Cyberattaque FFTir : photos et certificats de licenciés dérobés

La Fédération française de tir (FFTir) a confirmé le 22 octobre 2026 un vol de données commis à partir du 12 octobre : environ 64 000 photos d'identité, près de 19 000 documents dont des certificats d'aptitude, et l'identité et le club de la plupart des licenciés, actuels et anciens. Les adresses, les mots de passe et les informations sur les armes ne seraient pas concernés.

C'est la deuxième attaque en un an contre la fédération. La première, en octobre 2025, avait exposé les coordonnées de près d'un million de licenciés et d'anciens licenciés, et ces données ont ensuite servi à des cambriolages visant des armes, selon franceinfo. C'est ce précédent qui rend la nouvelle fuite sensible, même si elle contient moins de coordonnées.

Que s'est-il passé entre le 12 et le 22 octobre ?

Le communiqué publié par la FFTir retrace la chronologie suivante :

• 12 octobre : l'attaquant se connecte à l'espace licencié EDEN avec des comptes de licenciés dont il a « obtenu ou deviné » les identifiants, puis consulte les données d'autres licenciés. Il interroge aussi en masse la fonction de vérification des licences du site Cibles Couleurs. Son adresse est bloquée le soir même.
• 13 octobre : l'hébergeur alerte la fédération.
• 15 octobre : la fonction de vérification de Cibles Couleurs est fermée et corrigée.
• 16 octobre : les documents déposés dans EDEN ne sont plus accessibles ; une plainte est déposée.
• Week-end des 17 et 18 octobre : l'attaquant publie un échantillon en accès libre, puis tente le dimanche soir de reprendre le contrôle de comptes. Le site Cibles Couleurs est fermé jusqu'à vérification complète. Sur EDEN, des dizaines de milliers de tentatives sont bloquées en deux jours.
• 22 octobre : communiqué de la fédération, qui indique avoir alerté l'ANSSI et la CNIL.

Le point le plus instructif est la porte d'entrée. Il ne s'agit pas d'un serveur forcé, mais de comptes de licenciés ouverts avec des mots de passe déjà connus ou faciles à deviner. C'est ce que l'on appelle le « credential stuffing » : l'attaquant essaie, à grande échelle, des couples e-mail et mot de passe issus d'anciennes fuites, comme quelqu'un qui testerait un trousseau de clés trouvé dans la rue sur toutes les portes d'un immeuble. Une fois à l'intérieur, une faiblesse de contrôle d'accès lui a permis de consulter les fiches d'autres membres.

Quelles données ont été volées, et pour qui ?

La fédération distingue plusieurs cercles de personnes concernées :

• La plupart des licenciés, actuels et anciens : nom, prénom, club, catégorie d'âge et, le cas échéant, grade Cibles Couleurs avec sa date de validation et mention d'une pratique handisport.
• Une partie des licenciés : environ 64 000 photos d'identité et près de 19 000 documents déposés dans les espaces personnels, notamment des certificats d'aptitude à la pratique du tir sportif.
• 55 licenciés : leur dossier complet a été copié. La fédération les contacte individuellement.
• Les anciens licenciés non renouvelés depuis deux saisons : la FFTir ne conserve que leur identité, leur date et leur lieu de naissance, et indique que ces informations ont pu être concernées.

Le pirate, de son côté, revendique 586 854 licenciés (environ 250 000 actifs et 350 000 anciens), des fiches sur 1 659 clubs et quelque 140 000 adresses postales, selon le site de veille FrenchBreaches. La fédération ne confirme pas ces chiffres et affirme que les adresses postales ne figurent pas parmi les données récupérées. À ce stade, retenez la version officielle comme base, sans exclure que le périmètre évolue.

Les arnaques à prévoir : le faux gendarme en tête

La FFTir consacre une grande partie de ses recommandations aux appels et visites de faux policiers ou gendarmes. Le scénario est logique : un escroc qui sait que vous êtes licencié dans tel club peut prétendre « vérifier vos armes suite à la fuite de données ». Voici un exemple fictif, construit uniquement avec les champs déclarés volés.

