La réponse courte
L'attaquant n'a pas forcé un serveur : il s'est connecté à EDEN avec des identifiants de licenciés « obtenus ou devinés », puis a pu consulter les données d'autres membres. C'est le schéma classique d'un défaut de contrôle d'accès sur un portail membre, aggravé par des requêtes massives sur la fonction publique de vérification des grades Cibles Couleurs.
Pour toute organisation qui gère un espace adhérent, client ou partenaire, l'incident rappelle qu'un test d'intrusion et un audit de sécurité doivent couvrir les autorisations entre comptes, pas seulement la connexion — et qu'un portail web exposant des pièces d'identité exige une authentification forte dès le départ.
Que s'est-il passé entre le 12 et le 16 octobre ?
Selon la communication officielle publiée par la FFTir le 22 octobre, l'intrusion a été repérée le 12 octobre et l'adresse IP de l'attaquant bloquée le soir même. L'activité s'est néanmoins poursuivie jusqu'au 15 octobre, date à laquelle la fédération a fermé puis corrigé la fonction de vérification Cibles Couleurs, interrogée en masse par l'attaquant.
Le 16 octobre, les documents déposés dans EDEN ont été rendus inaccessibles, au moment où une seconde tentative s'accompagnait de la diffusion d'un échantillon de données. La fédération a porté plainte le même jour et notifié l'ANSSI et la CNIL. D'après franceinfo, une nouvelle tentative d'intrusion a encore été détectée le week-end du 19 octobre.
Ce n'est pas une première : la FFTir avait déjà subi une cyberattaque les 18 et 19 octobre 2025. Et elle n'est pas isolée. En janvier 2026, l'AFP recensait des attaques contre plusieurs fédérations — natation, golf, tennis —, après la fuite qui avait touché le ministère des Sports et 3,5 millions de foyers en décembre 2025.
Quelles données ont été exposées ?
La fédération distingue deux niveaux d'exposition. Pour la majorité des licenciés, actuels et anciens, l'attaquant a pu voir le nom, le prénom, le club, la catégorie d'âge et, le cas échéant, le grade Cibles Couleurs avec sa date de validation et la mention d'une pratique en sport adapté.
- Photos d'identité : environ 64 000, issues des cartes de licence.
- Documents déposés : près de 19 000, essentiellement des certificats d'aptitude à la pratique du tir sportif.
- Dossiers complets : 55 licenciés dont la fiche a été intégralement copiée.
La FFTir affirme qu'aucune information sur la détention d'armes, aucun mot de passe, aucune donnée bancaire ni adresse de domicile n'a été touché. Le pirate, lui, revendique selon franceinfo et Capital les données d'environ 587 000 personnes — 250 000 licenciés actifs et 350 000 anciens. Certains chiffres qui circulent en ligne, comme 140 000 adresses postales, relèvent de la revendication et ne sont pas confirmés par la fédération.
Comment l'attaquant a-t-il pu lire les fiches des autres ?
La fédération décrit deux mécanismes. D'abord, une connexion à EDEN avec des comptes de licenciés dont les identifiants avaient été « obtenus ou devinés » — réutilisation de mots de passe déjà fuités ou mots de passe faibles. Ensuite, depuis ces comptes légitimes, l'accès aux données d'autres membres : un cloisonnement insuffisant entre utilisateurs.
Dans la nomenclature OWASP, ce second point correspond à un contrôle d'accès défaillant (souvent de type IDOR : il suffit de modifier un identifiant dans une requête pour lire la fiche voisine). C'est la catégorie de vulnérabilité web la plus répandue, et elle échappe aux tests qui se contentent de vérifier qu'un utilisateur non connecté est bien refusé.
Le troisième élément — des requêtes massives sur une fonction publique de vérification — montre l'intérêt d'une limitation de débit et d'une détection des énumérations : une page conçue pour contrôler un grade à la fois peut devenir un outil d'extraction si rien n'en borne l'usage.
Quelles mesures la fédération a-t-elle prises ?
- Blocage et correction : IP de l'attaquant bloquée le 12 octobre, fonction Cibles Couleurs fermée et corrigée le 15, documents EDEN rendus inaccessibles le 16.
- Double authentification : disponible sur EDEN depuis plusieurs mois, elle va devenir obligatoire ; elle l'est déjà sur la plateforme ITAC.
- Audits : audits de sécurité et tests d'intrusion réalisés.
- Minimisation : les licenciés inactifs depuis au moins deux saisons sont archivés, avec seulement l'identité et la date de naissance conservées.
La dernière mesure est la plus structurante : une donnée qui n'est plus stockée ne peut plus fuiter. Elle répond aussi au principe de limitation de la conservation du RGPD, que la CNIL rappelle régulièrement dans ses sanctions.
Les leçons pour les éditeurs et les DSI
Un portail membre n'est pas un site vitrine : c'est une base de données personnelle exposée sur Internet. Fédérations, associations, mutuelles, réseaux de franchises ou plateformes B2B partagent le même profil de risque — beaucoup de comptes, des mots de passe souvent réutilisés et des documents justificatifs stockés dans l'application.
- Tester les autorisations objet par objet : chaque requête qui renvoie une fiche ou un document doit vérifier que le demandeur y a droit, côté serveur.
- Rendre l'authentification forte obligatoire dès qu'un espace contient des pièces d'identité ou des données de santé, plutôt que la proposer en option.
- Brider les fonctions publiques : limitation de débit, captcha adaptatif et alertes sur les volumes anormaux de consultation.
- Purger et archiver : durées de conservation définies et appliquées automatiquement, en particulier pour les anciens membres.
- Journaliser les accès pour pouvoir établir rapidement, comme l'a fait la FFTir, le périmètre réel d'une fuite.
Questions fréquentes
Combien de licenciés de la FFTir sont concernés ?
Le pirate revendique environ 587 000 personnes, dont 250 000 licenciés actifs et 350 000 anciens. La fédération confirme que la majorité des licenciés actuels et anciens ont vu exposés leur nom, prénom, club et catégorie d'âge, ainsi qu'environ 64 000 photos d'identité et près de 19 000 documents.
Les informations sur la détention d'armes ont-elles fuité ?
Non, selon la FFTir : aucune information relative à la détention d'armes, aucun mot de passe, aucune donnée bancaire et aucune adresse de domicile n'ont été touchés par cette attaque.
Comment l'attaquant est-il entré dans EDEN ?
Il s'est connecté avec des identifiants de licenciés obtenus ou devinés, puis a pu consulter les données d'autres membres. Il a aussi lancé des requêtes massives sur la fonction de vérification des grades Cibles Couleurs.
Que doivent faire les licenciés ?
Activer la double authentification sur EDEN, changer leur mot de passe s'il est réutilisé ailleurs et se méfier des messages se réclamant de la fédération ou de leur club, la combinaison photo-nom-club rendant l'hameçonnage plus crédible.
Sources
FFTir — Communication relative à une cyberattaque (22 octobre 2026)
franceinfo — La Fédération française de tir victime d'une deuxième cyberattaque en un an (22 octobre 2026)
Capital — Un pirate affirme avoir volé les données de 587 000 licenciés de la Fédération française de tir (octobre 2026)
AFP via France-Guyane — contexte des attaques contre les fédérations sportives (février 2026)