Le 17 octobre 2026, le pirate ChimeraZ a revendiqué l’accès à 586 854 dossiers de licenciés de la Fédération Française de Tir, comprenant 64 000 photos d’identité et 19 000 certificats médicaux. Cet incident met en lumière une vulnérabilité persistante dans une structure civile qui gère des données sensibles sur des individus formés au maniement des armes. Moins d’un an après une première compromission en octobre 2025, l’ampleur de ce nouveau piratage soulève des questions sur la gestion de la cybersécurité des fédérations sportives liées à la défense.
Une fédération sportive devenue cible stratégique
La Fédération Française de Tir, avec ses 300 000 licenciés actifs, conserve également les données d’anciens membres dans ses systèmes ITAC et EDEN. L’archive exposée, totalisant 40 Go, contient 586 854 fiches individuelles, 400 000 enregistrements de premières connexions et des informations sur 1 659 clubs de tir. D’après FrenchBreaches, environ 250 000 licenciés actifs et 350 000 anciens membres sont concernés. L’association de données complètes d’identité, d’adresses, de photos et de certificats médicaux crée des profils exploitables pour des opérations criminelles ciblées. Contrairement aux fuites de données bancaires ou commerciales, le piratage de la FFTir touche des individus formés au maniement des armes, certains possédant des équipements à domicile, faisant passer cette violation de données à un risque de sécurité intérieure.
Lors de la première intrusion en octobre 2025, un compte compromis sans double authentification et une faille IDOR avaient été exploités. La FFTir avait alors déclaré que les données médicales et les informations de clubs n’étaient pas concernées. Cependant, les fichiers revendiqués par ChimeraZ incluent ces éléments. Des traces datées de septembre 2026 montrent des validations de licence et certificats médicaux pour la saison 2026-2027, ce qui soulève deux hypothèses : une nouvelle intrusion entre septembre et octobre 2026 ou une évaluation insuffisante de l’attaque de 2025.
De la fuite aux menaces physiques : le chaînage opérationnel
En avril 2026, le ministre de l’Intérieur Laurent Nuñez a lié la fuite de données de 2025 à une série de cambriolages. Entre 20 et 30 effractions ont ciblé des domiciles de tireurs sportifs, illustrant l’exploitation criminelle des informations volées. Un suspect de 18 ans a été arrêté en janvier 2026 pour avoir revendu ces données sur Telegram et des plateformes cybercriminelles. Le processus est clair : extraction des données, identification des profils à risque, revente sur des marchés clandestins, puis exploitation par des cambrioleurs professionnels. L’exposition d’adresses associées à une licence de tir est préoccupante, car bien qu’une licence ne signifie pas automatiquement possession d’armes, elle fournit assez d’informations pour des criminels. Les cyberattaques dans le Nord de la France montrent comment des vulnérabilités locales peuvent avoir des répercussions à l’échelle nationale.
Les 64 000 photos d’identité et 19 000 certificats médicaux revendiqués par ChimeraZ sont des vecteurs potentiels d’usurpation d’identité. L’association de ces éléments avec des informations personnelles permet de créer de fausses identités administratives crédibles. Les certificats médicaux, contenant des informations protégées, ouvrent la voie à des discriminations ou fraudes ciblées. Dans un contexte militaire ou de défense, ces données pourraient être exploitées pour identifier des vulnérabilités individuelles. La violation de la confidentialité de 19 000 personnes constitue une atteinte grave au RGPD et aux principes de protection des données de santé, et s’inscrit dans une vague de 20 cyberattaques en France le 17 octobre 2026, touchant plus de 9 millions de personnes.
Implications pour les structures civiles d’intérêt de défense
Le double piratage de la FFTir met en évidence une défaillance structurelle dans la gouvernance de la cybersécurité des fédérations sportives. L’absence de double authentification, les failles IDOR et la sous-estimation des compromissions montrent une maturité insuffisante face aux menaces actuelles. Les fédérations gérant des populations sensibles doivent être considérées comme des structures d’intérêt de défense et soumises à des normes de sécurité renforcées. Le piratage des agences de régulation en France montre que même ces organismes ne sont pas épargnés. Un audit systématique, incluant tests d’intrusion et formation des personnels, est nécessaire. La CNIL et l’ANSSI doivent établir un référentiel spécifique pour ces acteurs hybrides.
