FFHandball : 1,36 million de données de licenciés en fuite après une cyberattaque

🕵️ Ce que revendique le pirate « ZeroBytes »

C’est sur un forum cybercriminel qu’est apparue, le 10 août 2026, l’annonce de mise en vente des données de la FFHandball. Le pirate qui l’a publiée, utilisant le pseudonyme ZeroBytes, revendique l’accès à 1 367 197 enregistrements. Ce chiffre correspond toutefois à des fiches de licence, et non nécessairement à autant de personnes physiques distinctes : une même personne peut avoir cumulé plusieurs licences sur différentes saisons, ce qui peut gonfler artificiellement le décompte brut par rapport au nombre réel d’individus concernés.

📂 Quelles données sont concernées ?

Selon le site spécialisé Cyberattaque.org, les informations exposées comprennent les noms, dates de naissance, adresses e-mail, numéros de licence, clubs d’affiliation et historiques administratifs des licenciés. Plus préoccupant : le pirate affirme avoir également extrait, après avoir contourné des restrictions d’accès, environ 311 000 documents d’identité — cartes nationales d’identité, passeports et certificats médicaux. Des licenciés mineurs figurent parmi les personnes concernées, ce qui aggrave sensiblement la sensibilité de cette fuite au regard du droit des mineurs et de la protection de leurs données personnelles.

🗓️ Un incident distinct, déjà signalé en décembre 2025

La FFHandball n’est pas totalement étrangère à ce type d’alerte : en décembre 2025, la fédération avait déjà reconnu un accès non autorisé à GestHand, le logiciel de gestion utilisé par ses quelque 2 400 clubs affiliés, et avait alors procédé aux notifications légales auprès de la CNIL et de l’ANSSI. Les sources consultées pour cet article ne permettent toutefois pas d’établir un lien direct et confirmé entre cet incident de décembre 2025 et la mise en vente du 10 août 2026 : il pourrait s’agir de la même intrusion exploitée avec retard, ou de deux compromissions distinctes du même système.

📢 Silence de la fédération, CNIL et ANSSI déjà informées

À la date de publication de cet article, la Fédération française de handball n’avait apporté aucune confirmation publique de l’incident du 10 août 2026. Seul l’épisode de décembre 2025 avait fait l’objet d’une communication officielle, avec notification à la CNIL et à l’ANSSI conformément aux obligations légales en matière de violation de données personnelles (Règlement général sur la protection des données).

🌊 Une vague de cyberattaques contre le sport français

La FFHandball s’ajoute à une liste déjà longue de fédérations sportives françaises touchées depuis fin 2025. La Fédération française de basket-ball (FFBB) a ainsi révélé une fuite exposant les informations personnelles de près de 2 millions de licenciés et de 900 000 représentants légaux. Le 5 août 2026, c’est au tour du club de rugby du Stade Français Paris d’apparaître sur le site d’extorsion du groupe de rançongiciel Qilin, qui a publié 18 photographies en guise de preuve — dont plusieurs montrant des passeports et cartes d’identité présentés comme appartenant à des joueurs — assorties d’un compte à rebours avant publication complète des données volées.

Ce phénomène s’inscrit dans la continuité des fuites de données françaises déjà documentées par Liberta Press, notamment celle touchant un sous-traitant d’EDF et des plans de centrales nucléaires ou encore les 11,7 millions de Français exposés dans la fuite de l’ANTS. Le secteur sportif, longtemps resté à l’écart de ce type de ciblage, apparaît désormais comme une cible privilégiée, en raison de systèmes d’information souvent gérés par des structures associatives disposant de moyens de cybersécurité limités face au volume de données personnelles qu’elles hébergent.

🔍 HexDex, le précédent qui ne colle pas cette fois

Une partie de cette vague de piratages de fédérations sportives a déjà trouvé son auteur : le 20 avril 2026, la police judiciaire de Paris a interpellé un jeune homme de 21 ans, Faouzi C., qui a reconnu être « HexDex », à l’origine revendiquée d’une centaine d’intrusions informatiques depuis le 19 décembre 2025, dont une quinzaine de fédérations sportives (voile, athlétisme, sport automobile, gymnastique, ski, rugby à XIII, aïkido, sport universitaire, montagne et escalade, football américain, randonnée pédestre, aéronautique, canoë-kayak, handisport, savate et boxe française), ainsi que des cibles institutionnelles comme la préfecture de la Moselle ou l’Agence nationale de la cohésion des territoires.

Point de vigilance important : la liste des victimes attribuées à HexDex par les enquêteurs, telle que rapportée dans la presse spécialisée, ne mentionne pas le handball. Surtout, HexDex étant en garde à vue puis mis en examen depuis le 20 avril 2026, il ne peut matériellement pas être l’auteur d’une mise en vente publiée le 10 août 2026, près de quatre mois après son arrestation. La FFHandball et le pirate « ZeroBytes » constituent donc, en l’état des informations disponibles, un dossier distinct de l’affaire HexDex — même s’ils relèvent du même phénomène global de vulnérabilité numérique du sport français.

⚠️ Quels risques concrets pour les licenciés ?

Ce type de fuite est en priorité exploité pour des campagnes de hameçonnage ciblé (phishing) et des tentatives d’usurpation d’identité : disposer du numéro de licence exact, du club d’affiliation et de l’historique administratif d’une personne permet de rédiger des messages frauduleux nettement plus crédibles qu’un hameçonnage générique, en se faisant par exemple passer pour la fédération elle-même ou pour un club. La présence de cartes d’identité et de passeports aggrave le risque, ces documents pouvant être réutilisés pour usurper une identité auprès d’organismes tiers. Pour les licenciés mineurs, le risque s’étend à des sollicitations directes par des tiers malveillants disposant de données précises sur leur identité et leur club.

✅ Conclusion

Avec plus d’1,3 million de fiches de licenciés potentiellement exposées, dont des documents d’identité et des données de mineurs, la FFHandball devient le dernier exemple en date d’une vague de cyberattaques qui frappe méthodiquement le sport associatif français depuis la fin de l’année 2025 — un secteur où les obligations de sécurité informatique peinent visiblement à suivre le volume de données personnelles collecté. Que l’auteur de cette fuite soit ou non lié aux précédentes affaires (HexDex, FFBB, Stade Français), le constat reste le même : les fédérations sportives françaises doivent désormais traiter la cybersécurité comme un enjeu de premier plan, au même titre que les administrations ou les grandes entreprises.

📚 Sources

1. Cyberattaque.org — FFHandball : 1,36 million de données de licenciés en fuite après une cyberattaque
2. Buzzarena — Handball : les données de 1,36 million d’adhérents en vente après une cyberattaque
3. INCYBER News — La police a arrêté HexDex, un cybercriminel ayant notamment piraté des fédérations sportives
4. Cyberattaque.org — Stade Français : les passeports et cartes d’identité de joueurs en fuite
5. BeBasket — Cyberattaque FFBB : près de 2 millions de licenciés de basket victimes d’une fuite de données