La Fédération française de voile confirme le vol de plus de deux millions de fiches personnelles

Plus de deux millions de fiches individuelles, pour une fédération qui délivre environ 295 000 licences et titres cette année. Le chiffre annoncé le 23 octobre par la Fédération française de voile (FFVoile) dépasse de loin le nombre de ses pratiquants actuels. L'explication est simple : la fuite remonte loin dans l'historique, jusqu'aux anciens licenciés.

Selon la notification envoyée aux licenciés et reprise par Fuites Infos et Cyberattaque.org, un « accès frauduleux » aux bases fédérales a permis d'extraire ces fiches. La fédération a repéré l'incident le 19 octobre. L'attaquant a exploité une faille dans un outil interne servant à consulter et analyser ses données. La FFVoile ne précise pas combien de personnes distinctes sont concernées.

Qui est touché, et par quoi ?

La fuite concerne les licenciés et anciens licenciés, les titulaires de la licence club et du Passeport Voile, ainsi que certaines structures affiliées. Les données extraites, selon la fédération :

• nom, prénom, date de naissance et sexe ;
• adresse postale, adresse e-mail et numéro de téléphone ;
• l'historique des licences, des clubs fréquentés et de la pratique sportive ;
• les coordonnées bancaires (IBAN) de certains clubs, que la fédération dit contacter directement.

Selon la fédération, des informations sur l'aptitude médicale pourraient aussi figurer dans le lot : ce point reste à vérifier. En revanche, d'après l'enquête de la fédération, aucun certificat médical n'a été téléchargé, et ni les mots de passe ni les coordonnées bancaires personnelles des licenciés ne sont concernés.

Deuxième fuite de l'année pour la fédération

En février 2026, la FFVoile avait déjà signalé l'extraction des données de plusieurs centaines de milliers de licenciés, via un compte de club compromis. La fédération assure que l'incident d'octobre est sans lien. Elle dit avoir corrigé la faille le jour de sa découverte, restreint l'accès à l'outil et réduit les droits d'accès aux données. La CNIL et l'ANSSI ont été prévenues, et une plainte va être déposée. La nature technique de la faille et la durée pendant laquelle elle a pu être exploitée ne sont pas connues.

Les fédérations sportives sont décidément des cibles cette saison : la Fédération française de tir a confirmé le vol de 64 000 photos d'identité la même semaine.

Les bons réflexes pour les licenciés

Pas de mot de passe ni de carte bancaire dans cette fuite : le risque principal est l'arnaque ciblée, rendue crédible par le nom de votre club et votre historique de pratique.

• Méfiez-vous des e-mails, SMS ou appels qui se réclament de la FFVoile, de votre club ou d'une mutuelle. Passez par le site ou l'application officiels plutôt que par un lien reçu.
• Ne communiquez jamais un code reçu par SMS, un mot de passe ou des coordonnées bancaires à un interlocuteur qui vous contacte.
• Les trésoriers de clubs dont l'IBAN a fuité doivent surveiller les prélèvements : un prélèvement non autorisé peut être contesté pendant 13 mois.
• En cas de doute, le site cybermalveillance.gouv.fr propose une aide gratuite.

Une question reste ouverte : pourquoi un outil d'analyse donnait-il accès à des fiches d'anciens licenciés parfois partis depuis des années ? Le règlement européen sur les données personnelles (RGPD) impose de ne garder les données que le temps nécessaire. La CNIL, désormais notifiée, pourrait s'y intéresser.