Swiss Basketball, la Fédération suisse de basketball, est visée par une importante fuite de données révélée ce vendredi 30 octobre 2026. Un hacker utilisant le pseudonyme Venus1337 affirme avoir accédé à un extranet de la fédération et récupéré des informations concernant plus de 52 000 licences. Cyberattaque.org a analysé les fichiers diffusés et identifié des données particulièrement sensibles, notamment des noms, adresses, dates de naissance, coordonnées personnelles et numéros AVS suisses.
Plus préoccupant encore, plus de 21 000 numéros de licence distincts correspondent à des personnes mineures, selon les dates de naissance présentes dans les fichiers. La fuite comprend également des informations relatives aux entraîneurs, aux arbitres et à la facturation des licences.
Fondée en 1929 et basée à Fribourg, Swiss Basketball est la fédération nationale chargée d’organiser et de développer la pratique du basketball en Suisse. Affiliée à la FIBA et à Swiss Olympic, elle supervise les compétitions nationales, les équipes suisses et le système de licences. Elle revendique près de 24 000 licenciés répartis dans environ 200 clubs.
Un hacker affirme avoir accédé à l’extranet de Swiss Basketball
Le 30 octobre 2026, à 13 h 05, le hacker Venus1337 annonce avoir compromis un extranet associé à Swiss Basketball. Il affirme avoir utilisé cet accès pour exporter les informations disponibles et publie une archive contenant plusieurs fichiers de données.
Cyberattaque.org s’est procuré et a analysé l’archive diffusée. Celle-ci contient quatre ensembles distincts :
- 52 344 fiches de licence dans un fichier consacré aux licenciés ;
- 5 696 fiches d’entraîneurs, comprenant des informations personnelles et de formation ;
- 1 523 enregistrements d’arbitres et d’officiels ;
- Plus de 35 000 enregistrements comptables concernant notamment les cotisations et les frais de licence.
Le dernier fichier présente une erreur de lecture en fin d’archive. Notre analyse a néanmoins permis d’en récupérer 35 462 enregistrements complets.
Ces quatre ensembles ne doivent pas être additionnés pour déterminer le nombre de victimes. De nombreuses personnes apparaissent dans plusieurs fichiers, notamment lorsqu’un licencié exerce également une fonction d’entraîneur ou d’arbitre.
52 344 fiches, mais 34 303 numéros de licence distincts
Le principal fichier contient des données relatives aux saisons sportives 2025-2026 et 2026-2027.
Notre analyse révèle précisément 26 383 enregistrements pour la saison 2025-2026 et 25 961 pour la saison 2026-2027.
Après rapprochement des numéros de licence, Cyberattaque.org a identifié 34 303 identifiants distincts. Au total, 17 455 numéros de licence apparaissent sur les deux saisons.
Cette distinction est essentielle : les 52 344 lignes annoncées ne correspondent pas à 52 344 personnes différentes. Une partie des données concerne les mêmes sportifs enregistrés sur deux saisons successives.
Le fichier couvre de nombreuses catégories, du minibasket aux seniors, ainsi que des personnes exerçant des fonctions officielles. Des références à 228 clubs différents ont été identifiées dans les informations de rattachement.
Plus de 21 000 jeunes licenciés identifiables dans les fichiers
La présence massive de données relatives à des enfants et adolescents constitue l’un des éléments les plus préoccupants de cette affaire.
Cyberattaque.org a examiné les dates de naissance des licenciés et identifié 32 440 enregistrements correspondant à des personnes âgées de moins de 18 ans au 30 octobre 2026.
Après dédoublonnage par numéro de licence, cela représente 21 072 identifiants distincts associés à des mineurs.
Les données concernent notamment des jeunes évoluant dans les catégories U6, U8, U10, U12, U14, U16 et U18.
Les informations disponibles permettent d’associer les jeunes sportifs à leur identité civile, leur date de naissance, leur adresse et leur club. Les coordonnées personnelles peuvent également être présentes.
Une telle concentration d’informations sur des mineurs présente un risque particulier, notamment en cas d’utilisation des données pour des tentatives d’usurpation d’identité ou des sollicitations frauduleuses ciblant les familles.
Adresses, emails, téléphones et numéros AVS dans la fuite
Le fichier principal contient de nombreuses informations directement identifiantes. Cyberattaque.org a notamment relevé :
- 52 344 noms et prénoms renseignés dans les fiches de licence ;
- 52 343 dates de naissance exploitables ;
- 52 186 adresses postales ;
- 51 315 adresses email ;
- 8 392 numéros de téléphone mobile ;
- 5 432 numéros de téléphone privé ;
- Des informations sur le sexe, la nationalité, la langue et le club d’appartenance ;
- Des numéros de licence, catégories sportives et statuts administratifs.
La présence de numéros AVS suisses constitue une autre découverte particulièrement sensible. Ces identifiants personnels sont utilisés dans le système suisse d’assurances sociales.
