FFTir : un accès aux données des licenciés proposé à la vente, dix mois après l’intrusion d’ITAC

30 août 2026, 20:37 · maj 30 août 2026, 20:41

Une annonce publiée le 30 août 2026 sur un forum cybercriminel propose à la vente un accès aux données de la Fédération Française de Tir (FFTir). Il ne s’agit pas d’une base immédiatement téléchargeable : le vendeur décrit un accès qui exige de solides compétences techniques pour être exploité. Il signale une faiblesse d’autorisation de type IDOR « partielle », qualifie l’exploitation de difficile et annonce un périmètre potentiel de 300 000 personnes.

Les exemples joints à l’annonce montrent des fiches structurées de licenciés et une liste liée à des compétitions. Ils contiennent notamment des numéros de licence, des éléments d’état civil, des adresses électroniques, des dates de naissance, le sexe, la nationalité, l’identifiant du club, le statut de la licence et des dates de mise à jour. Le vendeur mentionne également des factures et d’autres documents, sans en préciser la nature ni le volume.

À ce stade, trois limites sont essentielles : l’accès n’a pas été vérifié, aucun corpus complet n’a été mis à disposition et la FFTir n’a publié aucune nouvelle communication relative à cette annonce. Il est donc impossible d’affirmer qu’un accès actif existe encore, que 300 000 fiches sont effectivement accessibles ou qu’il s’agit d’une compromission distincte de l’incident confirmé en octobre 2025.

Capture filigranée et anonymisée de l’annonce proposant un accès aux données de la FFTir

Capture de l’annonce observée le 30 août 2026. Les éléments nominatifs ont été masqués et aucune donnée personnelle publiée comme échantillon n’est reproduite dans cet article.

Ce qui est réellement proposé

Le vocabulaire employé dans l’annonce compte. Son auteur parle d’un accès, pas d’un dump déjà constitué. Il précise que l’acheteur devrait encore trouver et exploiter une vulnérabilité pour atteindre davantage de données. Le prix n’est pas fixé : les acheteurs potentiels sont invités à faire une offre.

L’offre porte donc sur une capacité d’accès ou un point d’entrée technique, pas sur un fichier figé. La différence est majeure : un corpus volé décrit une exposition passée ; un accès encore utilisable donne la possibilité de consulter de nouvelles fiches, de récupérer des documents supplémentaires et de suivre les mises à jour du système dans le temps.

Les preuves publiées ont toutefois une limite nette : elles établissent la nature des données montrées, pas la persistance de l’accès au 30 août 2026. Un échantillon ancien peut servir à vendre une capacité actuelle, réelle ou exagérée, et une faiblesse limitée à quelques objets peut être présentée comme générale.

Une « IDOR partielle », qu’est-ce que cela signifie ?

IDOR signifie Insecure Direct Object Reference, ou référence directe non sécurisée à un objet. Ce type de défaut apparaît lorsqu’une application permet de demander une ressource au moyen d’un identifiant - une fiche, un document, une facture - sans vérifier correctement que l’utilisateur connecté a le droit de la consulter.

Dans un scénario classique, un compte légitime ne devrait accéder qu’aux données de son propre périmètre. Une autorisation défaillante peut toutefois lui laisser demander un autre objet en modifiant son identifiant. Le problème n’est donc pas l’identifiant lui-même, mais l’absence ou l’insuffisance du contrôle d’autorisation côté serveur.

Le qualificatif « partielle » n’a aucune définition technique standard. Il peut désigner un accès limité à certains écrans, à certaines catégories de documents, à un sous-ensemble de clubs ou à des objets dont les identifiants doivent encore être découverts. Sans preuve reproductible ni analyse du système, il ne permet pas de mesurer la portée de l’accès. La mention d’une injection SQL « inconnue » n’apporte, elle non plus, aucun élément vérifiable : l’annonce dit précisément que ce vecteur n’a pas été établi.

Ce que montrent les échantillons

Les échantillons publiés servent uniquement à caractériser la nature des données que le vendeur prétend pouvoir atteindre. Ils ne prouvent ni le nombre total de personnes concernées, ni l’exhaustivité des champs, ni la date d’une éventuelle extraction.

Identification. Les fiches affichent le nom, le prénom, la civilité, la date de naissance, le sexe et la nationalité. Elles décrivent donc des personnes directement identifiables. Les exemples publiés incluent au moins une personne mineure.

Adhésion. Le numéro de licence, l’identifiant du club, le statut actif et la date de validité correspondent à la structure d’un système de gestion fédérale des licences.

Coordonnées. Les exemples contiennent des adresses électroniques. Leur association avec l’identité, le club et la licence fournit la matière d’un hameçonnage très personnalisé. Aucun décompte vérifié d’adresses uniques n’est toutefois disponible.

