Conformément à nos obligations légales et par souci de transparence, nous souhaitons vous informer d’un incident de sécurité qui a récemment affecté deux de nos services.
La semaine du 12 octobre 2026, la Fédération Française de Tir a subi une nouvelle attaque préparée. L’attaquant s’est connecté à l’espace licencié EDEN avec des comptes de licenciés dont il avait obtenu ou deviné les identifiants. Il est ensuite parvenu à consulter les données d’autres licenciés. En parallèle, il a interrogé en masse la fonction de vérification des licences du site Cibles Couleurs. Son adresse a été bloquée dès le soir du 12 octobre et notre hébergeur nous a alertés le lendemain matin. La fonction de Cibles Couleurs a été fermée et corrigée le 15 octobre, et les documents déposés dans EDEN ne sont plus accessibles depuis le 16.
Nous avons également prévenu l’ensemble des autorités compétentes, notamment l’ANSSI et la CNIL, et avons déposé plainte.
Ce qui a été récupéré dépend de chacun. Pour la plupart des licenciés, actuels et anciens, il s’agit du nom, du prénom, du club, de la catégorie d’âge et, le cas échéant, du grade Cibles Couleurs avec sa date de validation et de la mention d’une pratique handisport. L’attaquant a aussi récupéré environ 64 000 photos d’identité et près de 19 000 documents déposés par des licenciés dans leur espace, dont des certificats d’aptitude à la pratique le tir sportif.
Pour 55 licenciés, c’est le dossier complet qui a été copié, et nous les contactons individuellement. Aucune information sur la possession d’armes n’a été touchée : la Fédération ne détient pas ces informations. Vos mots de passe ne sont pas concernés. Nous rappelons également qu’il n’y a aucune donnée bancaire dans les outils
Nous comprenons l’inquiétude que cette situation peut générer et nous vous présentons nos sincères excuses pour les désagréments causés.
Soyez assurés que la sécurisation optimale de vos données est une priorité pour la Fédération Française de Tir.
Quelles données sont concernées ?
Nos investigations ont permis de lister les données concernées par l’incident.
il s’agit du nom, du prénom, du club, de la catégorie d’âge et, le cas échéant, du grade Cibles Couleurs avec sa date de validation et de la mention d’une pratique handisport. Pour certains les photos d’identités et leur certificat d’aptitude à la pratique du sport ont pu être dérobés.
La Fédération Française de Tir ne disposant pas de données relatives à la détention d’armes, celles-ci ne sont pas non plus concernées.
Qui contacter si vous avez des questions ?
Pour toute question concernant cet incident, vous pouvez contacter :
Ligne d’assistance dédiée :
- incident@fftir.org
- Courrier postal : DPO FFTir, Incident ITAC, 38 rue Brunel 75017 PARIS
Notre délégué à la protection des données (DPO) :
- Email : dpo@fftir.org
Si besoin nous vous invitons à consulter les ressources présentes sur le site Assistance aux victimes de cybermalveillance | Site Officiel.
Vous pouvez également exercer vos droits ou déposer une réclamation auprès de la CNIL : www.cnil.fr
Cordialement,
Le Président
Hugues Senger
POUR VOTRE SÉCURITÉ
Les données personnelles accessibles en ligne sont régulièrement utilisées par des délinquants pour se faire passer auprès de leurs victimes pour le représentant d’un organisme familier (banque, assurance, opérateur téléphonique) ou un membre des forces de l’ordre (police, gendarmerie, douanes).
Les attaques subies par la FFTir représentent un risque pour nos licenciés. Elle est l’occasion de rappeler que :
- La police, la gendarmerie ou la douane ne vous appellera jamais pour venir chez vous récupérer vos armes à la suite de la fuite des données de licenciés de la FFTir ;
- La police, la gendarmerie ou la douane ne viendra jamais spontanément chez vous pour récupérer vos armes à la suite du piratage de la FFTir.
En cas d’appel :
- Ne donnez aucune information personnelle, notamment sur votre rythme de travail, vos congés ou vos périodes de présence au domicile ;
- Notez le numéro qui s’affiche sur votre écran ;
- Après avoir raccroché, appelez le 17 pour informer le commissariat de police ou la brigade de gendarmerie la plus proche.
En cas d’e-mail :
- Ne donnez jamais un mot de passe ou des coordonnées bancaires de cette façon
- N’ouvrez ni lien ni pièce jointe d’un message inattendu, surtout s’il s’agit d’une réinitialisation de mot de passe que vous n’avez pas demandée sans oublier de vérifier l’adresse mail d’origine. Pour vérifier l’expéditeur d’un e-mail, survolez le nom affiché avec votre souris ou cliquez sur l’adresse pour révéler le domaine exact (après le symbole @). Vous pouvez aussi analyser l’en-tête technique complet de l’e-mail (option « Afficher l’original » ou « Afficher les entêtes »)
Si quelqu’un se présente chez vous, prétend appartenir aux forces de l’ordre et venir récupérer vos armes pour donner suite à la fuite des données de la FFTir :
- N’ouvrez pas la porte et demandez à voir la carte professionnelle (format carte de crédit, avec une photo d’identité) ;
- Un membre des forces de l’ordre serait soit en tenue, soit en civil avec un brassard (ex. : « POLICE ») comprenant un numéro d’identification à 7 chiffres ;
- Appelez le 17 pour informer le commissariat de police ou la brigade de gendarmerie la plus proche.
