Fédération Française de Tir : nouvelle intrusion en octobre 2026 par l'espace licencié EDEN, photos d'identité et certificats déposés copiés

Le samedi 17 octobre 2026 au soir, un pirate a annoncé sur internet qu’il détenait des données de la Fédération Française de Tir (FFTir) et les mettait en vente, ce que Cyberattaque.org a relevé le jour même en évoquant une archive d’environ 40 Go. Cette revendication a ensuite été reconnue par la fédération elle-même : dans un message adressé le 22 octobre à ses licenciés, son président décrit une attaque « minutieusement préparée » menée du 12 au 15 octobre, soit un an après l’intrusion de 2025 dans le système ITAC (voir la fiche consacrée à l’incident de 2025). Les systèmes visés sont cette fois différents : l’espace licencié EDEN, où les licenciés déposent leurs documents, et le site Cibles Couleurs, dédié à la formation, dont l’attaquant a interrogé en masse la fonction de vérification des licences. IT-Connect, qui a analysé le même message, décrit les mêmes faits.

Les chiffres se répartissent entre ce que la fédération reconnaît et ce que le vendeur revendique. La FFTir indique que la plupart des licenciés, actuels et anciens, sont touchés pour le nom, le prénom, le club et la catégorie d’âge, que l’attaquant a copié environ 64 000 photos d’identité et près de 19 000 documents déposés par des licenciés, dont des certificats médicaux, et que 55 dossiers complets ont été copiés, leurs titulaires devant être contactés individuellement. Le vendeur revendique de son côté 988 569 lignes concernant 586 854 personnes, d’après Cyberattaque.org, qui a examiné des échantillons et relève des mentions de clubs, de catégories sportives, d’un indicateur handisport et de jeunes pratiquants. La fédération ne reprend pas ce décompte de personnes, qui dépasse largement l’effectif actif et pourrait inclure d’anciens licenciés, et aucun nombre de victimes n’est donc retenu ici. Cyberattaque.org signale aussi, dans l’échantillon, une validation de licence et un certificat médical datés de septembre 2026, donc postérieurs à l’intrusion de 2025, ce qui est compatible avec une extraction d’octobre 2026 sans la prouver à lui seul. Le lien avec un éventuel nouvel usage du pseudonyme ChimeraZ, déjà associé à une mise en vente de septembre, présentée comme liée à la FFTir mais issue principalement de l’Armurerie Lavaux selon Cyberattaque.org (voir la fiche Armurerie Lavaux), ne repose que sur Cyberattaque.org, et le message du président ne nomme pas l’attaquant.

Pour la plupart des licenciés, les données exposées se limitent à l’identité de base, au club, à la catégorie d’âge, au grade Cibles Couleurs et à la mention d’une pratique handisport. Le fichier proposé à la vente associe en outre une adresse postale à certaines fiches, une donnée que, d’après la fédération, aucun des deux sites concernés ne renvoyait, et dont l’origine est examinée dans le cadre de l’enquête. La fédération précise que le certificat exigé pour la licence mentionne uniquement l’aptitude à pratiquer le tir sportif, et affirme qu’aucune information sur la possession d’armes n’a été touchée, qu’aucun mot de passe n’est concerné et que ses outils ne contiennent aucune donnée bancaire. Ces éléments, qui n’ont pas été vérifiés de façon indépendante, ne font pas disparaître le risque documenté après l’incident de 2025, lorsque le ministre de l’Intérieur a indiqué, le 8 avril 2026, que 20 à 30 cambriolages pourraient être liés à la revente des données de licenciés : le fait d’être licencié suffit à désigner un détenteur probable d’armes, et des photos d’identité associées à un nom se prêtent à l’usurpation d’identité.

La fédération indique avoir bloqué l’adresse de l’attaquant dès le soir du 12 octobre, avoir été alertée par son hébergeur le lendemain, activé une cellule de crise dès le 12 octobre, informé l’ANSSI les 13 et 15 octobre et la CNIL le 16 octobre, et porté plainte le 16 octobre. Les documents déposés dans EDEN ne sont plus accessibles depuis le 16 octobre et des dizaines de milliers de tentatives de connexion ont été bloquées sur EDEN pendant le week-end des 17 et 18 octobre. Le dimanche soir (18 octobre), l’attaquant a tenté de prendre le contrôle de comptes sur Cibles Couleurs, que la fédération a fermé et maintient fermé jusqu’à vérification complète de sa sécurisation. Le président reconnaît que les comptes utilisés par l’attaquant n’avaient pas activé la double authentification, qui doit désormais être rendue obligatoire, et annonce une réécriture complète des applications de la fédération.

Les licenciés sont invités à se méfier des messages et des appels se réclamant de la fédération, de leur club ou d’une administration, à ne pas ouvrir de lien ni de pièce jointe dans un message inattendu, notamment une réinitialisation de mot de passe non demandée, à changer leurs mots de passe en évitant de les réutiliser, et à rester discrets sur leur pratique et leur équipement sur les réseaux sociaux. Les signalements se font sur cybermalveillance.gouv.fr, les courriels suspects peuvent être transmis à Signal Spam et les SMS frauduleux au 33700, le délégué à la protection des données de la fédération répondant aux demandes d’exercice de droits.