Fédération française de la randonnée pédestre : 1,43 million de lignes d'adhérents mises en vente, un volume que la fédération conteste

Le 29 septembre 2026, un vendeur que Cyberattaque.org et FrenchBreaches nomment RedStone a proposé sur un forum cybercriminel une base attribuée à la Fédération française de la randonnée pédestre (FFRandonnée). L’annonce décrit un fichier principal de 1 429 334 lignes pour environ 317 Mo de fichiers CSV, des enregistrements remontant aux années 1990 et aucun prix public : les acheteurs sont invités à faire une offre en privé. Le vendeur y ajoute 1 008 071 adresses électroniques uniques, 663 291 numéros de téléphone uniques, deux fichiers d’abonnés à la revue fédérale et 98 052 enregistrements rattachés à des contacts d’urgence, au certificat d’absence de contre-indication (CACI) ou à des informations présentées comme médicales. Cyberattaque.org a analysé les échantillons diffusés et y a retrouvé les champs annoncés, sans pouvoir en vérifier les décomptes.

Le chiffre de 1,43 million désigne des lignes et non des personnes, comme le rappellent ZATAZ et FrenchBreaches. La fédération compte de l’ordre de 250 000 licenciés, et l’écart s’explique vraisemblablement par plus de trente ans d’historique, les renouvellements, les doublons et la présence de catégories qui ne sont pas des adhérents actuels, sans que la fédération ait documenté cette lecture, si bien que cette fiche n’indique aucun total de personnes. Une revendication antérieure visait déjà la fédération le 5 février 2026, pour 813 983 lignes selon Fuites Infos, qui précise qu’aucune source n’a pu la corroborer : aucune réaction de la fédération n’a été retrouvée et rien n’établit de lien avec l’épisode de septembre.

Ce dossier ne doit pas être confondu avec celui de NaturaBuy, la marketplace de chasse et de pêche : le même pseudonyme y a mis en vente le 2 octobre une base de 1 428 331 comptes, soit 1 003 unités de moins que le chiffre de la fédération, mais pour une autre entité, avec un autre jeu de données et dans un incident distinct. Aucune source ne désigne de prestataire commun aux fédérations sportives : les fiches FFBB, FFGym ou FFE montrent des points d’entrée hétérogènes (comptes de clubs compromis, stockage hébergé chez OVH), et rien ne rattache la FFRandonnée à l’un d’eux.

Les échantillons montrent des identités, des dates de naissance, des adresses postales et électroniques, des informations de licence et d’adhésion, ainsi que le nom et le téléphone d’un contact à prévenir en cas d’accident. Deux précisions évitent les contresens : la catégorie de 98 052 enregistrements n’est pas un lot de dossiers médicaux, car les échantillons ne laissent voir que des champs de contact d’urgence et une date de délivrance du CACI, et les contacts d’urgence sont des tiers qui n’ont pas adhéré à la fédération. Cette combinaison permet des hameçonnages crédibles au nom de la fédération ou d’un club (renouvellement de licence, cotisation, assurance, mise à jour du dossier), ainsi que des appels et SMS frauduleux.

La fédération a indiqué à Cyberattaque.org avoir identifié l’incident dès la veille, le prendre « très au sérieux », avoir déposé plainte, effectué les déclarations nécessaires auprès de la CNIL et de l’ANSSI et informé ses comités et clubs, tout en émettant de sérieuses réserves sur le volume et l’ancienneté des données. FrenchBreaches rapporte la même substance le 30 septembre, sans mentionner la plainte. Cette reconnaissance d’un incident fonde le statut « confirmée » ; elle ne vaut ni authentification des données en vente ni confirmation du volume. Elle n’est connue que par ces relais : au 8 octobre 2026, ni communiqué de la fédération, ni notification individuelle aux licenciés, ni publication de la CNIL ou de l’ANSSI n’ont été retrouvés.

Licenciés, anciens licenciés et personnes désignées comme contact d’urgence ont intérêt à se méfier de tout message ou appel se réclamant de la fédération, d’un comité ou d’un club et évoquant un renouvellement, une cotisation ou une mise à jour de dossier, surtout s’il réclame des coordonnées bancaires ou un paiement urgent. Il est préférable de vérifier auprès de son club ou sur le site officiel, de ne pas cliquer sur les liens reçus et de signaler les tentatives sur signal-spam.fr ou cybermalveillance.gouv.fr. Aucun mot de passe n’étant revendiqué, aucun changement n’est requis à ce titre.