FAQ
Connaissez-vous l’origine exacte de l’incident ?
Entre le 12 et le 15 octobre, la FFTir a subi une nouvelle attaque préparée. L’attaquant s’est connecté à l’espace licencié EDEN avec des comptes de licenciés dont il avait obtenu ou deviné les identifiants. Il est ensuite parvenu à consulter les données d’autres licenciés.
En parallèle, il a interrogé en masse la fonction de vérification des licences du site Cibles Couleurs. Son adresse a été bloquée dès le soir du 12 octobre et notre hébergeur nous a alertés le lendemain matin. La fonction de Cibles Couleurs a été fermée et corrigée le 15 octobre, et les documents déposés dans EDEN ne sont plus accessibles depuis le 16.
Le week-end dernier, l’attaquant est passé à la revendication publique, avec un échantillon en libre accès. Dimanche soir, il a de nouveau tenté de s’introduire dans le site Cibles Couleurs en cherchant à prendre le contrôle de comptes. Nous avons fermé le site dans la soirée, et il le restera jusqu’à ce que sa sécurisation complète soit vérifiée. Sur EDEN, des dizaines de milliers de tentatives ont été bloquées pendant ces deux jours.
Une plainte a été déposée le 16 octobre et les investigations sont en cours.
Cet incident est-il lié à celui de 2025 ?
Il s’agit d’une nouvelle attaque, distincte de celle de 2025.
Quelles sont les données concernées par l’incident ?
Dans la mesure où nous ne les possédons pas, aucune donnée concernant la détention ou non d’arme au domicile des licenciés n’est concernée. Les données susceptibles d’avoir été compromises ne permettent donc pas de savoir si le licencié dispose d’une arme à son domicile ou non.
Aucune donnée bancaire n’est concernée.
Les données concernées sont : Nom, prénom, club, catégorie d’âge et le cas échéant le grade Cibles Couleurs avec sa date de validité et la mention d’une pratique handisport.
Des photos d’identité et 19 000 certificats d’aptitude au tir sportif ont également été récupérés.
L’enquête se poursuit pour établir l’étendue complète de l’incident. Nous mettrons cette page à jour si de nouveaux éléments sont établis.
Les demandes d’autorisation préalable sont-elles concernées ?
Non, l’incident ne concerne pas les données concernant les demandes d’autorisation préalable.
Que contient le certificat d’aptitude au tir sportif ?
Le certificat atteste l’absence de contre-indication à la pratique du tir sportif.
Ma photo d’identité peut-elle être réutilisée ?
Une photo seule ne permet pas d’ouvrir un compte ou d’obtenir un document officiel. Elle peut toutefois servir à rendre plus crédible une tentative d’escroquerie ou un faux profil. Si vous constatez l’utilisation de votre photo sur un profil que vous n’avez pas créé, signalez-le à la plateforme concernée et conservez une capture d’écran.
Combien de personnes sont concernées ?
Nous alertons l’ensemble de nos licenciés – actifs et non-actifs.
Je ne suis plus licencié : suis-je concerné ?
Lorsqu’un licencié ne renouvelle pas sa licence pendant deux saisons, ses données sont placées en archivage intermédiaire. Seuls sont alors conservés son identité, sa date et son lieu de naissance ; toutes les autres données sont supprimées. Ces informations d’identité ont pu être concernées.
Mon enfant est licencié mineur : que dois-je faire ?
Les données des licenciés mineurs sont de même nature que celles des majeurs. Nous vous invitons à :
- expliquer à votre enfant qu’il ne doit répondre à aucun message, appel ou contact inconnu se réclamant de la Fédération ou de son club ;
- vérifier avec lui les comptes et réseaux sociaux qu’il utilise ;
- signaler sans attendre toute sollicitation suspecte au club, à la Fédération ou à la police et à la gendarmerie.
Qu’a fait la FFTir pour protéger ses licenciés suite à l’attaque de 2025 ?
la protection de vos données est notre priorité, nous avons engagé un renforcement durable de notre sécurité. Plusieurs mesures ont déjà été prises ou sont en cours
- Double authentification : disponible depuis plusieurs mois sur Eden pour tous les utilisateurs, elle sera généralisée prochainement en devenant obligatoire.
- Audits de sécurité : nos deux sites ont fait l’objet de tests d’intrusion et d’audits de code.
- Minimisation des données : les licenciés n’ayant pas renouvelé leur licence depuis deux saisons sont placés en archivage intermédiaire, ; seuls leur identité, leur date et leur lieu de naissance sont conservés.