Données de gestion. Les dates de mise à jour, les participations ou classements sportifs et la mention de factures donnent du contexte pour usurper la fédération ou un club. Le contenu exact des factures et des « autres documents » n’est pas détaillé.

Handicap. Un indicateur existe dans la structure montrée. La présence de ce champ ne signifie pas que des informations positives ou détaillées sur un handicap figurent dans les fiches accessibles ; les exemples visibles ne caractérisent pas une fuite de données de santé.

Les données nominatives placées dans l’annonce comme démonstration ne sont pas reproduites ici. Elles comprennent au moins une personne mineure. Leur republication n’ajouterait aucune preuve utile et aggraverait l’exposition des personnes concernées.

« 300 000 personnes » n’est pas un volume vérifié

L’auteur ne dit pas avoir extrait 300 000 fiches. Il parle d’un « potentiel » de 300 000 personnes si une vulnérabilité supplémentaire est découverte. Cette formulation décrit un plafond commercial supposé, pas un comptage.

Le chiffre coïncide avec la taille publique de la fédération : le 10 juillet 2026, la FFTir a annoncé avoir atteint le cap des 300 000 licenciés. Il décrit donc la population totale connue de la fédération, pas la mesure d’une extraction démontrée.

La bonne lecture, en l’état, est la suivante : quelques fiches sont montrées, un périmètre maximal de 300 000 personnes est revendiqué, et aucun volume n’est vérifié.

Le précédent d’octobre 2025

Cette annonce ne peut pas être comprise sans l’incident déjà confirmé par la FFTir en 2025.

18 au 20 octobre 2025 : intrusion non autorisée dans le système d’information ITAC, selon la FFTir.
20 octobre 2025 : détection de l’intrusion et déconnexion des serveurs ITAC et EDEN.
23 octobre 2025 : communication publique de la FFTir, signalement à l’ANSSI et à la CNIL, dépôt de plainte, réinitialisation obligatoire des mots de passe et invalidation du QR code des licences.
7 novembre 2025 : Cybermalveillance.gouv.fr confirme une violation de données personnelles et détaille les risques d’hameçonnage, d’escroquerie et de fausses interventions des forces de l’ordre.
9 juin 2026 : mise à jour de l’alerte de Cybermalveillance.gouv.fr ; des repérages suspects ont été signalés aux forces de l’ordre.
10 juillet 2026 : la FFTir annonce avoir atteint 300 000 licenciés.
24 août 2026 : ouverture dans ITAC des créations et renouvellements de licences pour la saison 2026-2027.
30 août 2026 : publication de la nouvelle offre d’accès.

En 2025, la fédération avait indiqué que les données susceptibles d’avoir été compromises comprenaient le numéro de licence, l’état civil, l’adresse postale, l’adresse électronique et le numéro de téléphone. Cybermalveillance.gouv.fr avait ensuite précisé que l’état civil couvrait notamment le nom, le prénom, la date et la ville de naissance ainsi que la civilité.

Les catégories montrées en août 2026 recoupent largement celles de l’incident précédent. Plusieurs dates visibles dans les exemples se situent en septembre et octobre 2025. Un exemple comporte toutefois une date de mise à jour au 30 octobre 2025, postérieure à la fenêtre d’intrusion communiquée par la FFTir. Cette valeur ne démontre pas, à elle seule, un nouvel accès ; elle montre en revanche que l’annonce ne peut pas être classée automatiquement comme une simple republication du corpus d’octobre.

Trois scénarios restent ouverts

1. La remise en circulation de données issues de l’incident de 2025

C’est l’hypothèse la plus simple. Les champs montrés, la période couverte et la population visée correspondent largement à l’incident ITAC confirmé. Le vendeur pourrait avoir obtenu une partie des données déjà compromises et les utiliser pour donner de la crédibilité à une offre d’accès plus ambitieuse.

Dans ce scénario, l’accès actuel serait inexistant ou surestimé, mais les personnes resteraient exposées : l’état civil, la date de naissance, le numéro de licence et l’association à un club ne peuvent pas être réinitialisés comme un mot de passe.

2. Un accès encore actif à ITAC ou à une ressource connectée

Le vendeur insiste sur le fait que l’offre n’est pas prête à télécharger et exige des compétences techniques. Le calendrier est notable : les créations et renouvellements de licences 2026-2027 ont repris dans ITAC le 24 août, six jours avant la publication.

Cette proximité temporelle peut être cohérente avec l’observation d’un système de nouveau actif, mais ce n’est pas une preuve. Aucun test n’a été réalisé par FuitesInfos et aucune tentative d’accès ne doit l’être hors d’un cadre autorisé. Seuls la FFTir, ses prestataires et les autorités compétentes peuvent vérifier les journaux, les sessions, les contrôles d’autorisation et l’éventuelle consultation anormale d’objets.