• Le club et la catégorie sont exacts. Ils proviennent du fichier volé. Ils prouvent que l'appelant l'a consulté, pas qu'il est gendarme.
• Le numéro affiché ne prouve rien. Afficher le vrai numéro d'une brigade sur votre écran est une technique d'usurpation connue, appelée « spoofing ».
• La demande elle-même. La FFTir l'écrit noir sur blanc : les forces de l'ordre ne téléphoneront pas et ne viendront pas spontanément récupérer des armes à la suite de cette fuite.
• L'urgence du « ce soir ». Un délai très court vise à vous empêcher de vérifier. Raccrochez, notez le numéro et appelez le 17.

D'autres variantes sont plausibles : faux e-mail de la fédération demandant de « revalider votre licence » sur un site imitant EDEN, faux renouvellement payant, ou faux profil sur un réseau social utilisant votre photo d'identité. Le mécanisme de l'usurpation de numéro est détaillé dans notre article sur le spoofing et l'arnaque au faux conseiller bancaire, dont les ressorts sont identiques.

Ce qui manque au fichier de 2026, l'adresse du domicile, reste souvent trouvable en quelques recherches : annuaires, sites de recherche de personnes et fichiers revendus par les courtiers de données. Faire retirer votre nom et votre adresse des bases de plus de 100 courtiers complique ce recoupement entre votre licence et votre porte, sans pour autant effacer ce qui a déjà été volé.

Ce que chaque donnée volée permet, et comment la neutraliser

Que faire maintenant : les gestes par ordre d'urgence

Ces étapes s'appuient sur les recommandations de la FFTir et sur la fiche réflexe de Cybermalveillance.gouv.fr sur les fuites de données personnelles, adaptées au cas particulier des tireurs sportifs.

Aujourd'hui

• 1. Sécurisez votre compte EDEN. Si votre mot de passe est ancien, court ou utilisé sur un autre site, remplacez-le, puis activez la double authentification proposée par la fédération (elle deviendra obligatoire). Faites de même pour votre messagerie, qui permet de réinitialiser tous vos autres comptes. Notre guide pour créer un mot de passe vraiment solide vous aide à le faire sans vous compliquer la vie.
• 2. Adoptez une règle ferme pour le téléphone et la porte : aucune information sur vos armes, votre coffre ou votre emploi du temps à un interlocuteur qui vous contacte. En cas de doute, raccrochez et composez le 17. Prévenez les membres de votre foyer, qui peuvent aussi être appelés.
• 3. Si vous avez un enfant licencié, rappelez-lui de ne répondre à aucun contact inconnu se réclamant de la fédération ou du club, comme le recommande la FFTir.

Cette semaine

• 4. Réduisez les indices visibles. Photos de votre équipement sur les réseaux, autocollant de club sur la voiture, résultats de compétition associés à votre ville : chacun aide à relier une licence à un domicile.
• 5. Signalez ce qui est suspect : SMS frauduleux au 33700, e-mails sur signal-spam.fr, faux profils à la plateforme concernée. Pour un appel ou une visite de faux représentant des forces de l'ordre, contactez la police ou la gendarmerie.
• 6. Demandez à la fédération ce qu'elle détient sur vous au titre du droit d'accès (article 15 du RGPD), en écrivant à son délégué à la protection des données (dpo@fftir.org). Un modèle figure ci-dessous.

Dans les mois qui viennent

• 7. Vérifiez de temps en temps qu'aucun faux profil n'utilise votre photo, et surveillez l'arrivée de courriers de crédit ou de contrats que vous n'avez pas souscrits.
• 8. Restez attentif au moment du renouvellement des licences, période idéale pour un faux e-mail de la fédération demandant un paiement ou une nouvelle photo.
• 9. Sans réponse à votre demande d'accès dans le délai prévu (en principe un mois), vous pouvez adresser une plainte à la CNIL.

Pour les dirigeants de club : la check-list de la semaine

• Changer les mots de passe de tous les comptes du club et activer la double authentification partout où elle existe.
• Ne plus jamais envoyer de liste de licenciés par e-mail, même en interne.
• Prévenir les membres, par affichage au stand ou lors d'une séance, du scénario du faux gendarme.
• Signaler à la fédération toute sollicitation suspecte reçue par le club.

