Une nouvelle fuite de données touche l’écosystème numérique de la Fédération Française de Tennis (FFT). Le groupe de hacker LunarisSec affirme avoir récupéré des données provenant de Proshop FFT, la place de marché officielle de la Fédération utilisée notamment par les clubs, comités, ligues et collectivités pour acheter du matériel sportif.
Selon nos informations, l’ensemble représenterait environ 210 000 lignes de données et concernerait près de 110 000 utilisateurs.
Cyberattaque.org s’est procuré des échantillons et a pu vérifier la présence de données provenant de commandes passées sur Proshop FFT. Les fichiers consultés contiennent notamment des identités, noms de clubs ou de structures, adresses de livraison et de facturation, références de commandes, dates, montants et différents éléments permettant de retracer les achats effectués sur la marketplace.
Proshop FFT, la marketplace officielle de la Fédération Française de Tennis
Proshop n’est pas une boutique indépendante utilisant simplement la marque FFT. Dans ses propres conditions générales, la Fédération Française de Tennis se présente comme l’opérateur qui édite et exploite la plateforme Proshop.
Lancée pour succéder à l’ancienne « Centrale du club », la marketplace permet de mettre directement en relation des vendeurs professionnels et les structures de l’écosystème du tennis français. On y trouve du matériel destiné au tennis, au padel et au beach tennis, avec plusieurs milliers de références proposées par différents marchands.
La plateforme est principalement destinée aux clubs, comités départementaux et ligues régionales de la FFT. Elle a ensuite été ouverte aux collectivités territoriales, établissements scolaires et associations sportives scolaires. La documentation destinée aux dirigeants indique également que, depuis septembre 2025, des arbitres et enseignants peuvent accéder à Proshop.
Le périmètre est donc très différent de celui d’une boutique e-commerce classique destinée au grand public : derrière de nombreuses commandes se trouvent des associations sportives, clubs, établissements scolaires, mairies ou autres collectivités, avec les coordonnées des personnes chargées de passer ou de réceptionner les commandes.
Ce que révèlent les fichiers obtenus
Les échantillons examinés par Cyberattaque.org comportent des objets de commande particulièrement détaillés. Selon les enregistrements et les champs renseignés, on peut notamment retrouver :
- nom et prénom du destinataire ;
- nom du club, de l’association ou de la structure concernée ;
- adresse de livraison ;
- adresse de facturation ;
- ville, code postal et pays lorsqu’ils sont renseignés ;
- numéro de téléphone dans certains enregistrements ;
- identifiant et référence de la commande ;
- date de la commande ;
- état de la commande, par exemple lorsqu’elle a été livrée ;
- montants hors taxes et toutes taxes comprises ;
- frais liés à la commande et à la livraison.
Ces éléments permettent de confirmer qu’il ne s’agit pas simplement d’une liste de noms ou de clubs récupérée depuis une source publique. Les fichiers contiennent des informations transactionnelles directement liées au fonctionnement interne de Proshop, avec des références de commandes et des données de facturation ou de livraison.
Cyberattaque.org ne reproduira naturellement aucune donnée personnelle issue de ces fichiers.
Près de 110 000 utilisateurs concernés par la fuite
Au total, les données récupérées représenteraient environ 210 000 lignes et concerneraient près de 110 000 utilisateurs de Proshop FFT. Ce volume donne une toute autre dimension à l’incident, la plateforme étant utilisée par de nombreuses structures du tennis français pour leurs achats de matériel.
Les données ne concernent pas uniquement des particuliers. Une partie importante des enregistrements est associée à des clubs de tennis, comités, ligues, associations, établissements scolaires ou collectivités, avec les coordonnées des personnes ayant passé ou réceptionné les commandes.
Les 210 000 lignes correspondent à différents enregistrements présents dans les données récupérées et ne doivent donc pas être assimilées à autant de personnes différentes. Le nombre d’utilisateurs concernés serait, selon les informations dont nous disposons, d’environ 110 000.
Les échantillons obtenus par Cyberattaque.org permettent de confirmer la présence de données provenant directement de Proshop FFT et la nature détaillée des informations exposées. Nous ne sommes toutefois pas en mesure, à ce stade, de vérifier individuellement l’intégralité des quelque 110 000 utilisateurs annoncés.
Une extraction datée du 23 août 2026 apparaît dans les fichiers
Un autre élément technique attire l’attention. Plusieurs enregistrements analysés contiennent un champ d’extraction horodaté au 23 août 2026. Les commandes présentes dans ces mêmes échantillons peuvent être plus anciennes et certaines remontent notamment à 2025.
Cet horodatage est compatible avec une récupération récente des données, mais il ne permet pas à lui seul de déterminer la date exacte de l’intrusion. Il peut correspondre au moment où les données ont été exportées ou traitées par l’attaquant et non nécessairement au premier accès à la plateforme.
Aucun numéro de carte bancaire ou mot de passe observé
Dans les éléments vérifiés par Cyberattaque.org, nous n’avons pas observé de numéros complets de cartes bancaires ni de mots de passe. Nous n’avons donc aucun élément permettant d’affirmer à ce stade que des moyens de paiement ou des identifiants de connexion Ten’Up ont été compromis.
