FFVoile : plus de 2 millions de fiches de licenciés extraites par une faille, incident reconnu par la fédération après une première fuite en février

Le 19 octobre 2026, la Fédération Française de Voile a identifié un incident de sécurité résultant de l’exploitation frauduleuse d’une faille affectant un outil informatique, puis engagé des mesures pour corriger la vulnérabilité et restreindre les accès. Elle en a informé les titulaires de titres par courriel (y compris les parents ou représentants légaux des licenciés mineurs) ; Selectra (27 octobre) date du 23 octobre le communiqué de la fédération, relayé par Cyberattaque.org (24 octobre). Ce communiqué n’a pas été retrouvé sur ffvoile.fr : le courriel (capture partielle de Bonjour la fuite) en est la source primaire, et les autres faits reposent sur Selectra et Cyberattaque.org, dont l’indépendance l’un de l’autre n’est pas vérifiable. Le courriel de la fédération, dont Bonjour la fuite reproduit une capture, reconnaît un accès non autorisé et une extraction de données, ce qui justifie le statut « confirmée » ; le chiffre de plus de deux millions de fiches individuelles est attribué à la fédération par Cyberattaque.org et Selectra, mais ne figure pas dans la partie visible de la capture. En revanche, l’identité de l’attaquant, sa revendication éventuelle et la date de début de l’extraction ne sont pas connues.

Les deux millions désignent des fiches et non des personnes : la fédération ne précise pas combien de personnes distinctes elles représentent, et Cyberattaque.org relève que l’extraction porte sur un historique cumulé sur plusieurs années, avec d’anciens licenciés. Le Passeport Voile, valable du 1er janvier au 31 décembre de l’année, est délivré aux stagiaires des clubs et écoles de voile, de sorte qu’un seul stage suffit à créer une fiche, et le courriel de la fédération s’adresse aussi aux parents ou représentants légaux de licenciés mineurs, ce que Selectra interprète comme une présence de mineurs parmi les personnes concernées. Une partie des personnes peut aussi figurer dans la première fuite, annoncée le 5 février 2026 et due, selon Solutions Numériques et Selectra, à l’utilisation d’un compte club compromis (Mac4ever parle seulement d’une intrusion sur les serveurs) qui avait permis d’extraire en masse des données de la plateforme de gestion des licences pour plusieurs centaines de milliers de licenciés (nom, coordonnées, mention d’une situation de handicap et quelques dizaines de certificats d’aptitude selon Selectra). Ce premier épisode, déclaré à la CNIL, n’a pas de fiche dans ce registre ; la fédération insiste sur le fait que les deux incidents sont distincts.

Selon Selectra et Cyberattaque.org, les fiches peuvent contenir le nom, le prénom, la date de naissance, le sexe, l’adresse postale, l’adresse électronique et le numéro de téléphone, ainsi que les licences détenues, les clubs fréquentés, la pratique sportive et, pour certaines, une mention d’aptitude médicale. Pour un enfant, les coordonnées peuvent être celles des parents, selon ce que le club a saisi. Des IBAN de certains clubs figurent également dans le périmètre, ce qui expose ces associations à des fraudes au changement de coordonnées bancaires ; la fédération annonce les contacter directement. Le courriel de la fédération indique que les analyses n’ont révélé aucune extraction de mots de passe, de données bancaires exploitables ni de documents tels que les certificats médicaux ; l’absence de numéros de carte ne vient que des deux comptes rendus de presse, et l’ensemble n’a pas pu être vérifié de façon indépendante. Le risque principal est l’hameçonnage ciblé : un message qui cite le vrai nom, la date de naissance et le club d’un licencié ou de son enfant peut imiter un courrier sur un renouvellement de licence, une inscription à un stage ou un paiement. La gravité est retenue à « élevée » plutôt qu’à « critique » faute de preuve que des données de mineurs aient été extraites en masse ou que la mention d’aptitude médicale concerne un grand nombre de fiches, et elle serait à relever si la fédération le confirmait.

La FFVoile a notifié la violation à la CNIL et à l’ANSSI, annonce un dépôt de plainte et poursuit ses investigations pour préciser le périmètre exact de l’extraction et renforcer les accès aux bases fédérales. Elle ne recommande pas de changer systématiquement de mot de passe à cause de cet incident, aucun mot de passe de licencié n’ayant été récupéré, et ne précise ni la nature de la vulnérabilité, ni la durée pendant laquelle elle a pu être exploitée, ni le nombre de personnes uniques concernées. Le rattachement éventuel à d’autres fuites de fédérations sportives, nombreuses en 2025 et 2026, n’est établi par aucune des sources consultées.

Les licenciés et les parents de stagiaires mineurs peuvent chercher dans leur boîte de réception (courriers indésirables compris) le courriel de la fédération du 23 octobre, ou demander à leur club quel titre leur enfant a reçu. Il est préférable de ne cliquer sur aucun lien d’un message non sollicité évoquant une licence, un stage ou un paiement, de saisir soi-même l’adresse du club ou de la fédération, et de transférer les SMS suspects au 33700. Les courriels frauduleux se signalent à Signal Spam, et cybermalveillance.gouv.fr ou 17Cyber offrent une assistance en cas de fraude avérée ; en cas de paiement par carte à un faux interlocuteur, il faut contacter sa banque pour faire opposition.