Gymnastique : une fuite de 200 000 adhérents est revendiquée

Une revendication publiée le 13 septembre

L'alerte est fondée sur une publication attribuée au pseudonyme Venus1337 sur un forum cybercriminel. Selon FrenchBreaches, son auteur affirme avoir compromis les systèmes de la Fédération francophone de Gymnastique, ou FFG, en Belgique. Il annonce également mettre en vente des données et fournir un accès à un panel présenté comme celui de l'organisation.

Cette publication établit qu'une revendication a été formulée et que des échantillons ont été montrés à FrenchBreaches. Elle ne suffit pas à prouver, à elle seule, qu'une intrusion a eu lieu dans les systèmes actuels de la Fédération. Le statut doit donc rester précis : la fuite est revendiquée par un acteur cybercriminel, elle n'est pas confirmée publiquement par la victime dans la source consultée.

FrenchBreaches précise ne pas pouvoir confirmer indépendamment la validité actuelle de l'accès présenté ni la méthode qui aurait permis d'obtenir les données. Aucune vulnérabilité ou technique d'intrusion n'est décrite publiquement.

Plus de 200 000 adhérents sont annoncés

Le chiffre le plus marquant vient de la revendication : 209 818 adhérents. Le même message mentionne aussi 764 comptes utilisateurs, 5 858 dossiers d'accidents, 26 058 factures et 10 335 affiliations. Ces volumes sont ceux annoncés par le pirate, pas un bilan établi par la Fédération ou une autorité.

Un chiffre de lignes ou d'enregistrements n'est pas automatiquement un nombre de personnes distinctes. Une même personne peut figurer dans plusieurs tables, par exemple comme adhérent, affilié à un club ou titulaire d'une facture. Mais même sans pouvoir vérifier l'exhaustivité de la base, l'ordre de grandeur revendiqué mérite une vigilance particulière en raison des catégories de données décrites.

La Fédération concernée est francophone et belge. Il ne faut pas présenter cette revendication comme une fuite touchant l'ensemble de la gymnastique française, ni en déduire que les fédérations ou clubs français seraient concernés.

Des coordonnées et des dates de naissance dans les échantillons

FrenchBreaches indique avoir observé, dans un échantillon consacré aux adhérents, des champs correspondant au numéro de licence, au nom, au prénom, au sexe, à la date de naissance, à l'adresse postale, au code postal, à la localité, au téléphone et à l'adresse e-mail. Les affiliations comporteraient aussi des noms, des nationalités, des coordonnées, des numéros de licence et le club de rattachement.

La publication décrit également des comptes associés à des clubs, avec identifiant, nom d'utilisateur, hash de mot de passe, organisation et statut. Un hash n'est pas un mot de passe lisible tel quel. La présence de cette information ne permet pas d'affirmer que les mots de passe ont été récupérés ni qu'ils peuvent être utilisés pour se connecter.

Les échantillons mentionnent enfin des dossiers d'accidents, avec notamment l'identité, un numéro de licence, la date de l'accident, le club et des références de dossier. La source ne donne pas le contenu complet de ces dossiers. Il serait donc injustifié de les qualifier de données médicales ou de détailler des informations qui ne sont pas exposées publiquement.

Pourquoi cette combinaison peut nourrir une arnaque crédible

Un nom, une date de naissance, un club, un numéro de licence et des coordonnées permettent à un escroc de rendre un contact beaucoup plus plausible. Il peut se faire passer pour une fédération, un club, un assureur ou un organisateur de compétition. Il peut évoquer une licence à renouveler, un dossier d'accident, une facture ou une inscription, puis demander de suivre un lien ou de rappeler un numéro.

Le bon réflexe est de ne pas utiliser le lien, le numéro ou l'adresse de réponse fournis dans un message inattendu. Pour vérifier une démarche, retrouvez vous-même les coordonnées habituelles du club ou de la Fédération et contactez-les par ce canal. Ne communiquez jamais un code reçu par SMS à une personne qui vous appelle : la connaissance de votre nom ou de votre club ne prouve pas qu'elle est légitime.

Cette prudence vaut aussi pour les parents et les responsables de clubs, souvent destinataires de messages administratifs. Un message bien renseigné doit être contrôlé avec plus de soin, pas cru plus vite.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas vérifier de manière indépendante que les fichiers examinés proviennent des systèmes de la Fédération francophone de Gymnastique, ni que l'organisation a été compromise. La Fédération n'a pas confirmé publiquement l'incident dans la source consultée. L'existence, la date, l'actualité et l'étendue de l'accès au panel présenté par le pirate ne sont pas établies.

Nous ne pouvons pas non plus confirmer le nombre exact de personnes concernées, l'exhaustivité des fichiers, leur période de collecte, la méthode d'accès ou le contenu complet des dossiers d'accidents. Les volumes, les catégories de données et l'attribution à la Fédération restent ceux rapportés à partir de la revendication de Venus1337 par FrenchBreaches.

Sources : FrenchBreaches ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.