Cette distinction est importante : une fuite de commandes peut être sérieuse même en l’absence de données bancaires. L’association d’une identité, d’un club, d’une adresse et d’un historique d’achat suffit à fournir un contexte particulièrement efficace pour préparer des fraudes ciblées.
Proshop est connecté à l’écosystème Ten’Up
Proshop n’est pas totalement isolé des autres services numériques de la FFT. Les clubs utilisent notamment leurs identifiants Ten’Up pour se connecter à la marketplace.
Un cas client publié publiquement par l’éditeur Origami Marketplace présente Proshop FFT comme une marketplace B2B intégrant notamment un SSO via Ten’Up, une gestion multi-comptes pour les clubs, des workflows de devis et plusieurs modes de paiement adaptés aux structures sportives et collectivités.
Rien ne permet toutefois d’affirmer que Ten’Up, Origami Marketplace ou un autre prestataire constitue le point d’entrée de l’attaque. La présence de ces technologies dans l’architecture publique de Proshop ne permet pas d’établir l’origine de la fuite. Le vecteur d’intrusion utilisé par LunarisSec reste inconnu.
Une fuite qui touche un écosystème de plusieurs milliers de clubs
La portée potentielle de cette fuite doit également être replacée dans la taille de la Fédération Française de Tennis. Au 31 août 2026, la FFT revendique 1 289 104 licenciés et 7 180 clubs affiliés ou structures habilitées.
Ces chiffres ne doivent surtout pas être confondus avec le nombre de victimes de l’incident Proshop : rien n’indique que les quelque 1,3 million de licenciés de la Fédération soient concernés. Proshop vise un public beaucoup plus spécifique et les données examinées concernent essentiellement des commandes et les personnes ou structures qui y sont associées.
Ils illustrent en revanche la place centrale occupée par les outils numériques de la FFT dans le fonctionnement quotidien de milliers de clubs français.
De fausses factures FFT particulièrement crédibles
Le risque le plus immédiat pour les personnes présentes dans les fichiers est celui de l’hameçonnage ciblé. Contrairement à une base contenant uniquement une adresse électronique ou un numéro de téléphone, les informations transactionnelles donnent aux attaquants de nombreux éléments permettant de rendre leur scénario crédible.
Un cybercriminel connaissant le nom d’un club, son adresse, l’identité d’un responsable et le fait qu’il commande du matériel sur Proshop peut par exemple se faire passer pour la FFT, un vendeur de la marketplace ou un transporteur.
Une fausse facture, une demande de régularisation, un problème de livraison, un changement de coordonnées bancaires ou une prétendue commande en attente peuvent alors paraître beaucoup plus légitimes qu’un phishing envoyé au hasard.
Le contexte des collectivités ajoute également un enjeu particulier : certaines commandes peuvent être liées à des mairies, établissements scolaires ou associations sportives qui utilisent des processus administratifs spécifiques. Une connaissance préalable de la structure et de ses habitudes d’achat augmente considérablement la crédibilité d’une tentative de fraude.
La FFT avait déjà annoncé une cyberattaque en janvier 2026
Cette nouvelle affaire intervient seulement quelques mois après un autre incident de cybersécurité reconnu officiellement par la Fédération Française de Tennis.
Le 12 janvier 2026, la FFT avait annoncé avoir été victime d’un « acte de cyber-malveillance » ayant affecté une plateforme utilisée par les clubs. L’incident avait permis un accès non autorisé à certaines données de licenciés, parmi lesquelles pouvaient figurer nom, prénom, adresse électronique, adresse postale, numéro de téléphone et informations relatives à la licence.
La Fédération indiquait alors qu’aucune donnée bancaire ni aucun mot de passe n’étaient concernés. Elle avait annoncé avoir bloqué les accès concernés, lancé des investigations techniques, informé la CNIL et l’ANSSI et déposé plainte.
Aucun élément ne permet actuellement de relier cette cyberattaque de janvier à la fuite Proshop revendiquée par LunarisSec. Les deux incidents doivent donc être considérés comme distincts tant qu’aucun élément technique ne démontre le contraire.
Les obligations prévues en cas de violation de données personnelles
La politique de confidentialité de Proshop indique que la FFT traite des données personnelles dans le cadre de la gestion des comptes, des commandes, de la facturation et du service client. Les marchands de la marketplace peuvent également recevoir les données nécessaires aux commandes qui les concernent.
Dans le cadre du RGPD, une violation susceptible de présenter un risque pour les droits et libertés des personnes doit être notifiée à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures suivant le moment où le responsable en a connaissance. Lorsque le risque est considéré comme élevé, les personnes concernées doivent également être informées, sauf exceptions prévues par le règlement.
Il appartiendra donc aux acteurs concernés d’établir précisément le périmètre de l’incident, le nombre réel de personnes touchées, les catégories de données exposées et les mesures nécessaires pour limiter les conséquences.