ZATAZ » Fédérations sportives françaises visées par des cyberattaques

Après le football, le handball français est touché à son tour par une cyberattaque visant le logiciel de gestion des clubs et les données personnelles de milliers de licenciés.

Nouvelle alerte cyber dans le sport français. Quelques jours après la Fédération française de football, et quelques mois aprés d’autres nombreuses fédération, c’est la Fédération française de handball qui annonce avoir subi un accès non autorisé à un logiciel utilisé par les clubs pour la gestion administrative de leurs licenciés. La FFHandball a déposé plainte et appelle à la vigilance face à toute communication suspecte. De son côté, la FFF confirme un vol de données via un compte compromis et évoque une fuite limitée à des informations personnelles et de contact, tout en ayant déjà subi, en mars 2024, une collecte potentielle de 1,5 million de données de licenciés.

Une nouvelle cible : le handball français et son logiciel clubs

Après le football, le handball. La Fédération française de handball a annoncé avoir été victime d’un acte de cybermalveillance, avec un accès non autorisé à un logiciel utilisé par les clubs pour leur gestion administrative, notamment celle de leurs licenciés. Autrement dit, c’est le cœur numérique du fonctionnement fédéral qui a été touché, là où sont centralisées identités, contacts et informations pratiques de la base de pratiquants. C’est ce type de logiciel qui a fait tomber d’autres nombreuses fédérations sportives. Les pirates, loin d’être des génis, ont réussi à infiltrer les accés aprés avoir pris la main sur les identifiants de connexion d’employés.

Dans son communiqué, la FFHandball explique avoir pris immédiatement les mesures nécessaires pour endiguer le problème. Elle ne détaille pas la nature exacte de l’intrusion, ni les volumes de données potentiellement consultées ou exfiltrées, mais choisit de s’adresser directement à ses utilisateurs. La consigne est claire, redoubler de vigilance face à toute communication suspecte semblant provenir de la fédération, d’un club ou d’un tiers, notamment lorsque des messages incitent à cliquer sur un lien, transmettre des informations confidentielles ou ouvrir une pièce jointe inattendue.

Une plainte a été déposée, signe que l’instance considère l’incident comme une atteinte caractérisée à ses systèmes d’information. En parallèle, elle insiste sur son discours de principe, la protection des données personnelles de nos communautés constitue une priorité absolue, rappelle-t-elle, tout en affirmant investir continuellement dans le renforcement de sa cybersécurité. La formulation fait écho aux déclarations d’autres acteurs institutionnels confrontés à des campagnes similaires, dans un paysage où les fédérations sportives ne peuvent plus être considérées comme des cibles secondaires.

Le point sensible est ici le périmètre du logiciel visé. Il ne s’agit pas d’un site vitrine ou d’une simple plateforme de communication, mais d’un outil de gestion administrative utilisé quotidiennement par les clubs. Pour un attaquant, ce type d’outil concentre des milliers de fiches individuelles, des adresses mail, des numéros de téléphone, parfois des informations liées à la structure du club, aux fonctions occupées, voire à des catégories d’âge ou de pratique. Une seule brèche peut offrir une base exploitable à grande échelle pour des campagnes de phishing ciblées ou des tentatives de fraude. Les pirates n’ont plus qu’à créer leur propre CRM, leur propre outil de consultations malveillantes, leur look Up : CZ Panel, Hack Panel, DSF, ChangeLog, etc.

Dans ce contexte, la recommandation de la FFHandball de se méfier de tout message suspect n’est pas un simple réflexe de communication. Elle répond à un scénario bien connu des services de renseignement et de cybersécurité. Une base de licenciés permet de fabriquer des messages trompeusement légitimes, adaptés à la culture sportive des destinataires, reprenant le nom d’un club, une catégorie ou une fonction. L’attaquant peut alors se faire passer pour la fédération ou un club local afin de pousser les victimes à donner des accès supplémentaires, des informations bancaires ou à installer des logiciels malveillants.

La FFF, entre compte compromis et fuites à répétition

La Fédération française de football a été frappée quelques jours plus tôt par une attaque de nature comparable, centrée elle aussi sur le logiciel utilisé par les clubs pour la gestion administrative des membres. Dans son avis de violation de données, la FFF explique qu’un compte piraté a permis à des individus d’infiltrer le système et de dérober des données appartenant à ses licenciés.

Dès la détection de cet accès non autorisé via l’utilisation d’un compte compromis, les services de la FFF affirment avoir pris les mesures nécessaires pour sécuriser le logiciel et les données. Le compte concerné a été désactivé immédiatement, puis tous les mots de passe des comptes utilisateurs ont été réinitialisés. La fédération indique avoir résolu le problème après avoir découvert cet accès illégitime, tout en portant plainte et en saisissant l’Agence nationale de la sécurité des systèmes d’information ainsi que la Cnil.

