Piratage de la Fédération française de tennis :
deux fuites distinctes en 2026, et ce que risquent
vraiment les licenciés.
Ce qui a été exposé, ce qui ne l’a pas été, et les démarches réellement utiles.
Un nom associé à un club, un niveau de jeu et un numéro de téléphone ne permettent de vider aucun compte. Ils permettent en revanche d’écrire un message si crédible que la victime ne se méfie pas. C’est là que se situe le danger.
L’incident de janvier 2026
Le 12 janvier 2026, la fédération a informé ses licenciés par courriel avoir été la cible d’un acte de cybermalveillance ayant affecté une plateforme utilisée par les clubs.
L’incident a entraîné un accès non autorisé à certaines données présentes sur cette plateforme. Les informations susceptibles d’avoir été consultées sont le nom, le prénom, les coordonnées — adresse électronique, adresse postale, numéro de téléphone — ainsi que, le cas échéant, des éléments relatifs à la licence.
Aucune donnée bancaire et aucun mot de passe ne sont concernés, selon la communication officielle. Cette précision change complètement l’évaluation du risque, et elle mérite d’être prise au sérieux plutôt qu’écartée par principe.
La fédération indique avoir bloqué les accès concernés dès la détection et lancé des investigations techniques. La Commission nationale de l’informatique et des libertés ainsi que l’agence nationale de sécurité informatique ont été alertées.
Un point d’attention sur les chiffres qui ont circulé. La fédération comptait à cette date plus de 1,2 million de licenciés, et ce nombre a été largement repris. Il désigne la taille de l’organisation, pas le nombre de personnes concernées, qui n’a jamais été communiqué. Confondre les deux revient à surestimer l’ampleur de l’incident.
La seconde fuite révélée en septembre
Un second épisode, distinct du premier, a été rendu public début septembre 2026 et concerne un autre service de l’écosystème numérique de la fédération.
Un groupe se présentant sous le nom de LunarisSec affirme avoir récupéré des données provenant de la place de marché officielle, utilisée notamment par les clubs, comités, ligues et collectivités pour acheter du matériel sportif.
L’ensemble représenterait environ 210 000 lignes de données et concernerait près de 110 000 utilisateurs. Des échantillons vérifiés contiennent des identités, des noms de clubs ou de structures, des adresses de livraison et de facturation, des références de commandes, des dates et des montants.
Le public visé est ici beaucoup plus restreint. Il s’agit essentiellement de personnes ayant passé commande sur cette boutique, souvent des responsables de clubs plutôt que l’ensemble des pratiquants.
Là encore, la prudence s’impose sur les ordres de grandeur. La fédération revendiquait au 31 août 2026 plus de 1 289 000 licenciés et environ 7 180 clubs affiliés ou structures habilitées. Rien n’indique que l’ensemble de ces licenciés figure dans les données de la boutique, dont l’usage est bien plus spécifique.
Une différence de nature sépare également les deux affaires. Dans le premier cas, la fédération a communiqué elle-même, à l’initiative de l’organisation. Dans le second, l’information provient d’une revendication d’attaquants, dont des échantillons ont été vérifiés par des observateurs indépendants. Une revendication n’est pas une confirmation : les groupes qui opèrent ainsi ont intérêt à exagérer le volume et la sensibilité de ce qu’ils détiennent, car leur crédibilité conditionne leurs négociations. Les ordres de grandeur avancés méritent donc d’être considérés comme des estimations tant qu’une communication officielle ne les confirme pas.
Ce qui a fuité, et ce qui n’a pas fuité
Les données exposées
Identité complète, coordonnées électroniques, postales et téléphoniques, appartenance à un club, éléments de licence. Pour le second incident, s’y ajoutent des historiques d’achat avec montants et adresses de livraison.
Prises isolément, ces informations paraissent anodines. Leur valeur vient de leur cohérence : elles composent un profil vérifiable qui rend crédible une prise de contact.
Ce qui reste protégé
Ni coordonnées bancaires, ni mots de passe. Personne ne peut donc débiter un compte ni se connecter à un espace personnel avec les éléments issus de ces fuites.
Cette distinction est essentielle et souvent gommée par les articles alarmistes. Une fuite de coordonnées expose à la manipulation, pas au vol direct. Les deux situations appellent des réactions différentes.
Une réserve subsiste toutefois. L’absence de mots de passe dans une fuite ne protège pas un compte dont l’identifiant est une adresse électronique désormais connue, si le mot de passe associé a fuité ailleurs et qu’il est réutilisé. C’est le mécanisme qui rend ces incidents cumulatifs, comme l’ont montré les expositions de comptes à très grande échelle survenues en France.
Les risques réellement encourus
Classés par probabilité, en écartant les scénarios spectaculaires que ces données ne permettent pas.
