Fédération Française de Bridge : 284 461 profils de membres revendiqués

Le 1er juillet 2026, un acteur opérant sous le pseudonyme « misere » a revendiqué sur un forum cybercriminel la diffusion d’un fichier nommé ffb_members.csv, attribué à la Fédération Française de Bridge. La revendication porte sur 284 461 profils de membres, licenciés actuels ou anciens : identité complète, date de naissance, coordonnées (e-mail, téléphone, adresse postale), numéro de licence, club et comité, classement sportif, statut de compte, historique de connexion et pseudonymes utilisés sur les plateformes de jeu en ligne BBO et Funbridge, sans mots de passe selon les champs décrits. L’attaquant affirme avoir exploité une vulnérabilité de type IDOR combinée à des identifiants séquentiels, à une absence de contrôle d’accès sur des comptes à privilèges et à une absence de limitation de débit sur l’application ffbridge.fr.

Le volume revendiqué dépasse largement l’effectif connu de la fédération, qui recensait environ 76 800 licenciés actifs pour la saison 2023-2024 : l’écart (un facteur de presque quatre) suggère un fichier cumulant plusieurs saisons d’anciens licenciés plutôt qu’un effectif instantané, sans qu’aucune vérification indépendante n’ait pu être menée. Deux trackers spécialisés et concordants, Cyberattaque.org et FrenchBreaches, documentent la revendication avec les mêmes éléments factuels ; en revanche, aucune couverture par la presse généraliste n’a été identifiée, l’incident restait absent de la timeline Bonjour la fuite au 17 juillet 2026, et ZATAZ n’a publié aucun article sur ce cas (ses articles de la période concernent la Fédération Française d’Équitation, une entité distincte que l’abréviation « FFE » peut faire confondre avec la FFBridge).

À ce jour, la Fédération Française de Bridge n’a ni confirmé ni démenti publiquement la fuite, et aucune notification à la CNIL n’est connue, ce qui justifie le statut « alléguée ». La revendication bénéficie toutefois d’un indice de plausibilité : l’acteur « misere » a un passif documenté en 2026 sur des cibles françaises comparables, avec la même signature technique. Sa revendication visant JeVeuxAider.gouv.fr (environ 550 000 comptes, via une faille IDOR) a été confirmée publiquement par le ministère des Sports, et la DINUM a confirmé l’incident de sécurité touchant la messagerie d’État Tchap qui lui est associé ; il est également cité dans la fuite de la Fédération Sportive de la Police Nationale de juin 2026. Ce parcours ne prouve pas l’authenticité de la base FFBridge, mais il justifie de suivre le dossier de près, la fiche sera mise à jour en cas de communication de la fédération ou des autorités.