La Fédération Française de Voile confirme une nouvelle fuite de données d’une ampleur considérable. Un incident identifié le 19 octobre 2026 a permis à un attaquant d’exploiter une vulnérabilité dans un outil informatique de la Fédération et d’extraire plus de deux millions de fiches individuelles.
La fuite concerne notamment des licenciés actuels et anciens, des titulaires de Passeport Voile ainsi que certaines structures affiliées. La FFVoile confirme l’exposition potentielle de données d’identité, de coordonnées et d’historiques de licences. Des IBAN appartenant à certains clubs figurent également dans le périmètre.
Une vulnérabilité dans un outil d’analyse des données
Contrairement à une simple compromission de compte, la Fédération indique que l’attaquant a cette fois exploité une vulnérabilité de sécurité affectant un outil utilisé pour consulter et analyser ses données.
La faille a été corrigée dès le 19 octobre, jour de la détection de l’incident. Les accès à l’outil ont également été fortement restreints et les autorisations permettant de consulter les données ont été réduites.
La FFVoile ne précise pas encore la nature technique exacte de cette vulnérabilité, ni depuis combien de temps elle pouvait être exploitée.
Noms, dates de naissance et historiques de licences concernés
Selon la confirmation officielle publiée par la FFVoile, les données extraites peuvent comprendre le nom, le prénom, la date de naissance, le sexe, l’adresse postale, l’adresse email et le numéro de téléphone.
Les attaquants ont également pu récupérer des informations relatives aux licences détenues, aux clubs fréquentés et à la pratique sportive.
La Fédération précise que certaines informations relatives à l’aptitude médicale peuvent apparaître dans les données extraites. En revanche, les investigations indiquent qu’aucun certificat médical ou autre document n’a été téléchargé.
Plus de deux millions de fiches pour environ 295 000 licences et titres en 2026
Le volume annoncé est particulièrement important. La FFVoile comptabilise actuellement environ 295 000 licences et titres délivrés en 2026, dont près de 80 000 licences Club et plus de 195 000 Passeports Voile.
Les deux millions de fiches ne correspondent donc pas à deux millions de pratiquants actuellement licenciés. La Fédération précise que l’incident touche également d’anciens licenciés, ce qui montre que l’extraction porte sur un historique accumulé sur plusieurs années.
Des IBAN de clubs figurent dans les données volées
La fuite concerne aussi certaines structures affiliées. La Fédération confirme que des coordonnées bancaires, notamment des IBAN appartenant à certains clubs, ont été extraites.
La FFVoile prévoit de contacter directement les clubs concernés. Ces informations peuvent notamment être exploitées dans des tentatives de fraude au changement de RIB ou dans de faux échanges comptables particulièrement crédibles.
Les données bancaires personnelles des licenciés et les numéros de cartes bancaires ne sont en revanche pas concernés, selon les investigations actuellement disponibles.
Les mots de passe n’ont pas été extraits
La Fédération indique également qu’aucun mot de passe de licencié n’a été récupéré. Elle ne recommande donc pas de changement systématique du mot de passe uniquement en raison de cet incident.
Le risque principal reste celui du phishing ciblé. Un attaquant connaissant le véritable nom d’un licencié, sa date de naissance, son club et son historique de pratique peut facilement fabriquer un message prétendant concerner le renouvellement d’une licence, une compétition, un paiement ou une démarche auprès de son club.
Une deuxième fuite distincte en moins d’un an
L’incident est d’autant plus notable qu’il intervient quelques mois seulement après une première fuite annoncée en février 2026.
À l’époque, plusieurs centaines de milliers de licenciés avaient été concernés après l’utilisation frauduleuse d’un compte club compromis. L’attaquant avait ensuite utilisé ce compte pour automatiser l’extraction de données depuis la plateforme de gestion des licences.
La FFVoile insiste sur le fait que l’incident d’octobre est totalement distinct : il ne repose pas sur le détournement d’un compte club mais sur l’exploitation d’une vulnérabilité dans un autre outil informatique.
CNIL et ANSSI informées
La Fédération a notifié la violation à la CNIL et à l’ANSSI. Un dépôt de plainte est également en cours auprès des autorités compétentes.
Des investigations complémentaires se poursuivent afin de préciser le périmètre exact de l’extraction et de renforcer durablement les accès aux bases fédérales.
Cette nouvelle fuite est nettement plus importante que celle reconnue en février : plus de deux millions de fiches individuelles ont cette fois été extraites. Reste désormais à déterminer sur combien d’années s’étend cet historique et combien de personnes uniques sont réellement présentes dans les données récupérées.