Le message frauduleux ciblé, très probable. Un courriel ou un message mentionnant votre club, votre licence ou une régularisation à effectuer. La précision des éléments cités désarme la méfiance habituelle. C’est le risque numéro un.
L’appel téléphonique, probable. Un interlocuteur qui connaît votre nom, votre club et votre situation obtient d’emblée un crédit qu’un démarcheur anonyme n’aurait jamais. Ces éléments servent de laissez-passer.
La revente et le démarchage, quasi certains. Les coordonnées alimenteront d’autres campagnes, commerciales douteuses ou frauduleuses, pendant des années.
L’usurpation d’identité, moins probable mais sérieuse. Un dossier combinant identité et adresse peut servir à des démarches frauduleuses, généralement en complément d’autres données obtenues ailleurs.
Un élément mérite d’être rappelé pour remettre ces risques à leur juste niveau. Ces fuites ne créent pas une menace nouvelle : elles augmentent la qualité de ciblage de menaces qui existaient déjà. Un licencié recevait des tentatives de fraude avant ces incidents, il en recevra après, mais mieux formulées. La réponse appropriée est donc un ajustement de vigilance, pas une réorganisation complète de sa vie numérique. Les mesures listées plus bas sont d’ailleurs celles qui protègent contre l’ensemble de ces tentatives, indépendamment de leur origine.
Les signaux à reconnaître
Ces messages se ressemblent tous, et quelques marqueurs les trahissent quelle que soit leur mise en forme.
- L’urgence. Un compte à vérifier immédiatement, une licence à régulariser sous quarante-huit heures, un accès qui sera suspendu. Aucune institution ne fonctionne ainsi.
- Le lien à cliquer. La demande d’accéder à un espace personnel par un lien fourni dans le message, plutôt qu’en saisissant soi-même l’adresse du site.
- La demande de paiement. Un complément de cotisation, des frais de dossier, une régularisation. Ces demandes ne transitent jamais par un message non sollicité.
- La sollicitation de codes. Aucun organisme légitime ne demande de communiquer un code reçu par message, quel que soit le prétexte avancé.
La précision des informations citées n’est pas un gage d’authenticité. C’est précisément ce que la fuite a rendu possible.
Le scénario le plus redoutable reste celui du faux conseiller bancaire, qui utilise ces éléments pour établir sa crédibilité avant de faire valider une opération. Son mécanisme est détaillé dans notre article consacré à cette fraude.
D’autres montages exploitent l’autorité administrative, comme les faux avis de saisie du Trésor public ou les campagnes visant le renouvellement de la carte Vitale.
Le volume général de messages malveillants donne la mesure du phénomène, comme le rappelle notre article sur la proportion de courriels malveillants en circulation.
Ce qu’il faut faire maintenant
Les mesures utiles sont limitées en nombre, et il vaut mieux en appliquer trois sérieusement que d’en survoler dix.
Vérifier la réutilisation des mots de passe. Aucun mot de passe n’a fuité ici, mais votre adresse électronique est désormais connue. Si elle sert d’identifiant sur plusieurs services avec le même mot de passe, changez-le partout.
Activer la double authentification. Sur la messagerie d’abord, qui commande la réinitialisation de tous les autres comptes. C’est la mesure au meilleur rapport entre effort et protection.
Adopter un réflexe de rappel. Face à toute sollicitation liée à la fédération, au club ou à une licence, ne pas répondre au message mais contacter directement la structure par les coordonnées que vous connaissez déjà.
Surveiller les relevés bancaires. Non parce que ces données permettent un prélèvement, mais parce qu’une fraude réussie par manipulation se repère d’abord là. Un contrôle mensuel suffit.
Un dernier réflexe mérite d’être signalé : la méfiance envers les outils promettant de protéger vos données après un incident. Les périodes qui suivent une fuite médiatisée voient fleurir des applications douteuses, comme le montre notre article sur une fausse application de réseau privé virtuel. D’autres techniques visent directement les messageries, à l’image de celles permettant d’espionner des conversations.
Vos droits et les obligations de la fédération
Les obligations du responsable
Le règlement européen impose de notifier l’autorité de contrôle dans les soixante-douze heures suivant la découverte d’une violation, et d’informer les personnes concernées lorsque le risque pour leurs droits est élevé.
La fédération a informé ses licenciés et alerté les autorités compétentes. Plusieurs éléments restent en revanche non communiqués : périmètre exact, nombre de personnes touchées, date de l’intrusion, durée de l’exposition.
Ce que vous pouvez demander
Toute personne concernée peut solliciter du responsable de traitement le détail des données la concernant qui ont été exposées. Cette demande s’adresse au délégué à la protection des données de l’organisme.
En cas d’absence de réponse ou de réponse insuffisante, une réclamation peut être déposée auprès de l’autorité de contrôle. Les recommandations générales en la matière sont détaillées dans notre article sur le rapport publié par l’autorité.