Dans le fichier principal, 6 519 enregistrements disposent d’un champ AVS renseigné. Parmi eux, 5 412 valeurs présentent un format de 13 chiffres. L’analyse croisée des fichiers de licenciés, d’entraîneurs et d’arbitres fait apparaître près de 3 900 valeurs distinctes à 13 chiffres, dont la très grande majorité commence par le préfixe suisse 756.
Ces valeurs n’ont pas fait l’objet d’une vérification individuelle auprès d’un registre officiel. Leur présence dans des fichiers associant identité, adresse et date de naissance représente néanmoins un enjeu important de protection des données personnelles.
Des dossiers d’entraîneurs et d’arbitres également diffusés
La fuite ne concerne pas uniquement les joueurs. Un second fichier contient 5 696 fiches d’entraîneurs, avec leurs coordonnées personnelles et leur parcours de formation.
Les informations comprennent notamment les noms, prénoms, dates de naissance, adresses, numéros de téléphone, adresses email et éventuels numéros AVS.
Le fichier comporte également des indications détaillées sur les niveaux de formation, les qualifications obtenues, les cours suivis et les durées de validité des certifications.
Un troisième ensemble contient 1 523 enregistrements d’arbitres et d’officiels, avec leurs coordonnées, leur club, leur catégorie, leur statut et les dates d’obtention de certaines qualifications.
Ces fichiers comprennent également des informations relatives aux suspensions et à la validité administrative de certaines licences.
Des informations sur les cotisations et les frais de licence
Le quatrième fichier correspond à un export comptable lié aux licences sportives.
Cyberattaque.org a pu examiner 35 462 enregistrements complets contenant notamment des informations d’identification, des coordonnées et différentes rubriques financières.
Les colonnes concernent notamment les montants de base des licences, les taxes d’assurance, les frais d’arbitrage, les frais de transfert, les éventuels duplicatas et les montants réglés.
Ces informations pourraient permettre de reconstituer une partie de l’historique administratif et financier des licences. Aucun numéro de carte bancaire ni IBAN n’a été identifié dans les colonnes examinées.
Une extraction potentiellement liée au système de gestion des licences
La structure des fichiers est cohérente avec un export provenant d’un outil de gestion sportive : chaque ensemble contient de nombreuses colonnes administratives, des numéros de licence et des références permettant de rapprocher les données.
Swiss Basketball utilise notamment Basketplan pour gérer les licences et certaines démarches administratives des clubs. Les demandes de licences peuvent être effectuées par les organisations autorisées à accéder au système.
Le hacker Venus1337 affirme avoir utilisé un accès à un extranet pour procéder à l’exportation. Les fichiers examinés ne permettent toutefois pas d’identifier avec certitude l’application compromise ni la manière dont cet accès a été obtenu.
Un compte disposant de droits d’exportation étendus pourrait théoriquement permettre de récupérer ce type d’informations sans nécessiter un accès direct aux serveurs de la fédération. Une vulnérabilité dans le contrôle des autorisations pourrait également faciliter une extraction dépassant le périmètre normalement accessible à un utilisateur.
Il s’agit de scénarios possibles, et non d’une méthode d’intrusion démontrée dans cette affaire.
Des risques de fraude ciblant les clubs et les familles
La divulgation de données sportives aussi détaillées pourrait faciliter des campagnes d’hameçonnage particulièrement crédibles.
Des cybercriminels pourraient notamment se faire passer pour Swiss Basketball, une association régionale ou un club afin de réclamer un paiement de licence, des frais de transfert ou une mise à jour administrative.
La présence des noms, clubs, dates de naissance et catégories sportives permettrait de personnaliser les messages, notamment lorsqu’ils s’adressent aux parents de jeunes licenciés.
Les numéros AVS exposés peuvent également faciliter certaines tentatives d’usurpation d’identité lorsqu’ils sont associés à d’autres informations personnelles.
La base contient ainsi suffisamment d’éléments pour préparer des fraudes ciblées sans qu’il soit nécessaire de disposer des mots de passe des sportifs.
Swiss Basketball n’a pas encore confirmé la cyberattaque
Au 30 octobre 2026, Cyberattaque.org n’a pas identifié de communication officielle de Swiss Basketball confirmant l’intrusion revendiquée par Venus1337.
Les investigations réalisées sur l’archive permettent cependant de confirmer la présence de données structurées relatives à des milliers de licences sportives, d’entraîneurs, d’arbitres et d’opérations comptables.
L’élément le plus préoccupant reste la présence de données concernant plus de 21 000 identifiants de licenciés mineurs, associées à des adresses et coordonnées personnelles, ainsi que de milliers de numéros AVS.
Cette fuite potentielle dépasse donc largement la divulgation de simples résultats sportifs. Elle concerne des informations administratives sensibles sur des membres de la communauté du basketball suisse, dont de nombreux enfants et adolescents.