La nature des données exposées est décrite comme limitée, mais elle reste loin d’être anodine. Selon la FFF, la violation concerne le nom, le prénom, le sexe, la date et le lieu de naissance, la nationalité, l’adresse postale, l’adresse électronique, le numéro de téléphone et le numéro de licence. Il ne s’agit donc pas de données financières ou de performances sportives, mais d’un socle d’identité et de contact complet, suffisant pour alimenter des opérations d’usurpation ou des campagnes d’hameçonnage sur mesure.

La FFF s’engage à informer toutes les personnes dont l’adresse électronique figurait dans la base compromise et recommande explicitement à ses membres de se méfier de messages étranges semblant provenir de la fédération ou de leur club. Elle insiste notamment sur les demandes suspectes visant l’ouverture de fichiers ou le partage de mots de passe et d’informations bancaires. Ce type de précision montre que la fédération anticipe d’éventuelles tentatives d’exploitation directe des données volées par des acteurs malveillants.

Cet incident ne survient pas dans un vide historique. C’est déjà la troisième fois en moins de deux ans que la FFF est victime de piratage informatique. En mars 2024, le parquet évoquait la collecte potentielle de 1,5 million de données de licenciés. En février 2025, un autre piratage avait déjà été signalé. Désormais, le vol via compte compromis vient s’ajouter à cette série, montrant que la fédération reste dans le viseur des cybercriminels.

Dans ce contexte, la phrase de conclusion du communiqué prend une tonalité particulière. La FFF assure renforcer et adapter constamment ses mesures de sécurité pour faire face à la multiplication et à l’évolution des cyberattaques, comme de nombreux autres acteurs. Sur le plan du renseignement, cette répétition des incidents invite à s’interroger sur l’écosystème complet, du logiciel de gestion aux pratiques des utilisateurs, en passant par les politiques d’accès et de surveillance des comptes privilégiés.

Données sportives et renseignement : un terrain sous-estimé

Pris isolément, un fichier de licenciés sportifs peut paraître moins critique qu’une base de patients hospitaliers ou qu’un système financier. Pourtant, les incidents visant la FFF et la FFHandball montrent que les données sportives constituent un matériau de valeur pour les cybercriminels, et potentiellement pour d’autres acteurs intéressés par la cartographie de communautés.

Les informations collectées par les fédérations sont structurées et vérifiées. Elles associent identité civile, coordonnées complètes, appartenance à un club, parfois niveau de pratique, et un numéro de licence qui sert d’identifiant unique. Pour un attaquant, c’est un socle idéal pour fabriquer de faux messages d’adhésion, de renouvellement de licence, de paiement de cotisation ou de participation à un événement officiel. La crédibilité d’un mail frauduleux se renforce immédiatement lorsqu’il utilise la bonne orthographe du nom, la bonne catégorie et les codes visuels d’une fédération.

Sur le plan du renseignement, ces bases permettent aussi de repérer des nœuds de sociabilité locale. Un club n’est pas seulement une liste de noms, c’est un réseau qui structure des relations, des habitudes, des déplacements. Un acteur malveillant qui disposerait de plusieurs bases issues de différentes fédérations pourrait recouper ces informations pour identifier des profils très engagés dans la vie associative, des responsables, des encadrants, autant de cibles potentielles pour l’ingénierie sociale.

Les deux affaires mettent également en lumière la fragilité des accès utilisateurs. Dans le cas de la FFF, l’intrusion passe par un compte compromis. Autrement dit, il n’a pas été nécessaire de franchir une barrière technique sophistiquée, mais de tirer parti d’identifiants déjà valides. Que ce compte ait été piraté par hameçonnage, mot de passe faible ou réutilisé sur d’autres services, le résultat est le même, une porte ouverte sur la base de données.

La réponse de la fédération, réinitialisation globale des mots de passe, montre que le risque s’étend au-delà du compte initial. Si un attaquant a pu récolter plusieurs identifiants et les conserver, chaque compte devenu inactif peut être remplacé par un autre, tout aussi précieux. Seule une surveillance fine des connexions atypiques, des volumes d’export inhabituels ou des activités anormales permet de détecter ces comportements.

Pour la FFHandball comme pour la FFF, l’enjeu dépasse la simple réaction à l’incident. Il s’agit de considérer les logiciels de gestion des clubs comme des actifs critiques, à protéger au même niveau que des systèmes financiers ou médicaux. Cela implique de renforcer l’authentification, d’encadrer les droits d’accès, de tracer finement les actions sensibles et de tester régulièrement les défenses, y compris contre les scénarios de compromission de compte.

Reste la dimension de confiance. Chaque nouvelle fuite érode un peu plus la perception de sécurité des licenciés, des clubs et des bénévoles. Pour restaurer cette confiance, les fédérations devront non seulement communiquer sur ce qu’elles ont subi, mais surtout démontrer concrètement ce qu’elles changent, tant sur le plan technique que dans la formation des utilisateurs.

[Sources]