3. Un accès limité à un sous-périmètre

La mention d’une IDOR « partielle », les identifiants de clubs et la présence alléguée de documents peuvent aussi correspondre à un périmètre restreint : espace d’un club, fonction documentaire, interface intermédiaire ou compte disposant de droits incomplets. Dans ce cas, extrapoler les exemples à l’ensemble des licenciés serait trompeur.

Les éléments disponibles ne permettent pas de départager ces trois scénarios.

Pourquoi la sensibilité dépasse une fuite de coordonnées ordinaire

Une licence FFTir ne prouve pas qu’une personne détient une arme. La fédération a d’ailleurs indiqué en 2025 ne pas disposer de données relatives à la détention d’armes, et aucune information de ce type n’apparaît dans les éléments examinés. Il serait donc faux de présenter le lot comme une liste de propriétaires d’armes.

L’association entre une identité, une adresse, un club et la pratique du tir reste néanmoins sensible. Elle peut suffire à orienter des escroqueries ou des actes de repérage. Après l’incident de 2025, la Préfecture de Police a spécifiquement averti les licenciés contre de faux policiers, gendarmes ou douaniers prétendant venir récupérer des armes. Cybermalveillance.gouv.fr a indiqué que des repérages suspects avaient été signalés, puis a rapporté en 2026 des tentatives de vols par ruse et par effraction visant certains licenciés.

Les principaux scénarios de risque sont donc :

des messages ou appels personnalisés citant un numéro de licence, un club ou une date de renouvellement réelle ;
l’usurpation de la FFTir, d’un club, d’un assureur ou des forces de l’ordre ;
la collecte d’informations sur les habitudes et les périodes d’absence du domicile ;
le ciblage physique d’une personne supposée, à tort ou à raison, détenir du matériel de valeur ;
la fraude documentaire ou la création de dossiers crédibles à partir de plusieurs attributs d’identité ;
si des factures ou documents sont réellement accessibles, des fraudes visant les clubs et leurs responsables.

La présence établie d’au moins un mineur dans les exemples impose une vigilance supplémentaire. Un message qui connaît le nom du club, la catégorie sportive et les coordonnées d’un jeune peut sembler légitime à sa famille tout en étant frauduleux.

Conseils aux licenciés et à leurs proches

Les recommandations diffusées après l’incident de 2025 restent pleinement valables :

ne jamais communiquer de mot de passe, de code reçu par SMS, de coordonnées bancaires, de copie de pièce d’identité ou d’information sur sa présence au domicile à la suite d’un appel entrant ;
ne pas se fier au fait qu’un interlocuteur connaît le nom, la date de naissance, le club ou le numéro de licence : ces éléments peuvent précisément provenir d’une fuite ;
raccrocher et rappeler l’organisme concerné au moyen d’un numéro trouvé sur son site officiel, jamais au numéro fourni dans le message reçu ;
retenir que la police, la gendarmerie ou la douane ne viennent pas spontanément récupérer des armes au domicile à la suite d’une fuite de données ; en cas d’appel ou de visite suspecte, ne pas ouvrir et contacter le 17 ;
utiliser un mot de passe unique pour chaque service et activer la double authentification lorsqu’elle est disponible ;
conserver les messages, numéros, adresses et captures en cas de tentative de fraude, puis déposer plainte si les données sont utilisées de manière malveillante.

Changer un mot de passe ne retire pas de la circulation une date de naissance, une adresse ou un numéro de licence. La vigilance doit donc porter dans la durée sur la crédibilité artificielle des sollicitations, pas seulement sur le compte FFTir.

Ce qui est établi, revendiqué et inconnu

Établi. Une annonce de vente d’accès a été publiée le 30 août 2026. Elle contient des exemples de fiches de licenciés et de données sportives. La FFTir avait déjà confirmé une intrusion dans ITAC en octobre 2025.

Revendiqué. Le vendeur annonce un accès encore exploitable, une IDOR partielle, une difficulté élevée, des factures et d’autres documents, ainsi qu’un potentiel de 300 000 personnes.

Non établi. La validité actuelle de l’accès, le système exact concerné, le volume réellement accessible, l’existence d’une nouvelle exfiltration, le contenu des documents et le lien exact avec l’incident de 2025 restent inconnus.

Exclu du périmètre communiqué en 2025. Les sources officielles avaient écarté les données bancaires, les données médicales et les informations relatives à la détention d’armes. Cette exclusion ne s’étend pas automatiquement à des documents nouveaux qui n’ont pas été examinés.

Statut éditorial : revendication non confirmée. Cet article devra être mis à jour si la FFTir, un prestataire, la CNIL, l’ANSSI, une autorité judiciaire ou une analyse technique autorisée établit l’existence d’un nouvel accès, d’une nouvelle exfiltration ou, au contraire, la réutilisation exclusive des données de 2025.