Une nouvelle fuite de données touche l’écosystème numérique de la Fédération Française de Tennis (FFT). Le groupe de hackers LunarisSec affirme avoir récupéré des données provenant de Proshop FFT, la place de marché utilisée notamment par les clubs, comités et ligues pour acheter du matériel sportif.
Contactée par Cyberattaque.org, la Fédération Française de Tennis confirme l’incident et apporte plusieurs précisions importantes sur son origine et sur le volume des données concernées. Selon la FFT, l’attaquant a obtenu un accès non autorisé au compte d’un salarié d’un fournisseur utilisant le backoffice de Proshop, avant de pouvoir en extraire la liste de ses commandes.
Les quelque 200 000 lignes évoquées dans les fichiers ne correspondent donc pas à 200 000 clients ou utilisateurs, mais à des lignes d’articles présents dans les commandes : par exemple plusieurs équipements différents achetés par un même club peuvent générer plusieurs lignes distinctes.
Cyberattaque.org s’est procuré des échantillons et a pu vérifier la présence de données provenant de commandes passées sur Proshop FFT. Les fichiers consultés contiennent notamment des identités, noms de clubs ou de structures, adresses de livraison et de facturation, références de commandes, dates, montants et différents éléments permettant de retracer les achats effectués sur la marketplace.
Proshop met en relation les fournisseurs et l’écosystème de la FFT
Proshop permet de mettre en relation des fournisseurs de matériel avec des clients appartenant à l’écosystème de la Fédération Française de Tennis, notamment les clubs, ligues et comités.
Le fonctionnement repose sur un backoffice de marketplace SaaS permettant aux différents vendeurs de gérer leurs produits et les commandes qui leur sont adressées. La plateforme a succédé à l’ancienne « Centrale du club » et propose du matériel destiné notamment au tennis, au padel et au beach tennis.
Proshop est principalement destiné aux structures du tennis français. La documentation de la plateforme mentionne également son ouverture à d’autres catégories d’utilisateurs, notamment certaines collectivités, établissements scolaires, associations sportives, arbitres ou enseignants.
Le périmètre est donc différent de celui d’une boutique e-commerce grand public : derrière les commandes figurent principalement des structures sportives et les personnes chargées de passer ou de réceptionner leurs achats.
Un compte fournisseur compromis sur le backoffice
La Fédération Française de Tennis précise désormais le scénario à l’origine de la fuite. Selon les éléments qu’elle nous a transmis, l’un des salariés d’un fournisseur a subi un accès non autorisé à son compte sur le backoffice de Proshop.
L’assaillant aurait ensuite utilisé cet accès pour extraire la liste des commandes accessibles depuis ce compte. Le périmètre de l’incident serait donc lié aux données visibles par ce fournisseur, et non à une extraction générale de l’ensemble des utilisateurs de la plateforme.
À la suite de l’incident, la FFT indique avoir demandé à l’éditeur de la solution de revoir sa politique de sécurité, notamment en déployant une authentification multifacteur (MFA) afin de renforcer la protection des comptes utilisés sur le backoffice.
Ce que révèlent les fichiers obtenus
Les échantillons examinés par Cyberattaque.org comportent des informations détaillées relatives aux commandes. Selon les enregistrements et les champs renseignés, on peut notamment retrouver :
- nom et prénom du destinataire ;
- nom du club, de l’association ou de la structure concernée ;
- adresse de livraison ;
- adresse de facturation ;
- ville, code postal et pays lorsqu’ils sont renseignés ;
- numéro de téléphone dans certains enregistrements ;
- identifiants et références de commande ;
- date de la commande ;
- état de la commande ;
- articles commandés et quantités ;
- montants hors taxes et toutes taxes comprises ;
- frais liés à la commande et à la livraison.
Ces éléments permettent de confirmer qu’il ne s’agit pas simplement d’une liste de clubs récupérée depuis une source publique. Les fichiers contiennent des informations transactionnelles issues du fonctionnement de Proshop, avec des références de commandes, des articles achetés et des données de facturation ou de livraison.
Cyberattaque.org ne reproduira naturellement aucune donnée personnelle issue de ces fichiers.
Les 200 000 lignes ne correspondent pas à 200 000 victimes
La Fédération conteste en revanche l’interprétation initiale du volume des données. Les quelque 200 000 lignes retrouvées ne représenteraient pas autant de personnes ou de comptes Proshop, mais des lignes d’articles commandés.
Une seule commande peut ainsi produire plusieurs lignes. Si un club achète par exemple trois plots, cinq cerceaux et trois balles, plusieurs références distinctes apparaissent dans les données alors qu’elles sont rattachées à une seule et même commande et à une même structure.
Le chiffre d’environ 110 000 utilisateurs précédemment estimé ne peut donc pas être considéré comme confirmé. La FFT indique vérifier actuellement avec ses équipes le nombre réel de clients et de personnes concernés par l’extraction.
Cette précision est d’autant plus importante que la Fédération compte un peu plus de 7 000 clubs en France et que, selon la FFT, ils ne sont pas tous clients du fournisseur concerné par l’accès compromis.
