Score’n’co : près de 23 000 comptes revendiqués dans une fuite

Une base attribuée à Score’n’co, pas une fuite confirmée

FrenchBreaches a signalé le 27 septembre une publication attribuée au pseudonyme « Syrv4x » sur un forum cybercriminel. Son auteur affirme y diffuser gratuitement une base liée à Score’n’co, annoncée à 22 962 lignes pour environ 9 Mo. Le nombre est donc celui avancé par la personne qui publie les données, et non un bilan communiqué par la plateforme.

Le statut compte ici autant que le volume. Une publication accompagnée d’un échantillon peut montrer que des champs cohérents existent, mais elle ne permet pas à elle seule d’établir l’origine de toute la base, son ancienneté, ni les circonstances de son obtention. Rien dans les éléments publiés ne permet d’affirmer une intrusion dans les systèmes de Score’n’co. Il peut s’agir d’une compromission directe, d’un compte compromis, d’un service tiers ou d’une autre source : le mécanisme n’est pas établi.

Ce que l’échantillon laisse apparaître

Selon l’analyse publiée par FrenchBreaches, les enregistrements visibles associent des noms et prénoms, adresses e-mail, numéros de téléphone, dates de naissance et adresses postales. L’échantillon mentionne aussi des identifiants de compte et de membre, les clubs ou communautés associés, des équipes, ainsi que des statuts tels qu’administrateur ou reporter.

La liste évoque également des données relatives aux licences sportives, dont leur numéro et leur type. FrenchBreaches indique que certains profils pourraient inclure les coordonnées d’un représentant légal. Le site a anonymisé les exemples et ne reproduit pas les données personnelles présentes dans l’échantillon. Ces éléments ne prouvent pas que chaque ligne revendiquée concerne une personne différente, mais ils donnent une idée de la nature sensible de l’assemblage annoncé.

Pourquoi l’association de ces données augmente le risque

Un nom et une adresse e-mail isolés peuvent déjà servir à personnaliser un message frauduleux. Ajoutez un numéro de téléphone, un club, une équipe et un type de licence : un escroc peut se faire passer de façon plus crédible pour un responsable associatif, un organisateur de tournoi ou un service lié à la pratique sportive. Le risque principal est le phishing ciblé, par e-mail, SMS ou appel.

La présence possible de dates de naissance et de coordonnées postales élargit encore les possibilités d’usurpation ou de faux courriers. Lorsqu’un profil est associé à un représentant légal, la prudence est particulièrement importante : les proches peuvent être visés par un message qui semble concerner l’inscription, une convocation ou un paiement lié au sport. Cela décrit un risque, pas une campagne d’arnaque déjà observée dans cette affaire.

Score’n’co est une plateforme très tournée vers les clubs

Sur son site, Score’n’co se présente comme un service français de suivi des calendriers, résultats et classements, utilisé autour du sport amateur et professionnel. Il propose notamment le suivi de matchs, des commentaires en direct et des outils destinés aux clubs, fédérations, ligues, comités et collectivités. Le site indique couvrir neuf sports et annonce plus de 350 000 membres de sa communauté.

Ce chiffre de communauté ne doit pas être confondu avec les 22 962 lignes revendiquées dans la publication. Ce sont deux informations de nature différente, issues de deux sources distinctes. Il ne permet ni de mesurer la part exacte de la communauté concernée, ni d’extrapoler le nombre de personnes réellement touchées.

Les réflexes à adopter sans attendre une confirmation

Méfiez-vous d’un message qui connaît déjà votre club. Un e-mail ou un SMS qui mentionne une équipe, une licence ou un enfant peut sembler très crédible. Ne cliquez pas sur le lien qu’il contient. Ouvrez vous-même l’application ou le site habituel, ou contactez votre club par un canal déjà connu.

Ne communiquez jamais un code reçu par SMS. Un interlocuteur qui prétend devoir vérifier un compte, une inscription ou un paiement n’a pas à vous demander ce code. Il peut servir à prendre le contrôle d’un compte ou à valider une opération.

Prévenez les proches concernés. Si vous utilisez Score’n’co pour suivre une équipe ou gérer un club, alertez les personnes susceptibles de recevoir de faux messages, notamment les responsables et représentants légaux. L’objectif est qu’un message très personnalisé ne les surprenne pas.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas vérifier indépendamment que la base revendiquée provient des systèmes de Score’n’co, qu’elle est récente, ni comment elle aurait été obtenue. Nous ne pouvons pas confirmer que 22 962 lignes correspondent à 22 962 personnes ou comptes uniques. Nous n’avons pas trouvé, lors de notre vérification, de communication publique de Score’n’co confirmant ou détaillant l’incident.

Les données décrites dans cet article sont celles visibles dans l’échantillon analysé par FrenchBreaches. Elles ne permettent pas de déterminer si tous les champs concernent tous les profils, ni si des données plus sensibles que celles décrites ont été publiées.

Sources : Score’n’co ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.