Fuite chez Fédération Française de Foot

Le 21 février 2025, la Fédération Française de Football (FFF) — l'instance dirigeante du football en France — a commencé à informer ses membres du vol de leurs données personnelles, après la détection le 17 février 2025 d'un accès non autorisé à son système d'information. L'intrusion visait le logiciel de gestion des données des licenciés et des personnels administratifs.

Selon la FFF et le média spécialisé ZATAZ, l'attaquant n'a pas exploité une faille logicielle mais utilisé un compte utilisateur compromis donnant accès à la plateforme de gestion des licenciés (une API détournée/mal configurée utilisée par de nombreuses fédérations). Au moins environ 43 000 utilisateurs ont été confirmés concernés, même si le pirate a publiquement affirmé détenir les données de jusqu'à 10 millions de personnes et cherché à les revendre. Un second jeu de données, issu de la plateforme des arbitres officiels.fff.fr, a ensuite été diffusé fin février.

Les catégories de données exposées comprenaient :

• Nom, prénom, genre
• Date et lieu de naissance, nationalité
• Adresse postale, adresse email, numéro de téléphone
• Photo et copie du justificatif d'identité

La FFF a précisé que les mots de passe, les coordonnées bancaires et les données de santé n'ont pas été compromis. En réponse, elle a immédiatement désactivé le compte concerné, sécurisé le logiciel et les données, déposé plainte et notifié les autorités compétentes. La fuite est considérée comme maîtrisée.