Les échantillons obtenus par Cyberattaque.org permettent en revanche de confirmer la présence de données provenant de Proshop et la nature détaillée des informations exposées. Le nombre exact de personnes touchées reste donc à établir.
Une extraction datée du 23 août 2026 apparaît dans les fichiers
Un autre élément technique apparaît dans les données consultées. Plusieurs enregistrements comportent un champ d’extraction horodaté au 23 août 2026. Les commandes présentes dans ces mêmes échantillons peuvent être plus anciennes et certaines remontent notamment à 2025.
Cet horodatage est compatible avec une récupération récente des données, mais il ne permet pas à lui seul de déterminer la date exacte de l’accès non autorisé. Il peut correspondre au moment où les données ont été exportées ou traitées et non nécessairement au premier accès au compte concerné.
Aucun lien avec Ten’Up selon la FFT
La Fédération apporte également une précision importante concernant Ten’Up, son service destiné notamment aux licenciés et aux clubs : selon la FFT, l’incident Proshop n’a aucun lien avec Ten’Up.
Le scénario communiqué par la Fédération repose sur la compromission du compte d’un salarié d’un fournisseur dans le backoffice de Proshop. Il ne s’agit donc pas, selon les informations actuellement disponibles, d’une compromission des identifiants Ten’Up ou de l’infrastructure associée à ce service.
Dans les éléments vérifiés par Cyberattaque.org, nous n’avons par ailleurs pas observé de numéros complets de cartes bancaires ni de mots de passe.
Cette distinction ne supprime pas pour autant les risques liés à la fuite. L’association d’une identité, d’une structure, d’une adresse et d’informations précises sur des commandes peut fournir suffisamment de contexte pour préparer des tentatives de fraude ou d’hameçonnage particulièrement crédibles.
Une fuite qui touche l’écosystème des clubs de tennis
La portée de cette fuite doit être replacée dans la taille de la Fédération Française de Tennis. Au 31 août 2026, la FFT revendique 1 289 104 licenciés et 7 180 clubs affiliés ou structures habilitées.
Ces chiffres ne doivent surtout pas être confondus avec le nombre de victimes de l’incident Proshop : rien n’indique que les quelque 1,3 million de licenciés de la Fédération soient concernés. La FFT souligne également que tous les clubs ne sont pas clients du fournisseur dont le compte a été compromis.
Le périmètre réel dépend donc du nombre de commandes accessibles depuis ce compte et du nombre de personnes ou structures distinctes apparaissant dans ces données.
De fausses factures FFT particulièrement crédibles
Le risque le plus immédiat pour les personnes présentes dans les fichiers reste celui de l’hameçonnage ciblé. Contrairement à une base contenant uniquement une adresse électronique ou un numéro de téléphone, les informations transactionnelles fournissent aux attaquants de nombreux éléments permettant de rendre leurs scénarios crédibles.
Un cybercriminel connaissant le nom d’un club, son adresse, l’identité d’un responsable ainsi que le détail de certains achats peut par exemple se faire passer pour la FFT, le fournisseur concerné, la marketplace ou un transporteur.
Une fausse facture, une demande de régularisation, un problème de livraison ou un changement de coordonnées bancaires peuvent alors paraître beaucoup plus légitimes qu’un phishing envoyé au hasard.
La FFT avait déjà annoncé une cyberattaque en janvier 2026
Cette affaire intervient quelques mois après un autre incident de cybersécurité reconnu officiellement par la Fédération Française de Tennis.
Le 12 janvier 2026, la FFT avait annoncé avoir été victime d’un « acte de cyber-malveillance » ayant affecté une plateforme utilisée par les clubs. L’incident avait permis un accès non autorisé à certaines données de licenciés, parmi lesquelles pouvaient figurer nom, prénom, adresse électronique, adresse postale, numéro de téléphone et informations relatives à la licence.
La Fédération indiquait alors qu’aucune donnée bancaire ni aucun mot de passe n’étaient concernés. Elle avait annoncé avoir bloqué les accès concernés, lancé des investigations techniques, informé la CNIL et l’ANSSI et déposé plainte.
Aucun élément ne permet de relier cette cyberattaque de janvier à l’incident Proshop revendiqué par LunarisSec. Les deux événements doivent donc être considérés comme distincts.
Le périmètre exact de la fuite reste à préciser
La confirmation apportée par la FFT permet désormais de mieux comprendre le scénario de l’incident : un compte appartenant à un salarié d’un fournisseur a été utilisé sans autorisation afin d’extraire des données de commandes depuis le backoffice de Proshop.
La Fédération confirme également avoir demandé un renforcement de la sécurité de la solution, avec notamment le déploiement du MFA, et écarte tout lien avec Ten’Up.
Une inconnue demeure toutefois : le nombre exact de clients, de clubs et de personnes dont les informations figurent dans les données extraites. La FFT indique avoir demandé à ses équipes de vérifier ce périmètre. Cyberattaque.org mettra cet article à jour lorsque ces éléments auront été précisés.