pourquoi ce fichier existe sous cette forme. Une licence se vérifie avec un numéro et une date. La photo d’identité et le certificat médical servent à autre chose : ils accompagnent la délivrance des autorisations d’armes, où l’État s’appuie sur la fédération sans assumer la conservation. On a confié à un club la matière d’un contrôle public, avec la sécurité d’un club. Un an après, la même porte s’est rouverte, et personne ne peut dire ce qui avait été fermé.
Une structure privée garde des documents sensibles pour le compte d’une autorité publique, sans que cette autorité réponde de la sécurité du fichier. Quand la fuite sert ensuite à voler des armes, la chaîne de responsabilité s’arrête au club. Je ne demande pas la suppression de la fédération, elle fait son travail. Je constate qu’un fichier de 587 000 personnes pour 300 000 licenciés n’a pas de justification évidente, et que la conservation des anciens dossiers transforme chaque piratage en catastrophe cumulative.
- Deuxième piratage en un an, du 12 au 15 octobre 2026, via des comptes de licenciés aux identifiants devinés ou obtenus.
- 64 000 photos d’identité et près de 19 000 documents, dont des certificats d’aptitude, ont été récupérés.
- 587 000 dossiers revendiqués pour 300 000 licenciés : les anciens restent dans les fichiers, comme les 750 000 de 2025.
- Plainte déposée et CNIL alertée. La fédération ne donne ni la date de la notification, ni les mesures ajoutées depuis 2025.
Deux limites : 587 000 est une revendication de l’attaquant, non un décompte de la fédération ; et aucun lien n’est établi entre ce fichier et des vols d’armes.
Sujet d’Europe 1 sur le premier piratage, en octobre 2025. Il faut y observer le chiffre annoncé alors, 274 000 adhérents touchés, à comparer aux 250 000 adhérents et 750 000 anciens retenus ensuite par le parquet de Paris : le même événement, trois comptages, et un périmètre jamais stabilisé publiquement.
