Previous Story
Nouvelle fuite de données à la Fédération Française de Football ?
Un pirate informatique met en vente la base de données de la Fédération Française de Football (FFF), exposant potentiellement des millions de données sensibles.
Pour la seconde fois en un an, la FFF est victime d’une fuite de données, compromettant la sécurité des informations de ses membres. Plus d’une dizaine de fédérations sportives françaises ont été visées par des cyber attaques ces dernières semaines. Prudence cependant, rien ne prouve pour le moment qu’il ait réellement volé l’intégralité de ce qu’il prétend.
Une nouvelle brèche dans la sécurité de la FFF
Un pirate informatique a récemment mis en vente ce qu’il prétend être la base de données complète de la Fédération Française de Football (FFF). Cette annonce fait suite à une précédente exfiltration survenue en mars 2024, il y a moins d’un an, orchestrée par un membre d’une bande qui était trés présente, dans le darkweb, ces derniers mois. Le cybercriminel décrit sa démarche en ces termes : « Je vends la base de données de FFF.FR. La Fédération Française de Football est l’organe directeur du football en France, responsable de l’organisation des compétitions, de la gestion des sélections nationales et du développement du football amateur et professionnel. La base de données contient 87 268 832 lignes. Il y a autant de lignes car elle est au format horizontal. […] Bref, c’est tout. Faites-moi une offre. » Détail étonnant, mais on mettra cela sur le dos du hasard, l’image utilisée par le pirate informatique de 2025 dans sa petite annonce est exactement la même que celle de mars 2024.
Les échantillons de données diffusés semblent authentiques. Cependant, les personnes contactées par ZATAZ dans le monde du football (des connaissances familiales et professionnelles : joueurs, dirigeants, Etc.) m’ont indiqué ne pas avoir été contactées par la FFF. Elles ne sont peut-être pas concernées par la fuite. Le site web et les réseaux sociaux de la Fédération n’affichaient aucune alerte au moment de la diffusion de cet article.
A noter que le service de veille Zataz a également confirmé qu’il s’agit de données distinctes (contenus différents) de celles divulguées lors de la précédente fuite. Il s’agit du même pirate ayant affiché une vente de ce qu’il annonce être la base de données de Chronopost. A noter que dans le cas de Chronopost, ZATAZ révélait en juillet 2024 la mise en vente de cette BDD avant qu’elle ne réapparaisse début 2025 dans le darkweb. Une étrange similitude avec les bad hackers, ces pirates informatiques qui ont fait trembler le web francophone, en 2024.
Une vulnérabilité exploitée via une API mal configurée
Le pirate explique avoir exploité une API mal configurée, une application qui est utilisée par de nombreuses fédérations, pour accéder à la base de données de la FFF. Cette interface, couramment utilisée pour tester et documenter des API, peut représenter une faille de sécurité majeure si elle n’est pas correctement sécurisée. Le pirate n’a eu qu’à scanner les sous-domaines de la FFF via des outils accessibles gratuitement et légalement sur la toile pour identifier des points d’accès vulnérables, facilitant ainsi l’extraction massive de données.
Cette nouvelle fuite de données soulève des inquiétudes quant à la protection des informations personnelles des membres et des supporters de la FFF. Les données compromises pourraient inclure des noms, adresses, numéros de téléphone, adresses électroniques et autres informations sensibles. Une telle exposition augmente le risque de fraudes, d’usurpation d’identité et de campagnes de phishing ciblées. C’est la seconde fuite de taille en moins d’un an. En 2017 déjà, un pirate commercialisait pour 350 euros une base de données de la FFF. Un an plus tard, juin 2018, le Protocole d’Alerte ZATAZ informait la fédération de la présence d’une vulnérabilité dans son espace billetterie. En 2023, je vous expliquais comment le Service Veille de ZATAZ avait découvert la fuite d’une base de données concernant des supporteurs français partis encouragés les « Bleus » durant la coupe du monde de 2018, en Russie.
Pour rester informé sur les enjeux de cybersécurité, inscrivez-vous à la newsletter de ZATAZ. Rejoignez également notre groupe WhatsApp et nos réseaux sociaux pour accéder à des informations exclusives, des alertes en temps réel et des conseils pratiques pour protéger vos données.
