MàJ du 27 janvier 8 h : La Fédération Française de Roller et Skateboard nous confirme aussi avoir été victime d’une cyberattaque. Plus de 570 000 comptes sont concernés et une plainte a été déposée. Le pirate qui a mis les données en vente nous explique aussi comment il a récupéré les données de la Fédération Française de la Montagne et de l’Escalade.

Actualité originale du 24 janvier à 15h04 : Dans la soirée de mercredi à jeudi, un lecteur nous a signalé un email envoyé par la Fédération Française de Tir à l’Arc avec comme titre : « Information d'incident données personnelles ». La suite, on la devine sans difficulté : il s’agit d’une fuite de données personnelles.

La Fédération Française de Tir à l’Arc prévient ses utilisateurs

Dans le cas présent, les données dérobées par le pirate sont les nom et prénom, sexe, date de naissance, adresse postale, téléphone, e-mail et photo de profil. On apprécie d’ailleurs que la Fédération publie également un communiqué sur son site, reprenant les informations de l’email. Cela permet à tout un chacun d’être informé, mais aussi aux personnes concernées de confirmer qu’il ne s’agit pas d’un faux email.

Mots de passe chiffrés… est-ce suffisant ?

La fédération se veut rassurante : « Nous tenons à vous rassurer sur le fait que les mots de passe liés aux espaces licenciés et dirigeants étaient chiffrés et n’ont pas été compromis. Toutefois, par mesure de précaution, une réinitialisation des accès à ces espaces sera prochainement mise en place ».

Le message ne précise pas exactement de quel chiffrement on parle. Les règles de la CNIL sont claires et le chiffrement seul n’est pas suffisant : « Les mots de passe ne doivent jamais être stockés en clair. Lorsque l’authentification a lieu sur un serveur distant, et dans les autres cas si cela est techniquement faisable, le mot de passe doit être transformé au moyen d’une fonction cryptographique non réversible et sûre, intégrant l’utilisation d’un sel ou d’une clé ».

La Fédération Française de Tir à l’Arc affirme que « l’origine du piratage a été identifiée et verrouillée et le fichier malveillant neutralisé ». Elle a « procédé à une déclaration de cet incident auprès de la CNIL, conformément à la réglementation en vigueur, et au dépôt d’une plainte ».

Une faille chez un prestataire

Mais la Fédération donne surtout une précision importante dans son communiqué : la fuite de données a pour origine un partenaire externe. Elle évoque ainsi « l’exploitation d’une faille de sécurité chez notre prestataire en charge des espaces licences et dirigeants pour le compte de plusieurs fédérations sportives ».

Elle ajoute que son « prestataire a renforcé la sécurité de son système en prenant des mesures techniques immédiates » et qu’un audit de sécurité « sera réalisé par une entreprise externe pour corriger d’éventuelles failles et améliorer les processus de gestion des données du prestataire ».

Des données de plusieurs fédérations en vente sur un forum

En regardant sur les forums spécialisés dans la vente de bases de données dérobées, on retrouve un utilisateur – TheFrenchGuy – qui propose ce qu’il présente comme des données de plus de 600 000 « personnes » de la Fédération Française de Tir à l’Arc. Le compte est nouveau (janvier 2025) et des exemples de données sont donnés dans la publication.

Mais surtout le pirate multiplie les annonces avec la vente des données de près d’une dizaine de fédérations sportives : Fédération Française de Boxe, Fédération Française du Sport Automobile, Fédération Française de Motocyclisme, Fédération Française de Roller & Skateboard, Fédération Sportive et Culturelle de France, Fédération Française de la Montagne et de l’Escalade et Fédération Française de Force. Il y a également des données de deux autres sites : profil-search.fr et Sport-Decouverte.com.

À chaque fois, des données de plusieurs centaines de milliers d’utilisateurs seraient dans la nature, mais impossible en l’état de vérifier le nombre de personnes concernées et la véracité des données. Nous avons contacté toutes les Fédérations concernées, sans aucune réponse pour le moment.

