Citation :
Objet : L’attaque informatique contre la Fédération
Chère licenciée, cher licencié,
Le samedi 17 octobre au soir, un pirate informatique a annoncé sur internet qu’il détenait des données de la Fédération et les a mises en vente. Beaucoup d’entre vous l’ont appris par la presse. Je vous dois un récit complet, et je souhaite vous le faire moi-même.
Il faut d’abord revenir un an en arrière. En octobre 2025, un pirate s’était introduit dans ITAC, notre application de gestion des licences, en utilisant le compte compromis d’un utilisateur. Il avait dérobé des données d’identité et de contact de licenciés et d’anciens licenciés. Nous avions porté plainte, et un suspect a été interpellé puis mis en examen en janvier dernier. Depuis, nous avons engagé un important travail de sécurisation, sur lequel je reviens plus loin.
Entre le 12 et le 15 octobre, nous avons subi une nouvelle attaque minutieusement préparée. L’attaquant s’est connecté à l’espace licencié EDEN avec des comptes de licenciés dont il avait obtenu ou deviné les identifiants. Il est ensuite parvenu à consulter les données d’autres licenciés. En parallèle, il a interrogé en masse la fonction de vérification des licences du site Cibles Couleurs. Son adresse a été bloquée dès le soir du 12 octobre et notre hébergeur nous a alertés le lendemain matin. La fonction de Cibles Couleurs a été fermée et corrigée le 15 octobre, et les documents déposés dans EDEN ne sont plus accessibles depuis le 16. Depuis, toutes les failles utilisées ont été corrigées.
Ce qui a été récupéré dépend de chacun. Pour la plupart des licenciés, actuels et anciens, il s’agit du nom, du prénom, du club, de la catégorie d’âge et, le cas échéant, du grade Cibles Couleurs avec sa date de validation et de la mention d’une pratique handisport. Le fichier proposé à la vente associe aussi à certaines fiches une adresse postale ; cette donnée n'était pas renvoyée par les deux sites concernés ; son origine est examinée dans le cadre de l'enquête. L’attaquant a aussi récupéré environ 64 000 photos d’identité et près de 19 000 documents déposés par des licenciés dans leur espace, dont des certificats médicaux. Le certificat exigé pour la licence mentionne uniquement l’aptitude à pratiquer le tir sportif.
Pour 55 licenciés, c’est le dossier complet qui a été copié, et nous les contacterons individuellement. Aucune information sur la possession d’armes n’a été touchée : la Fédération ne détient pas ces informations. Vos mots de passe ne sont pas concernés. Nous rappelons également qu’il n’y a aucune donnée bancaire dans les outils fédéraux.
Le week-end dernier, l’attaquant est passé à la revendication publique, avec un échantillon en libre accès. Dimanche soir, il a de nouveau tenté de s’introduire dans le site Cibles Couleurs en cherchant à prendre le contrôle de comptes. Nous avons fermé le site dans la soirée, et il le restera jusqu’à ce que sa sécurisation complète soit vérifiée. Sur EDEN, des dizaines de milliers de tentatives ont été bloquées pendant ces deux jours.
Cet attaquant s’acharne sur la Fédération. Depuis plusieurs mois, il s’attaque aussi à de nombreuses organisations françaises. Nous avons porté plainte le 16 octobre.
La Fédération est loin d’être la seule visée. Notamment, en un an, la Fédération nationale des chasseurs, l’Office français de la biodiversité, un compte professionnel du fichier des armes de l’État, les fédérations de football et de basket-ball et de nombreuses armureries ont été attaqués de la même manière. Ces attaques continueront, contre nous comme contre d’autres. Je vous le dis franchement, parce que la vigilance de chacun fait partie de la réponse.
Après l’attaque de 2025, nous avons installé une protection qui filtre le trafic automatisé. C’est elle qui a arrêté l’essentiel des tentatives de ce week-end. La double authentification est déployée progressivement sur nos outils et va être généralisée dans les semaines à venir. ITAC et EDEN ont été soumis à des tests d’intrusion et à des audits de code. Des tests équivalents sont programmés sur tous nos sites. Les accès à ITAC sont désormais attribués par la Fédération seule, et les licenciés qui n’ont pas renouvelé depuis deux saisons sont archivage intermédiaire, sans leurs coordonnées. Nous avons aussi renforcé la sensibilisation de nos équipes nationales et inscrit dans notre charte informatique un engagement fort pour la souveraineté de nos données et de nos outils. Le chantier le plus lourd a été la réécriture complète de nos applications, qui est en cours de finalisation. La nouvelle plateforme sera mise en service prochainement, après la réalisation de tests.
Une partie de ce travail restait à faire. Les comptes utilisés par l’attaquant n’avaient pas activé la double authentification : nous devons achever son déploiement en la rendant obligatoire.
Depuis le 12 octobre, une cellule de crise suit la situation chaque jour. Nous avons informé l’Agence nationale de la sécurité des systèmes d’information les 13 et 15 octobre, et la CNIL le 16, dans le délai prévu par la loi. Des experts nous accompagnent.
De votre côté, soyez prudents avec les messages et les appels qui se réclament de la Fédération, de votre club ou d’une administration. Vos données peuvent servir à les rendre crédibles. Ne donnez jamais un mot de passe ou des coordonnées bancaires de cette façon, et n’ouvrez ni lien ni pièce jointe d’un message inattendu, surtout s’il s’agit d’une réinitialisation de mot de passe que vous n’avez pas demandée. Vérifiez aussi l’adresse de l’expéditeur, souvent suspecte dans ce type d’attaque. Changez vos mots de passe régulièrement, et ne réutilisez pas le même mot de passe sur différents sites. Restez discrets sur votre pratique et votre équipement, notamment sur les réseaux sociaux. En cas de doute, vous pouvez faire un signalement sur cybermalveillance.gouv.fr, et prévenir la police ou la gendarmerie si une démarche vous paraît anormale. Ces conseils valent aussi pour les licenciés mineurs, que je vous invite à accompagner.
Le délégué à la protection des données de la Fédération répond à vos questions et reçoit vos demandes sur vos données à l’adresse dpo@fftir.org. Vous pouvez également saisir la CNIL (www.cnil.fr). Une page d’information est disponible sur notre site.
Je regrette sincèrement ce qui nous arrive. Nous vous tiendrons informés de l’enquête et de nos travaux.
Hugues Senger
Président de la Fédération Française de Tir
|