Modèle : demande d'accès à adresser au DPO de la FFTir

Votre adresse e-mail a peut-être déjà circulé dans d'autres fuites, ce qui expliquerait comment des mots de passe de licenciés ont pu être « obtenus ». Vérifiez gratuitement si votre adresse figure dans des fuites connues : le résultat ne dira pas si vous êtes dans le fichier FFTir, mais il indique si vos identifiants traînent déjà ailleurs.

Pourquoi l'affaire ne se referme pas avec le communiqué

L'attaquant a déjà publié un échantillon et les fichiers sont proposés à la vente. L'expérience de 2025 montre que ce type de données circule pendant des mois, puis réapparaît fusionné avec d'autres bases. Les données volées remontent souvent avec retard sur le darknet, bien après que l'actualité est retombée, et c'est souvent à ce moment que les tentatives ciblées reprennent. Une vérification gratuite vous donne l'état des lieux d'un jour ; la surveillance continue vous prévient le jour où vos données surgissent dans une nouvelle fuite.

La fédération a notifié l'incident à la CNIL. Si une faute dans la sécurisation des données et un préjudice étaient établis, une réparation au titre de l'article 82 du RGPD pourrait être envisagée, mais rien n'est automatique et l'appréciation revient à un juge. Nous n'avons connaissance d'aucune action collective liée à cette fuite à la date de publication ; si une telle action venait à exister, les abonnés EffaceData concernés en seraient informés et resteraient libres de s'y joindre. Ceci n'est pas un conseil juridique.

Questions fréquentes

Je suis licencié à la FFTir : mes données ont-elles été volées ?

Probablement en partie. Selon le communiqué du 22 octobre 2026, la plupart des licenciés, actuels et anciens, sont concernés pour leur nom, prénom, club, catégorie d'âge et, le cas échéant, grade Cibles Couleurs et mention handisport. La fédération indique ne pas pouvoir confirmer individuellement si les données d'une personne ont été récupérées. Seuls les 55 licenciés dont le dossier complet a été copié sont contactés un par un.

Mon adresse et mes armes figurent-elles dans les données volées ?

Selon la FFTir, non : les adresses postales ne font pas partie des données récupérées, et la fédération ne détient pas d'information sur la détention d'armes. Le pirate affirme toutefois disposer d'environ 140 000 adresses postales, ce qui n'est pas confirmé. Par ailleurs, les adresses de nombreux licenciés ont déjà circulé après la fuite d'octobre 2025, et elles peuvent être retrouvées chez des courtiers de données. La prudence à domicile reste donc justifiée.

Dois-je changer mon mot de passe EDEN ?

La fédération précise que les mots de passe ne sont pas concernés par le vol. Mais l'attaquant est entré avec des identifiants de licenciés obtenus ou devinés, ce qui signifie que des mots de passe réutilisés ou trop simples ont servi de porte d'entrée. Si votre mot de passe EDEN est court, ancien ou utilisé ailleurs, changez-le et activez la double authentification, déjà disponible sur EDEN.

J'ai arrêté le tir il y a plusieurs années, suis-je concerné ?

Peut-être. La FFTir indique que, pour les anciens licenciés non renouvelés depuis deux saisons, elle ne conserve que l'identité, la date et le lieu de naissance, et que ces informations ont pu être concernées. Le pirate revendique environ 350 000 anciens membres, chiffre non confirmé. Une date et un lieu de naissance associés à un nom restent utiles pour une usurpation d'identité : surveillez votre courrier et vos comptes.

Un gendarme m'appelle au sujet de la fuite et veut vérifier mes armes, que faire ?

Ne donnez aucune information et raccrochez. La FFTir rappelle que les forces de l'ordre ne viendront jamais spontanément et ne téléphoneront pas pour récupérer des armes à la suite de cette fuite. Notez le numéro affiché, qui peut être usurpé, puis appelez le 17. Si quelqu'un se présente à votre porte, n'ouvrez pas, demandez la carte professionnelle à travers la porte et appelez le 17.