Selon Cyberattaque.org, un pirate informatique nommé Vagrantly revendique la mise en vente d’un accès à l’environnement numérique de la Fédération française de tir (FFTir), permettant potentiellement d’atteindre les données personnelles de jusqu’à 300 000 licenciés. Contrairement à une fuite classique, l’attaquant ne diffuse pas directement une base de données complète, mais propose à la vente un accès nécessitant, selon lui, des compétences techniques avancées pour être exploité.

Ce qu'il faut retenir

  • Un hacker revendique la vente d’un accès aux données de 300 000 licenciés de la FFTir, sans publier pour l’instant l’intégralité des informations.
  • Les échantillons consultés par Cyberattaque.org révèlent l’accès à des données sensibles : nom, prénom, adresse e-mail, date de naissance, numéro de licence, statut et club de rattachement.
  • Parmi les données exposées figurent celles de mineurs, ainsi que des informations sur les compétitions et les clubs fréquentés, augmentant les risques de ciblage personnalisé.
  • Le pirate évoque une faille de type IDOR partielle, mais précise que son exploitation reste complexe et que l’étendue réelle des données accessibles n’est pas encore documentée publiquement.
  • La FFTir n’a pas confirmé cette revendication pour l’heure, et l’origine exacte de l’intrusion reste indéterminée.

Une cybermenace en vente : l’offensive de Vagrantly contre la FFTir

Le hacker Vagrantly affirme détenir un accès privilégié au système d’information de la Fédération française de tir (FFTir), une organisation qui encadre la pratique sportive du tir en France et fédère un réseau de clubs à travers le pays. Selon ses déclarations, cet accès permettrait d’atteindre les données personnelles de 300 000 licenciés, bien que l’attaquant insiste sur la difficulté technique pour exploiter pleinement cette faille. Contrairement aux fuites de données classiques, Vagrantly ne propose pas de téléchargement immédiat des informations, mais commercialise plutôt un accès nécessitant des compétences spécifiques.

Cyberattaque.org a pu examiner des échantillons des données revendiquées par le pirate. Ces extraits confirment la présence d’informations détaillées sur des licenciés, dont certaines sont récentes, comme les numéros de licence, les identités complètes, les adresses e-mail et les dates de naissance. Aucun document n’a encore été rendu public, mais l’attaquant laisse entendre que d’autres données pourraient être disponibles.

Des données personnelles particulièrement sensibles en jeu

Les fichiers consultés par Cyberattaque.org contiennent une combinaison de données qui rend l’exposition particulièrement préoccupante. Parmi les informations accessibles figurent, pour chaque licencié concerné :

  • le numéro de licence ;
  • le nom et prénom ;
  • l’adresse e-mail et la date de naissance ;
  • le sexe et la nationalité ;
  • l’identifiant du club de rattachement ;
  • le statut actif de la licence et sa date de validité ;
  • un champ éventuel indiquant une situation de handicap ;
  • des données liées aux compétitions et aux associations sportives ;
  • selon Vagrantly, certaines factures et autres documents.

Cette granularité des informations expose les licenciés à des risques accrus de phishing ciblé ou d’usurpation d’identité. Le croisement entre ces données permet en effet de construire des scénarios d’attaque hautement personnalisés. La présence d’informations sur des mineurs, dont les données sont protégées par un cadre légal renforcé, ajoute une dimension particulièrement sensible à cette exposition.

Une faille technique avancée, mais aux contours encore flous

Vagrantly affirme avoir identifié une faille de type IDOR (Insecure Direct Object Reference) partielle, un défaut de contrôle d’accès qui peut permettre à un utilisateur malveillant d’accéder à des ressources appartenant à d’autres personnes en manipulant des identifiants. Toutefois, le pirate précise que l’exploitation de cette vulnérabilité reste complexe et qu’il ne connaît pas l’existence éventuelle d’autres failles, comme des injections SQL. Le chemin technique permettant d’atteindre l’ensemble des données n’est donc pas documenté publiquement, limitant pour l’instant la compréhension de l’étendue réelle de la compromission.

Le chiffre de 300 000 licenciés potentiellement concernés correspond à une estimation théorique avancée par Vagrantly si l’accès était pleinement exploité. Pour l’heure, Cyberattaque.org n’a pas pu vérifier si l’intégralité de ces données a effectivement été consultée ou exfiltrée. Les échantillons analysés montrent en revanche que des fiches individuelles de licenciés sont accessibles, avec des informations récentes relatives à leur licence et à leur club de rattachement.