Roller et Skateboard : « plus de 570 000 comptes » touchés

Vendredi matin, aucune d’elle n’avait publié de communiqué comme l’a fait la Fédération Française de Tir à l’Arc, mais des retours sur les réseaux sociaux montrent que des emails ont été envoyés pour prévenir des utilisateurs.

Ce week-end, la Fédération Française de Roller et Skateboard nous a confirmé avoir « été victime d’une cyberattaque ciblant les données personnelles de ses licenciés, début janvier. Cette attaque a concerné plus de 570 000 comptes ». Ce décompte correspond à celui du pirate qui met en vente les données de 577 061 « personnes ».

Là encore, un prestataire est pointé du doigt. « Nous avons, le même jour, notifié cette attaque à la CNIL et déposé une plainte. Nos licenciés et affiliés ont été informés rapidement par courrier électronique ainsi que par une communication sur notre plateforme », nous affirme la Fédération Française de Roller et Skateboard.

Quel peut être ce prestataire ? Next enquête et le trouve

Quoi qu’il en soit, ces annonces vont dans le sens de l’explication de la Fédération Française de Tir à l’Arc sur une faille de sécurité chez un prestataire utilisé par plusieurs fédérations sportives. Le nom du prestataire n’est par contre jamais précisé.

Dans les pages de la quasi-totalité des fédérations de la liste de TheFrenchGuy, on retrouve la mention de la société Exalto. Il y a tout de même une exception notable : la Fédération Française de la Montagne et de l’Escalade.

Exalto se présente comme une société proposant « des solutions d’extranet pour les fédérations sportives », notamment avec son portail Extranet e-licence. « Aujourd’hui, 40 fédérations font confiance à Exalto dans la gestion de leurs licences ou de leurs évènements », affirme l’entreprise.

Nous avons évidemment contacté Exalto afin de savoir si l’entreprise avait un rapport avec ces fuites où si elle avait aussi été victime de cette cyberattaque. Jean-Carl Fossati, président de « E-Licence via Exalto » et vice-président délégué de Fédération Française de Lutte confirme notre intuition.

« L’attaque est survenue via des comptes utilisateurs actifs (Credential). Le service technique a rapidement répondu pour stopper l’attaque et ainsi préserver la grande majorité des clients d’Exalto (45 fédérations clientes) ». Il « s’agit de la première attaque réussie en plus de 20 ans », ajoute-t-il.

Le pirate nous explique ses attaques sur Exalto et la FFME

Nous avons également contacté TheFrenchGuy, qui confirme que les données récupérées (et mises en vente) viennent de chez Exalto, avec quelques différences dans le déroulement des faits : « Il y a eu une erreur de configuration de Exalto (e licence) coté backoffice sur une partie des fédérations (cela n'a pas marché sur toutes les fédérations). Cela a permis d'élever les privilèges d'un utilisateur pour obtenir les droits administrateur puis ensuite trouver des failles de sécurité qui ont permis un accès à la base de données etc ».

Avec sa double casquette, Jean-Carl Fossati, nous précise qu’il n’y a « pas de dommages à la Fédération Française de Lutte ». Il ajoute que la Fédération Française de la Montagne et de l’Escalade (alias FFME) « ne passe pas par E-licence ».

Nous avons posé la question de la provenance des données à TheFrenchGuy, qui nous donne sa version des faits : « Pour la FFME, c'est à peu près du même type qu'Exalto, mais il n'y a pas eu besoin de privilèges. Un utilisateur classique (licencié) pouvait uploader des fichiers de n'importe quel type sans un filtrage côté backoffice (restriction php et autres). Le serveur lisant le php, il avait juste besoin d'upload un fichier contenant un code – par exemple php – et il était automatiquement exécuté côté serveur ».