Odile KaramazovLe 17 octobre 2026, un vendeur du forum cybercriminel ChimeraZ a mis en vente une base présentée comme issue de la Fédération française de tir (FFTir) : 40 Go de données qui concerneraient 586 854 personnes, selon Fuites Infos et ZATAZ. À la date du 18 octobre, la fédération n'avait pas confirmé la fuite, et le volume annoncé n'est pas vérifié.
Que sait-on vraiment de cette fuite présumée ?
Selon Fuites Infos, le fichier contiendrait 988 569 lignes. Ce chiffre dépasse le nombre actuel de licenciés, ce qui laisse penser à un cumul de plusieurs collectes. ZATAZ, de son côté, relève qu'il est impossible de dire si ces données sont nouvelles ou si elles sont une revente d'anciens jeux de données.
Les données revendiquées sont sensibles : nom, adresse postale, numéro de licence, club, catégorie, e-mail et téléphone. Le vendeur évoque aussi environ 64 000 photos d'identité et 19 000 certificats médicaux ou badges de licence. Dans l'échantillon de 300 lignes analysé par Fuites Infos, 25 personnes sont mineures.
Ce n'est pas la première alerte. En octobre 2025, la FFTir avait annoncé une intrusion dans son outil de gestion des licences, en précisant que les données médicales n'étaient pas concernées. Le 30 août 2026, une autre annonce proposait déjà un accès aux données de licenciés. Aucune des deux sources consultées ne mentionne une notification à la CNIL.
Quelle question se posent les licenciés : « Que risque-t-on, concrètement ? »
Le risque le plus immédiat est l'hameçonnage ciblé. Un escroc qui connaît votre club, votre numéro de licence et votre adresse peut rédiger un message crédible, par exemple un faux « renouvellement de licence 2026-2027 » à régler en urgence.
Deuxième risque, propre à ce public : l'adresse d'un détenteur d'armes est une information de sécurité. ZATAZ rappelle que le vendeur lui-même a évoqué ce danger, car ces adresses pourraient aider des cambrioleurs à repérer des domiciles où sont conservées des armes. Les certificats médicaux, enfin, relèvent des données de santé, une catégorie que le RGPD protège plus fortement.
Sur le plan humain, l'inquiétude est légitime. Le conseil de base reste de ne cliquer sur aucun lien reçu par SMS ou e-mail se réclamant du club ou de la fédération, et de passer par l'espace licencié ouvert manuellement dans le navigateur.
Ce que dit le droit : les obligations de la fédération
Selon le RGPD, le responsable de traitement doit notifier une violation de données à la CNIL dans les 72 heures après en avoir pris connaissance, sauf si elle n'engendre aucun risque pour les personnes (article 33). Lorsque le risque est élevé, il doit aussi informer directement les personnes concernées, dans les meilleurs délais (article 34).
Deux éléments rendent ce critère de « risque élevé » facilement plausible ici : la présence éventuelle de données de santé et l'exposition de mineurs. Une fédération qui constaterait une fuite de ce type ne peut donc pas se contenter d'un message général sur son site.
Les licenciés disposent de plusieurs leviers. Ils peuvent demander à la fédération, au titre du droit d'accès, quelles données la concernant ont été touchées. Ils peuvent saisir la CNIL par une plainte en ligne. Enfin, l'article 82 du RGPD ouvre un droit à réparation pour toute personne ayant subi un dommage matériel ou moral du fait d'une violation. Un préjudice moral, comme l'inquiétude liée à l'exposition de son adresse, doit toutefois être démontré.
Pour mieux comprendre comment des données sportives deviennent un risque de sécurité, notre analyse de l'affaire Strava et du porte-avions Charles de Gaulle montre le même mécanisme à l'œuvre.
Il faut aussi garder en tête la durée du risque. Une adresse, une date de naissance ou un numéro de licence ne changent pas d'un mois à l'autre : ces données peuvent être réutilisées pendant des années, y compris après un changement de mot de passe. C'est pourquoi la vigilance doit rester active bien après la fin de l'actualité, et pourquoi les démarches de réclamation gagnent à être documentées dès aujourd'hui, avec dates, captures d'écran et copies des messages reçus.
Un cas concret : Marc, tireur sportif à Annecy
Prenons Marc, 47 ans, licencié depuis dix ans dans un club d'Annecy et détenteur de quatre armes déclarées. Le 20 octobre 2026, il reçoit un SMS affirmant que sa licence « sera bloquée sous 48 heures » s'il ne règle pas 39 € de frais de régularisation. Le message cite correctement son club et son numéro de licence.
Si Marc ne clique pas, il ne perd rien, mais il doit se poser une question : comment l'expéditeur connaît-il ces informations ? Il peut alors vérifier son espace licencié, signaler le SMS au 33700 et conserver une capture d'écran.
Si Marc a payé par carte, la démarche est différente. Il doit faire opposition sans attendre, puis contester l'opération auprès de sa banque. Le Code monétaire et financier prévoit un délai de 13 mois pour contester une opération non autorisée, mais plus la contestation est rapide, plus elle est simple à instruire. Il pourra ensuite déposer plainte et joindre cette pièce à une éventuelle réclamation à la CNIL.
Si, en plus, son adresse figure dans la base, Marc a intérêt à vérifier la sécurité de son domicile et le respect de ses obligations de conservation : coffre conforme, munitions séparées, aucune arme visible. Dans ce scénario, un avocat spécialisé peut évaluer si un recours contre la fédération est fondé, et un spécialiste en cybersécurité peut sécuriser ses comptes. Marc cumule alors deux besoins, juridique et informatique, qui se règlent plus vite avec des professionnels.
Les gestes à adopter dès maintenant
Voici les mesures utiles pour un licencié, quel que soit le degré de certitude sur la fuite :
- Changer le mot de passe de l'espace licencié et de tout compte utilisant le même mot de passe.
- Activer la double authentification sur la messagerie principale.
- Surveiller ses relevés bancaires pendant plusieurs mois.
- Se méfier de tout appel ou message qui évoque une « mise en conformité » ou un « contrôle » lié à la détention d'armes.
- Conserver toute communication de la fédération ou du club sur le sujet, elle pourra servir de preuve.
Pour les clubs, la responsabilité est partagée : les présidents et les coordonnées des clubs figurent eux aussi dans les données revendiquées. Un club doit donc prévenir ses adhérents sans attendre, même si la fédération n'a pas encore communiqué.
Cette affaire s'inscrit dans une série d'incidents touchant des plateformes très diverses. Notre décryptage des droits des clients dans l'affaire Ticketmaster détaille d'ailleurs la marche à suivre pour exercer ces droits.
Quand consulter un expert ?
Consultez un avocat si vous êtes mineur concerné (via vos parents), si un préjudice financier est avéré, ou si vous souhaitez engager la responsabilité de la fédération. Contactez un spécialiste informatique si vous avez cliqué sur un lien suspect, si vous réutilisez vos mots de passe, ou si vous gérez les données d'un club.
Cet article est une information générale et ne remplace pas un conseil juridique personnalisé. Les éléments sur la fuite reposent sur des déclarations de vendeurs, non confirmées par la FFTir à la date du 18 octobre 2026.
Sur Expert Zoom, vous pouvez poser votre situation à un avocat en droit du numérique ou à un expert en cybersécurité, et obtenir un avis adapté avant d'agir.