Pour les structures qui gèrent elles-mêmes des fichiers d’adhérents, clubs et associations compris, ces incidents rappellent que les mêmes obligations s’appliquent à toute organisation traitant des données personnelles. Les principes pratiques sont exposés dans notre guide sur la gestion conforme des fichiers, un cadre dont l’application aux traitements automatisés soulève des questions détaillées dans notre article sur la mise en conformité des systèmes d’intelligence artificielle.
Une vague qui dépasse le tennis
Ces incidents ne constituent pas un cas isolé, et ce contexte éclaire ce qui s’est produit.
Dans les semaines qui ont précédé l’incident de janvier, les fédérations françaises de football puis de handball avaient elles aussi été visées. Trois grandes fédérations touchées en peu de temps dessinent une campagne plutôt qu’une série de hasards.
La logique se comprend. Ces organisations gèrent des fichiers d’adhérents considérables, avec des moyens de sécurité sans commune mesure avec ceux d’un grand groupe. Elles offrent un rapport entre volume de données et difficulté d’intrusion particulièrement favorable aux attaquants.
Le même raisonnement explique les attaques visant des structures publiques locales, décrites dans notre article sur les mairies de province, ou des établissements scolaires, comme dans la paralysie de lycées par un rançongiciel.
Cette accumulation produit un effet cumulatif préoccupant. Chaque fuite enrichit les profils constitués par les précédentes, qu’il s’agisse de dossiers médicaux, de fichiers bancaires administratifs ou de bases clients dérobées à très grande échelle. Les données exposées restent par ailleurs accessibles durablement, un sujet voisin de celui traité dans notre article sur la désindexation de contenus. Nos retours clients et notre page contact restent accessibles.
Fuites de données FFT : les réponses essentielles.
Mes coordonnées bancaires ont-elles fuité ?
Non. La communication officielle du 12 janvier 2026 indique expressément qu’aucune donnée bancaire et aucun mot de passe ne sont concernés. La seconde fuite, révélée en septembre, porte sur des historiques de commandes sans coordonnées de paiement.
Que s’est-il passé exactement ?
Deux incidents distincts. En janvier 2026, une plateforme utilisée par les clubs a subi un accès non autorisé. En septembre, un groupe affirme avoir récupéré des données de la boutique officielle, soit environ 210 000 lignes concernant près de 110 000 utilisateurs.
Combien de licenciés sont touchés ?
La fédération ne l’a pas communiqué pour l’incident de janvier. Les chiffres de 1,2 puis 1,3 million largement repris désignent le nombre total de licenciés, pas le nombre de victimes. Confondre les deux conduit à surestimer l’ampleur des faits.
Quel est le risque principal ?
Le message frauduleux ciblé. Un courriel, un message ou un appel mentionnant votre club, votre licence ou une régularisation à effectuer. La précision des éléments cités désarme la méfiance habituelle : c’est précisément ce que la fuite a rendu possible.
Dois-je changer mes mots de passe ?
Aucun mot de passe n’a fuité, mais votre adresse électronique est désormais connue. Si elle sert d’identifiant sur plusieurs services avec un mot de passe identique, il faut le changer partout et activer la double authentification, en priorité sur votre messagerie.
Comment reconnaître un message frauduleux ?
Quatre marqueurs : l’urgence artificielle, le lien à cliquer plutôt que la saisie directe de l’adresse, toute demande de paiement, et la sollicitation d’un code reçu par message. Aucun organisme légitime ne procède ainsi.
Puis-je savoir quelles données me concernent ?
Oui. Toute personne concernée peut demander au responsable de traitement le détail des données exposées la concernant, en s’adressant au délégué à la protection des données. En cas de réponse insuffisante, une réclamation reste possible auprès de l’autorité de contrôle.
Pourquoi les fédérations sont-elles visées ?
Les fédérations de football et de handball avaient été touchées dans les semaines précédant l’incident de janvier. Ces organisations gèrent des fichiers d’adhérents considérables avec des moyens de sécurité limités, ce qui les rend attractives pour les attaquants.
- FFT — Communiqué officiel du 12 janvier 2026 sur l’acte de cybermalveillance
- Cyberattaque.org — Vérification des échantillons de la fuite touchant la boutique officielle
- CNews — Contexte de la vague visant les fédérations sportives françaises
- CNIL — Violations de données personnelles, obligations et démarches
- Cybermalveillance.gouv.fr — Assistance aux victimes et signalement
WY-Créations suit l’actualité de la sécurité numérique et de la protection des données. Les éléments présentés reposent sur la communication officielle et sur des vérifications indépendantes ; le périmètre exact du premier incident n’a pas été rendu public et ces informations sont susceptibles d’évoluer. Pour aller plus loin : toutes les actualités web.
Un fichier d’adhérents mal protégé engage la responsabilité de la structure.
WY-Créations accompagne associations, clubs et entreprises sur leurs sites et la gestion de leurs données depuis 2018.