France : fuite de données à la Fédération Française de Tir – 64 000 photos d'identité et 19 000 documents concernés
Ne concerne que la France. La FFTir signale une attaque visant deux de ses services. Sont touchées les données de base, les photos d'identité et les certificats téléversés – la fédération indique ne pas détenir de données de détention d'armes.
Droit des armes & fédérations · France
Ne concerne que la France. La Fédération Française de Tir (FFTir) a rendu public le 22 octobre 2026 une attaque informatique visant deux de ses services en ligne. Sont concernées, selon la fédération, les données de base de la majorité des licenciés actuels et anciens, environ 64 000 photos d'identité et près de 19 000 documents téléversés, dont des certificats d'aptitude au tir sportif. Pour les tireurs d'Allemagne, d'Autriche et de Suisse, rien ne change sur le plan juridique – l'intérêt du cas est ailleurs : il montre quelles données une fédération nationale de tir détient réellement.
L'essentiel en bref
– Une seule communication, datée du 22.10.2026 ; au 06.11.2026, aucune mise à jour ni second communiqué n'était publié.
– Deux services sont touchés : l'espace licencié EDEN et la fonction de vérification de licence Cibles Couleurs.
– Volumes indiqués par la fédération : environ 64 000 photos d'identité, près de 19 000 documents téléversés, et pour 55 licenciés le dossier complet.
– Non concernés : les mots de passe et les données bancaires (indication de la fédération).
– Plainte déposée le 16.10.2026 ; l'ANSSI et la CNIL informées selon la fédération.
– La fédération déclare à trois reprises ne pas détenir de données relatives à la détention d'armes.
Ce que la fédération indique sur le déroulement
Selon la communication, des comptes de licenciés d'EDEN ont été utilisés au cours de la semaine du 12 octobre 2026 pour accéder aux données d'autres licenciés ; s'y sont ajoutées des interrogations massives de la fonction de vérification de Cibles Couleurs. La fédération a procédé à un blocage le soir du 12 octobre, l'hébergeur s'étant manifesté le lendemain matin. Cibles Couleurs a été rouvert le 15 octobre, les documents d'EDEN ne sont plus accessibles depuis le 16 octobre. Après un nouvel incident sur Cibles Couleurs, la fédération a fermé le site jusqu'à vérification complète de la sécurité. Sur deux jours, elle indique avoir bloqué des dizaines de milliers de tentatives de connexion sur EDEN.
La communication contient des précisions techniques sur le déroulement que nous ne reprenons pas ici. Pour le classement des faits, c'est l'ampleur qui compte, non le chemin d'entrée.
Quelles données sont concernées
Pour la majorité des licenciés actuels et anciens, la fédération cite le nom, le prénom, le club et la catégorie d'âge, auxquels s'ajoutent le cas échéant le classement Cibles Couleurs avec sa date de validation et une éventuelle mention handisport. S'y ajoutent environ 64 000 photos d'identité et près de 19 000 documents que les licenciés avaient eux-mêmes téléversés dans leur espace – dont, selon la partie FAQ de la communication, des certificats d'aptitude au tir sportif.
Pour 55 licenciés, le dossier complet a été copié. Ceux-ci sont contactés individuellement par la fédération. Les mots de passe et les données bancaires ne seraient pas concernés.
Il s'agit là de la présentation faite par la fédération. Nous ne disposons d'aucune vérification indépendante de ces volumes, et nous n'avons ni recherché ni consulté de données ayant fuité.
Le point qui appelle à la prudence : les données de détention d'armes
La fédération précise à trois reprises qu'elle ne dispose pas de données relatives à la détention d'armes – et que les données concernées ne permettent pas de déduire si un licencié détient une arme à son domicile. En substance : la crainte qu'un fichier fédéral permette d'établir une liste de détenteurs d'armes, la fédération l'écarte pour ce qui la concerne.
Ce qui importe autant, c'est ce qui ne figure pas dans le texte. Le Système d'Information sur les Armes (SIA) n'est pas mentionné dans la communication – ni pour confirmer, ni pour démentir. Un lien entre cet incident et le SIA n'est donc pas établi, et nous n'en construisons aucun. Qui lit un tel lien l'y ajoute lui-même.
En même temps, le cas montre que, même sans données de détention, un ensemble sensible se constitue : une photo d'identité associée à un nom, un club et un certificat d'aptitude au tir sportif permet de reconnaître que la personne pratique le tir. Ceci est notre analyse, non une déclaration de la fédération.
Ce que la fédération recommande à ses membres
L'indication la plus utile en pratique concerne les appels frauduleux : la police, la gendarmerie et la douane n'appelleront pas et ne se présenteront pas au titre de cet incident pour récupérer des armes. La fédération conseille de ne communiquer aucune donnée personnelle par téléphone, de noter le numéro, de raccrocher et d'appeler le 17.
Par ailleurs : ne jamais transmettre de mots de passe ou de données bancaires par courriel, n'ouvrir ni liens ni pièces jointes inattendus, vérifier précisément le domaine de l'expéditeur. Aux responsables de clubs, la fédération recommande de changer les mots de passe des comptes du club, d'activer l'authentification à deux facteurs, de ne pas envoyer de listes de licenciés par courriel et de signaler les contacts suspects. Aux parents de licenciés mineurs, d'indiquer à leurs enfants de ne pas répondre à des contacts inconnus se présentant comme la fédération ou le club.
