La Fédération française de tir (FFTir) fait l’objet d’une revendication préoccupante. Le hacker Vagrantly affirme vendre un accès à un environnement lié à la fédération permettant potentiellement d’atteindre les données de jusqu’à 300 000 personnes.
Contrairement à une fuite classique, l’attaquant ne propose pas actuellement une base complète à télécharger : il commercialise un accès nécessitant, selon lui, de solides compétences techniques pour être exploité. Des échantillons montrent néanmoins que des données de licenciés sont déjà accessibles.
La Fédération française de tir et ses licenciés concernés
La FFTir encadre la pratique sportive du tir en France et fédère un important réseau de clubs. Son système d’information contient notamment les informations nécessaires à la gestion des licences, des adhérents et des compétitions.
Numéros de licence, identités et dates de naissance accessibles
Cyberattaque.org s’est procuré les échantillons diffusés avec la revendication. Ils montrent notamment les catégories de données suivantes :
- numéro de licence ;
- nom et prénom ;
- adresse e-mail et date de naissance ;
- sexe et nationalité ;
- identifiant du club de rattachement ;
- statut actif et date de validité de la licence ;
- champ indiquant éventuellement une situation de handicap ;
- données liées aux compétitions et associations sportives ;
- selon l’attaquant, certaines factures et autres documents.
Les exemples comportent également des licenciés mineurs. Cyberattaque.org ne reproduit volontairement aucune identité, adresse e-mail, date de naissance ou numéro de licence provenant de ces données.
Une faille IDOR partielle évoquée par le hacker
Vagrantly indique avoir identifié une faille de type IDOR partielle. Ce type de défaut de contrôle d’accès peut permettre de consulter des ressources appartenant à d’autres utilisateurs en manipulant certains identifiants, lorsque le serveur ne vérifie pas correctement les autorisations.
L’attaquant classe toutefois l’exploitation comme difficile et précise lui-même ne pas connaître l’existence éventuelle d’une injection SQL ou d’autres vulnérabilités. Le chemin permettant d’atteindre l’ensemble des données n’est donc pas documenté publiquement.
300 000 personnes annoncées comme potentiellement accessibles
Le chiffre de 300 000 personnes correspond au potentiel annoncé par le hacker si l’accès est pleinement exploité. Il ne s’agit pas d’un nombre de données déjà publiées ni de personnes dont les informations auraient nécessairement été exfiltrées.
Les échantillons permettent en revanche de constater qu’un accès à des fiches individuelles de licenciés existe bien dans les éléments présentés, avec des données récentes relatives à leur licence et à leur club.
Une exposition particulièrement sensible pour les licenciés
Le croisement entre identité, date de naissance, coordonnées, numéro de licence et club de tir fréquenté peut faciliter des campagnes de phishing extrêmement ciblées ou des tentatives d’usurpation.
La présence de mineurs et d’informations permettant d’identifier précisément le club fréquenté augmente également la sensibilité de cette exposition.
Un accès désormais proposé à d’autres cybercriminels
Le principal risque immédiat vient du fait que Vagrantly cherche désormais à vendre son accès. Un acheteur disposant des compétences nécessaires pourrait tenter d’élargir le périmètre compromis et d’extraire davantage de données.
À ce stade, la FFTir n’a pas confirmé publiquement cette revendication. L’origine exacte de l’accès, son périmètre réel et le nombre de licenciés effectivement consultables ou exfiltrés restent donc à déterminer.
Cette nouvelle revendication intervient moins d’un an après une première intrusion officiellement reconnue par la FFTir. Entre le 18 et le 20 octobre 2025, son système ITAC avait été compromis, conduisant la fédération à déconnecter ITAC et EDEN, prévenir l’ANSSI et la CNIL et imposer une réinitialisation des mots de passe. La FFTir avait alors indiqué que les numéros de licence, états civils, adresses postales, e-mails et téléphones étaient susceptibles d’avoir été exposés, tout en excluant les données bancaires, médicales et relatives à la détention d’armes. Rien ne permet à ce stade d’établir un lien technique entre cet incident de 2025 et l’accès aujourd’hui revendiqué par Vagrantly.