Un contexte déjà marqué par une précédente intrusion en 2025

Cette nouvelle cybermenace intervient moins d’un an après un incident officiellement reconnu par la FFTir. Entre le 18 et le 20 octobre 2025, son système informatique ITAC avait été compromis, entraînant la déconnexion des plateformes ITAC et EDEN. La fédération avait alors alerté l’ANSSI (Agence nationale de la sécurité des systèmes d’information) et la CNIL (Commission nationale de l’informatique et des libertés), avant d’imposer une réinitialisation des mots de passe à l’ensemble de ses licenciés.

Lors de cet incident, la FFTir avait indiqué que les numéros de licence, états civils, adresses postales, adresses e-mail et numéros de téléphone des licenciés avaient pu être exposés. Elle avait exclu, à l’époque, la compromission des données bancaires, médicales et relatives à la détention d’armes. Aucune corrélation technique n’a été établie à ce jour entre cet incident de 2025 et la revendication actuelle de Vagrantly. La FFTir n’a pas encore fait de déclaration publique concernant cette nouvelle menace.

Les risques immédiats : revente et exploitation par des tiers

Le principal danger lié à cette revendication réside dans la volonté de Vagrantly de monétiser son accès. En vendant cette faille à d’autres cybercriminels, il augmente le risque qu’un acheteur aux compétences techniques suffisantes parvienne à élargir le périmètre compromis et à extraire davantage de données. Une fois ces informations en possession de tiers malveillants, leur exploitation pourrait prendre plusieurs formes : phishing massif, usurpation d’identité, chantage, ou encore revente sur des forums clandestins.

Les données de licenciés, surtout lorsqu’elles incluent des mineurs ou des informations médicales, sont particulièrement prisées sur les marchés cybercriminels. Leur croisement avec d’autres bases de données pourrait également permettre des attaques ciblées contre des clubs ou des compétitions spécifiques, notamment en ciblant les organisateurs ou les sponsors.

Et maintenant ?

La FFTir n’a pas encore réagi publiquement à cette revendication, et l’origine exacte de l’intrusion reste à déterminer. Si la faille technique évoquée par Vagrantly est confirmée, une enquête approfondie sera nécessaire pour évaluer l’étendue réelle de la compromission et identifier les mesures correctives à mettre en œuvre. La fédération devra également se conformer à ses obligations légales en matière de protection des données, notamment auprès de la CNIL.

Dans l’immédiat, les licenciés concernés sont invités à la vigilance, en surveillant leurs boîtes mail et en évitant de cliquer sur des liens ou pièces jointes suspects. Une confirmation officielle de la FFTir, ainsi que des recommandations détaillées, pourraient être publiées dans les prochains jours.

Cette nouvelle cybermenace rappelle l’importance croissante de la sécurisation des données sportives, alors que les fédérations et clubs collectent des informations de plus en plus détaillées sur leurs adhérents. Les prochaines semaines seront cruciales pour déterminer si cette intrusion a eu des conséquences concrètes, ou si elle reste, pour l’instant, une tentative de chantage informatique.

Une faille IDOR (Insecure Direct Object Reference) est un défaut de sécurité qui permet à un utilisateur malveillant d’accéder à des ressources ou des données qui ne lui sont pas destinées, simplement en modifiant des identifiants dans une requête. Par exemple, en remplaçant un identifiant d’utilisateur dans une URL, un attaquant peut accéder aux données d’un autre licencié. Cette faille est dangereuse car elle peut exposer des informations sensibles sans nécessiter de compétences techniques avancées, bien que son exploitation puisse être compliquée selon la configuration du système.

Si vous êtes licencié à la FFTir, surveillez votre boîte mail et vos comptes en ligne pour détecter toute activité suspecte. Évitez de cliquer sur des liens ou des pièces jointes provenant de sources inconnues. En cas de doute, contactez directement la fédération pour obtenir des informations officielles. Si vous constatez une usurpation d’identité ou un phishing, signalez-le aux autorités compétentes (ANSSI, CNIL ou plateforme Phishing-Incident de l’ANSSI).