Le 5 mars 2026, la Fédération française de gymnastique (FFGym) a signalé un accès non autorisé à certaines données de 2,9 millions de licenciés et anciens licenciés dans FFGym Licence. Les données concernées varient selon l’ancienneté de la licence : elles comprennent notamment l’identité, la date de naissance, l’adresse, l’adresse e-mail, le téléphone et le numéro de licence. FFGym indiquait qu’aucune donnée bancaire ou médicale n’avait été compromise et qu’aucun usage frauduleux n’avait été constaté à cette date.
FFGym attribuait alors la connexion à un compte de club compromis, probablement après un hameçonnage, et signalait qu’une vingtaine de fédérations avaient subi des cyberattaques dans les semaines précédentes, la plupart selon elle par le même attaquant. D’autres cas ont été signalés séparément : la Fédération française de handball a annoncé le 11 août un accès non autorisé à Gest’Hand, dont l’évaluation était toujours en cours. Le Gouvernement a, de son côté, annoncé le 17 août l’interpellation survenue le 20 avril d’un suspect dans une centaine de compromissions présumées visant notamment des fédérations sportives et le ministère de l’Éducation nationale. Aucune source consultée ne relie ces événements distincts à l’incident FFGym.
Ce que les sources établissent sur FFGym
Le chiffre de 2,9 millions désigne les licenciés et anciens licenciés concernés par l’accès à certaines données de leur fiche, selon FFGym. Pour les licenciés récents, la fédération cite notamment le nom, le prénom, la date de naissance, le sexe, l’adresse postale, l’e-mail, le téléphone et le numéro de licence. Pour les anciens licenciés, certaines coordonnées ne figuraient pas parmi les données concernées. Ce chiffre ne signifie donc pas que des mots de passe ou des données bancaires ont été exposés : FFGym précise qu’aucune donnée bancaire ou médicale n’a été compromise.
Comment un compte de club peut ouvrir un accès
Dans le cas décrit par FFGym, l’attaquant a pénétré dans FFGym Licence via un compte de club compromis, probablement après un hameçonnage destiné à obtenir les identifiants. La fédération ne précise pas publiquement comment ces identifiants ont été obtenus : cette cause reste présentée comme probable. FFGym a ensuite activé la double authentification par SMS pour ses applications, dont FFGym Licence, le 20 mai 2026. Ce renforcement réduit la dépendance au seul mot de passe, mais ne justifie pas de réutiliser un même accès entre plusieurs bénévoles.
Un compte partagé ou conservé après le départ d’un bénévole peut compliquer l’identification de son responsable et la révocation de ses accès. Pour les clubs, distinguer les comptes nominatifs des comptes communs et limiter les droits aux tâches nécessaires facilite les vérifications après une alerte.
Vérifications pour les bénévoles et administrateurs
- Consultez les notifications de votre fédération depuis son site officiel et appliquez ses consignes à jour. FFGym avait exigé le changement des mots de passe de ses utilisateurs pour rouvrir les accès après l’incident.
- Pour FFGym Licence, utilisez la double authentification par SMS mise en place depuis le 20 mai et demandez à votre club un compte individuel si vous partagez encore des identifiants.
- Changez tout mot de passe réutilisé ailleurs et vérifiez les boîtes mail ainsi que les méthodes de récupération associées aux outils du club.
- Après une fuite, déterminez quels mots de passe changer en premier au lieu de modifier sans discernement tous vos secrets uniques.
Organiser les accès dans une petite structure
Les fédérations et les clubs peuvent tenir un inventaire des comptes qui donnent accès aux licences, aux exports de membres, aux boîtes mail et aux outils d’événement. Attribuez un responsable à chaque compte, retirez les anciens membres et évitez de transmettre un même mot de passe à toute une équipe. Notre guide de politique de mots de passe pour les PME aide à définir ces règles ; pour les accès communs nécessaires, consultez aussi le guide du partage sécurisé en équipe.
Le lien avec Soclyde
Soclyde ne protège pas FFGym Licence et ne remplace ni la double authentification ni la gestion des comptes dans les outils fédéraux. Il peut aider un club à gérer des mots de passe uniques et à partager les accès autorisés sans multiplier les copies dans des documents ou des messages.
À retenir
Le cas FFGym montre qu’un compte de club compromis peut ouvrir l’accès à un outil fédéral et aux données de ses licenciés. Les autres incidents sportifs cités sont distincts, même s’ils soulignent l’importance de comptes individuels, d’une authentification renforcée et d’une vigilance face au hameçonnage. Consultez les premiers réflexes après une fuite de données et formalisez les accès de votre club avec le guide de partage sécurisé des mots de passe en équipe.
