La Fédération Française de Football (FFF) vient de confirmer une nouvelle fuite de données, la deuxième en moins d’un an. Après l’incident de février 2025, au cours duquel un pirate avait déjà exfiltré et diffusé les données de 43 681 arbitres et officiels, une base de 184 762 lignes contenant identités et adresses email, c’est désormais la plateforme administrative centralisée des clubs qui a été compromise.
En février, l’attaque était partie de l’exploitation d’un accès non autorisé permettant au pirate d’extraire une base complète propre aux arbitres, qu’il avait ensuite remise en ligne le 28 février 2025 en s’en vantant publiquement.
Cette fois, en novembre 2025, le vecteur est différent mais tout aussi préoccupant : un compte utilisateur compromis a offert aux cybercriminels des droits administrateurs sur le logiciel fédéral utilisé par l’ensemble des clubs. Cette escalade de privilèges a permis d’accéder à des données personnelles sensibles de millions de licenciés avant que l’intrusion ne soit stoppée.
Un accès frauduleux par un identifiant compromis
Selon le communiqué officiel publié le 26 novembre 2025, l’attaque ne résulte pas d’une faille logicielle, mais d’un accès obtenu via des identifiants légitimes abusés. Dès la détection de l’activité anormale, la FFF a désactivé le compte concerné et réinitialisé l’ensemble des mots de passe utilisateurs afin de limiter la propagation et toute tentative de réutilisation des accès.
Les autorités compétentes, ANSSI et CNIL, ont été informées, conformément aux exigences du RGPD, et une plainte a été déposée. La fédération indique qu’elle contactera directement toutes les personnes dont l’adresse email figure dans la base exfiltrée.
Des données personnelles complètes, un risque d’usurpation accru
L’ampleur des données compromises dépasse largement celle de l’incident de février. Les informations volées comprennent les noms et prénoms, le genre, les dates et lieux de naissance, la nationalité, les adresses postales et électroniques, les numéros de téléphone et les numéros de licence.
Cette combinaison constitue un “profil d’identité complet”, extrêmement recherché sur le marché noir. Elle permet de mener des attaques de phishing hautement ciblées, d’usurper l’identité d’un licencié, de créer des faux comptes crédibles ou de constituer des tentatives de fraude financière auprès de clubs, de ligues ou d’organismes partenaires. Les précédentes attaques dans le sport amateur montrent que les escrocs utilisent souvent ces données pour se faire passer pour un club ou pour la fédération et pousser les victimes à ouvrir des pièces jointes ou transmettre des informations sensibles.
Un secteur sportif devenu cible privilégiée
Avec plus de 2,3 millions de licenciés lors de la saison 2023–2024, le football amateur constitue l’une des plus grandes bases de données personnelles du monde associatif français. Les systèmes techniques sont variés, distribués, et souvent gérés par des bénévoles peu formés aux problématiques cyber. Cette décentralisation crée une surface d’attaque particulièrement attractive pour des groupes malveillants cherchant un impact maximal avec des efforts modérés.
Depuis deux ans, les fédérations sportives font face à une multiplication d’attaques ciblant leurs portails d’inscription, leurs services administratifs ou leurs systèmes de gestion interne. La répétition de deux fuites majeures en 2025 dans la même fédération, l’une en février, l’autre en novembre, illustre la pression croissante exercée sur ce secteur et l’importance d’un investissement structurel dans la cybersécurité.
Une vigilance accrue pour les licenciés et les bénévoles
La FFF met en garde contre les risques de phishing susceptibles d’exploiter les données dérobées. Les victimes peuvent recevoir des emails, SMS ou appels se faisant passer pour la fédération, leur club ou un organisme officiel. Les communications peuvent prétendre signaler un renouvellement de licence, une mise à jour de dossier, une régularisation administrative ou un changement de mot de passe.
La fédération rappelle qu’aucun organisme légitime ne demandera de transmettre un mot de passe, un code d’authentification ou un numéro de carte bancaire par message. Les licenciés doivent également se méfier de toute invitation à ouvrir des fichiers ou à cliquer sur des liens non sollicités.
Dans ce contexte, l’incident de novembre ne constitue pas seulement une fuite isolée, mais le révélateur d’un problème structurel. Le football amateur français, comme d’autres secteurs associatifs, se trouve désormais exposé à des attaques de plus en plus professionnelles, exploitant des accès légitimes et ciblant des infrastructures souvent insuffisamment préparées.
Un défi pour l’écosystème du football français
La FFF affirme renforcer continuellement ses dispositifs de sécurité pour répondre à la montée en puissance des cyberattaques. Toutefois, la multiplication des incidents en 2025 souligne l’urgence d’une approche globale : gouvernance des accès, durcissement des systèmes utilisés par les clubs, sensibilisation renforcée des bénévoles et contrôle des comptes à privilèges.
La donnée des licenciés n’est plus un sujet annexe : elle est devenue un actif numérique stratégique, convoité par les cybercriminels et essentiel au fonctionnement du football amateur. La fédération se retrouve désormais face à une obligation : transformer durablement sa posture de sécurité, pour éviter que ces fuites successives ne deviennent la norme.
Partager :
Gestion de la surface d'attaque externe
Anticipez les attaques. Découvrez ce que les cybercriminels savent déjà sur vous.
des violations de données réussies débutent sur des actifs exposés sur Internet.