La fédération indique une adresse dédiée aux incidents et celle de son délégué à la protection des données ; une réclamation auprès de la CNIL est également possible.
Le cadre juridique en France
La CNIL décrit sur sa page d'information relative à la notification d'une violation de données le cadre applicable : obligation de notification à l'autorité au titre de l'article 33 du RGPD, information des personnes concernées en cas de risque élevé au titre de l'article 34. Comme délai, elle indique une première notification si possible dans les 72 heures, avec justification en cas de dépassement et complément ultérieur.
Il s'agit du droit en vigueur, et non d'une appréciation de son respect dans le cas d'espèce. Que la CNIL ait été informée est une indication de la fédération ; nous ne disposons d'aucune confirmation de l'autorité.
Aucune communication propre des autorités – un constat négatif
Nous avons vérifié le 6 novembre 2026 si la CNIL ou l'ANSSI avaient publié elles-mêmes sur cet incident. Sur la page d'actualités de la CNIL, aucune mention jusqu'aux entrées remontant au 24 août 2026 ; sur la page d'actualités de l'ANSSI, aucune non plus en première page. Les deux pages étaient accessibles et lisibles ; nous n'avons pas parcouru les pages suivantes ni l'intégralité des résultats de recherche de la CNIL.
C'est un constat négatif et non une preuve contraire : les autorités s'expriment rarement publiquement sur des procédures en cours.
Notre analyse
Pour les licenciés en France, la situation est désagréable mais circonscrite : la mesure la plus efficace contre le dommage consécutif le plus probable – des tentatives d'escroquerie se réclamant des autorités – est l'indication donnée par la fédération elle-même. En cas d'appel : raccrocher et rappeler par le numéro officiel.
Pour les tireurs de l'espace germanophone, il n'en découle rien sur le plan juridique. Le cas reste instructif parce qu'il répond à la question de savoir quelles données une fédération détient. En Allemagne, l'affiliation fédérale et l'autorisation relevant du droit des armes sont elles aussi tenues séparément : la fédération atteste du besoin, l'autorité délivre l'autorisation, et le registre national des armes relève de l'Office fédéral d'administration. Une fuite chez une fédération n'atteint donc pas automatiquement les données de détention – mais bien tout ce qui identifie une personne comme tireuse ou tireur. Ceci est notre analyse ; aucun incident allemand concret n'est visé, et aucun ne nous est connu.
Ce qui reste ouvert
– Aucune confirmation indépendante des volumes ; tous les chiffres sont des indications de la fédération.
– Si et quand la notification à la CNIL a eu lieu, et comment les autorités apprécient le dossier, n'est pas publié.
– La communication du 22.10.2026 n'indique pas si EDEN et Cibles Couleurs sont depuis pleinement disponibles.
– Le nombre de licenciés ne figure sur le site de la fédération que dans un compteur sans date ni indication de saison ; nous ne l'utilisons donc pas comme ordre de grandeur. La fédération n'indique pas de nombre de clubs.
– La part des personnes concernées rapportée à l'ensemble des licenciés n'est donc pas calculable.
– L'existence de suites pénales n'est pas connue.
– Un lien avec le SIA n'est pas établi et n'est pas évoqué dans la communication.
Sources
1. « Communication relative à une cyberattaque » · Éditeur : Fédération Française de Tir (FFTir), France · Type : communication officielle de la fédération · Publié le 22.10.2026 (date affichée sur la page, pubDate du flux 22.10.2026, 08:51 UTC) · Consulté et vérifié quant à une mise à jour le 06.11.2026
https://www.fftir.org/communication-cyberattaque/
2. Flux d'actualités de la fédération, consulté pour vérifier l'existence d'autres communications sur l'incident · Éditeur : FFTir, France · Consulté le 06.11.2026 ; une seule entrée relative à l'incident
https://www.fftir.org/feed/
3. « Notifier une violation de données personnelles » · Éditeur : Commission nationale de l'informatique et des libertés (CNIL), France · Type : page d'information de l'autorité · Date de page : 24.05.2018 · Consulté le 06.11.2026
https://www.cnil.fr/fr/notifier-une-violation-de-donnees-personnelles
4. Page d'actualités de la CNIL, vérifiée quant à une publication propre sur l'incident · Éditeur : CNIL, France · Consulté le 06.11.2026 ; entrées remontant au 24.08.2026, sans résultat
https://www.cnil.fr/fr/actualites
5. Page d'actualités de l'ANSSI, vérifiée quant à une publication propre sur l'incident · Éditeur : Agence nationale de la sécurité des systèmes d'information (ANSSI), France · Consulté le 06.11.2026 ; première page sans résultat, entrée la plus récente du 12.10.2026
https://cyber.gouv.fr/actualites
Nous ne reprenons volontairement aucun détail technique du mode opératoire. Nous n'avons pas recherché les données ayant fuité, ne les avons pas consultées et ne renvoyons vers aucun lieu de publication de telles données.
État rédactionnel : 06.11.2026. Aucun examen propre des systèmes concernés n'a eu lieu.