FFME : nouvelle cyberattaque sur l'application myFFME, un compte utilisateur détourné donne accès aux données de licenciés

La Fédération française de la montagne et de l’escalade (FFME) a publié le 30 octobre 2026 un communiqué dans lequel elle indique avoir été « victime d’une cyberattaque visant l’application myFFME » le mercredi 28 octobre 2026. Selon ce texte, reproduit par Bonjour la fuite, l’acte résulte de l’utilisation frauduleuse d’un compte utilisateur, qui a permis un accès non légitime à des données personnelles. La fédération reconnaît donc l’incident, ce qui justifie le statut « confirmée », et Cyberattaque.org, Fuites Infos et PlanetGrimpe le relaient à partir du même communiqué, sans source indépendante de la fédération ; aucune source consultée ne mentionne une information de la CNIL ni un dépôt de plainte.

Aucun nombre de personnes n’est donné. La FFME désigne deux catégories d’adhérents concernés, ceux qui possèdent un brevet fédéral ou un passeport de niveau et ceux qui ont demandé une modification de leurs données personnelles, sans dire combien de personnes elles regroupent ni si les données ont été extraites ou seulement consultées. Cyberattaque.org rappelle que la fédération comptait 120 717 licenciés au 1er juin 2026, un chiffre que seule cette source donne et qui ne fournit qu’un ordre de grandeur de la population totale : les victimes forment un sous-ensemble non chiffré, c’est pourquoi aucun nombre n’est retenu. Selon Cyberattaque.org, les passeports et formations concernent aussi de jeunes pratiquants, sans que la fédération précise le nombre de mineurs touchés, ce qui reste donc à confirmer.

D’après le communiqué, les données susceptibles d’avoir été consultées sont le nom, le prénom, le genre, la date de naissance, l’adresse électronique, le numéro de licence et le carnet de formation, la fédération indiquant que les mots de passe, les paiements et coordonnées bancaires, les adresses postales, les numéros de téléphone et les documents déposés n’ont pas été touchés. Ce jeu de données, sans coordonnées postales ni téléphoniques, suffit à bâtir un hameçonnage crédible : un fraudeur qui connaît l’identité, la date de naissance, le numéro de licence et le niveau de formation d’un pratiquant peut se présenter comme la fédération ou un club pour réclamer une validation de brevet, un renouvellement de licence ou un paiement de stage. Si des mineurs figurent parmi les personnes concernées, les messages pourraient aussi viser leurs parents. Fuites Infos met en garde contre ce type de message sans affirmer que des mineurs sont touchés. La gravité est retenue à « élevée » (identité et coordonnées sans données bancaires ni pièces d’identité) et pourrait être revue si la présence de mineurs en nombre était confirmée.

La FFME a signalé trois incidents en moins de deux ans. Celui d’octobre 2026 est distinct de celui de début 2025 décrit dans la fiche FFME : fuite de données des licenciés, dont le vecteur supposé était un téléversement de fichier non filtré et dont les données comprenaient adresses postales et numéros de téléphone, absents du périmètre actuel. PlanetGrimpe (23 janvier 2026) rapporte en outre un communiqué de la fédération, non daté dans l’article, évoquant déjà l’utilisation frauduleuse d’un compte utilisateur, et Cyberattaque.org le situe au 15 janvier 2026, date que PlanetGrimpe ne permet pas de confirmer, et Fuites Infos évoque un article du 8 janvier 2026 chiffrant 561 502 licenciés (seule source, non confirmé par la fédération). Cyberattaque.org souligne que cette répétition du mode opératoire ne prouve pas qu’un même compte, une même faille ou un même attaquant soit en cause, et aucune source consultée n’établit ce lien.

La FFME appelle à la vigilance face au phishing, aux escroqueries et à l’usurpation d’identité, recommande de ne jamais partager mots de passe ou coordonnées bancaires, de vérifier l’adresse des expéditeurs et, en cas de doute, d’écrire à dpo@ffme.fr. Selon PlanetGrimpe, elle poursuit ses investigations avec ses prestataires techniques et renforce la sécurité de ses outils, sans préciser les mesures prises. Les licenciés peuvent signaler les courriels suspects à Signal Spam, les SMS et appels frauduleux au 33700, et consulter cybermalveillance.gouv.fr en cas de fraude avérée.