En bref
- Ce qui s'est passé. Le 23 octobre 2026, la FFVoile a annoncé avoir identifié le 19 octobre un accès frauduleux à ses bases fédérales. L'attaquant a exploité une faille d'un outil de consultation et d'analyse de données et a extrait plus de deux millions de fiches individuelles. La faille a été corrigée le jour même. Source : communiqué de la FFVoile.
- Qui est concerné. Les titulaires actuels ou anciens d'une Licence Club ou d'un Passeport Voile, ainsi que des clubs et structures affiliées. Pour certains clubs, des IBAN figurent parmi les données extraites ; la fédération contacte directement les clubs concernés. Il s'agit d'un incident distinct de celui de février 2026.
- Que faire :
- méfiez-vous des e-mails, SMS et appels qui citent cet incident ou se présentent au nom de la fédération, d'un club ou d'un partenaire, surtout s'ils réclament un paiement, un code ou des coordonnées bancaires ;
- en cas de doute, ne cliquez pas : contactez la fédération ou votre club par son site ou son numéro officiel ;
- pour les clubs dont l'IBAN est concerné : prévenez votre banque, surveillez les prélèvements et méfiez-vous de toute demande de changement de coordonnées bancaires d'un fournisseur ou d'un partenaire ;
- surveillez vos comptes et relevés dans les semaines qui viennent ; en cas d'escroquerie, appuyez-vous sur cybermalveillance.gouv.fr.
Détail technique
Données concernées
Selon la FFVoile : identité (nom, prénom, date de naissance, sexe), coordonnées (adresse postale, adresse électronique, téléphone), informations relatives aux licences, aux clubs et à la pratique sportive, et IBAN de certains clubs. Certaines informations relatives à l'aptitude médicale peuvent figurer parmi les données, mais aucun document, notamment aucun certificat médical, n'a été téléchargé. La fédération indique qu'aucun mot de passe de licencié ni aucune donnée bancaire personnelle exploitable, comme un numéro de carte, n'a été extrait.
Périmètre
Plus de deux millions de fiches individuelles, couvrant licenciés et anciens licenciés ainsi que des structures affiliées. L'incident provient d'une vulnérabilité d'un outil utilisé pour consulter et analyser les données, différent de l'outil en cause lors de l'incident de février 2026, qui reposait sur un compte club compromis.
Mesures annoncées par l'organisation
Correction de la vulnérabilité le 19 octobre, forte restriction des accès à l'outil concerné et réduction des autorisations d'accès aux données. Notification à la CNIL et à l'ANSSI, plainte en cours. La fédération indique qu'il n'est pas nécessaire de changer son mot de passe en raison de cet incident, sauf activité suspecte sur son compte.
Ce qu'une équipe IT peut vérifier
- pour les dirigeants de club : relayez uniquement les informations publiées par la fédération et rappelez à vos adhérents qu'aucune démarche n'est nécessaire pour continuer à pratiquer ;
- vérifiez les procédures de paiement du club : toute demande de modification de RIB doit être confirmée par un appel à un numéro connu ;
- pour toute structure qui utilise un outil de tableaux de bord ou d'analyse branché sur ses bases : tenez-le à jour, ne l'exposez pas sur Internet sans nécessité et limitez les comptes ayant accès aux données personnelles.