- Sensibilisation et souveraineté : nous avons renforcé la sensibilisation de nos équipes nationales et inscrit dans notre charte informatique un engagement fort pour la souveraineté de nos données et de nos outils.
- Refonte des applications : notre nouvelle plateforme sera prochainement mise en service.
Qu’en est-il de la double authentification ?
La double authentification est disponible sur Eden depuis plusieurs mois pour tous les utilisateurs, elle sera généralisée prochainement en devenant obligatoire.
Elle est déjà effective et obligatoire sur Itac.
Comment savoir si mes données ont été récupérées ?
À ce stade, nous ne sommes pas en mesure de le confirmer individuellement. Par précaution, la FFTir appelle tous ses licenciés, actifs et anciens, à la vigilance.
Comment reconnaître un message frauduleux faisant référence à ma licence ?
Pour vous protéger, voici quelques conseils simples pour reconnaître un email frauduleux :
- Vérifiez l’expéditeur : Un email frauduleux vient souvent d’une adresse qui ressemble à celle d’une entreprise légitime, mais avec une faute, un domaine étrange, ou une adresse Gmail, Hotmail, etc., qui ne correspond pas à l’organisation.
- Méfiance face à l’urgence : Les emails frauduleux insistent souvent pour que vous agissiez rapidement, sous peine de conséquences graves. Ils jouent sur la peur ou l’urgence « Votre compte sera suspendu si vous ne répondez pas avant X ».
- Ne cliquez pas sur les liens suspects : Survolez les liens sans cliquer pour vérifier qu’ils correspondent bien à l’adresse officielle. Les liens dans les mails frauduleux mènent souvent vers des sites imitant des sites officiels, destinés à voler vos informations.
- Attention aux pièces jointes étranges : N’ouvrez pas les pièces jointes si vous ne les attendiez pas ou si elles ont une extension inhabituelle (.exe, .scr, .zip).
- Absence de personnalisation : Les emails frauduleux emploient souvent des formules génériques (« Cher client », « Utilisateur ») au lieu de votre nom.
- Recherchez les fautes : Les mails frauduleux contiennent souvent des erreurs d’orthographe, de grammaire ou de syntaxe.
- Méfiez-vous des demandes d’informations personnelles : Ne transmettez jamais vos mots de passe, numéros bancaires, ou autres données sensibles par email.
Si vous recevez un email suspect, ne répondez pas, ne cliquez sur aucun lien et ne téléchargez pas de pièces jointes. Il est recommandé de signaler ce mail à votre fournisseur de messagerie (via la fonction « Signaler comme spam » ou « Phishing ») et à l’entité usurpée si vous pouvez identifier son origine.
Pourquoi ce délai entre l’incident et la communication aux licenciés ?
Compte tenu de la nature de l’incident et de notre activité, nous avons d’abord prévenu les autorités compétentes, notamment les services de l’État, en agissant de concert avec elles pour respecter nos obligations légales. Nous avons transmis l’information à l’ensemble des licenciés dès que cela a été possible.
Quelle est la durée de conservation de mes données par la FFTir ?
Les durées maximales de conservations des données des licenciés de la FFTir sont déterminées pour satisfaire ses missions d’intérêt public. Pour plus d’informations, elles sont disponibles sur le site fédéral régulièrement mis à jour.
Qu’entendez-vous par “état civil” ?
Il s’agit du nom, du prénom, de la date et de la ville de naissance. Cela ne comporte pas de reproductions de documents officiels – de type CNI.
Je m’inquiète pour mon adresse. Que dois-je faire ?
D’abord, nous rappelons que les adresses postales ne figurent pas dans la liste des données récupérées par l’attaquant.
Toutefois, nous vous appelons à la plus grande vigilance.
Nous leur rappelons les obligations légales liées au stockage d’une arme.
Les licenciés qui le souhaitent peuvent également :
- Signaler au service de police ou de gendarmerie dont ils dépendent l’incident ayant pu compromettre leurs données personnelles ;
- Alerter dans ce signalement sur leurs craintes ou les risques connexes qu’ils redoutent en ce qui le concerne compte-tenu de la nature des données personnelles sensibles susceptibles d’avoir été compromises ;
- Solliciter dans ce cadre la mise en place opérationnelle de mesures de protection préventives.
Les autorités publiques ont également été informées de la situation.
Je suis dirigeant de club : que dois-je faire ?
- Relayez à vos adhérents les seules informations publiées par la Fédération, en renvoyant vers cette page.
- Changez les mots de passe des comptes du club et activez la double authentification.
- Ne transmettez aucune liste de licenciés par courriel ou messagerie, même en réponse à une demande qui semble venir de la Fédération ; en cas de doute, appelez la FFTir.
- Signalez à la Fédération toute sollicitation suspecte reçue par le club ou par vos adhérents.
Le site Cibles Couleurs est fermé : que deviennent mes passages de grade ?
Le site restera fermé jusqu’à ce que sa sécurisation complète soit vérifiée.
