Fédération Française de Tir : la fuite d'octobre 2025 liée par le ministre de l'Intérieur à une trentaine de cambriolages

Entre le 18 et le 20 octobre 2025, un tiers a accédé sans autorisation à ITAC, le système de gestion des licences de la Fédération Française de Tir. La fédération a détecté l’intrusion le 20 octobre et l’a rendue publique dès le 23, en déconnectant les serveurs ITAC et EDEN, en invalidant les QR codes de licence, en notifiant l’ANSSI et la CNIL et en déposant plainte. Cybermalveillance.gouv.fr a publié une alerte dédiée au début du mois suivant. La réaction relève des bonnes pratiques, et c’est ce qui rend la suite de l’affaire d’autant plus instructive.

Les données concernées sont en apparence ordinaires : état civil, coordonnées postales et téléphoniques, numéro de licence, club de rattachement. La fédération a explicitement exclu du périmètre les données bancaires, médicales et celles relatives à la détention d’armes, qui relèvent du système d’information sur les armes et non de la gestion des licences. Rien dans cette liste ne relève des catégories dites sensibles au sens du règlement européen.

C’est pourtant le croisement de ces éléments banals avec le simple fait d’être licencié qui produit le risque. Le 8 avril 2026, le ministre de l’Intérieur a indiqué devant l’Assemblée nationale qu’une vingtaine à une trentaine de cambriolages, relevés notamment à Nice, Paris et Limoges, étaient potentiellement liés à la revente de ces données, certains cambrioleurs se présentant sous une fausse identité de gendarme ou de policier pour se faire remettre des armes. Le fichier ne contenait aucune information sur les armes détenues, et il a néanmoins servi à en désigner les détenteurs probables, à leur adresse.

Ce mécanisme mérite d’être retenu au-delà du cas d’espèce : la sensibilité d’un jeu de données ne se lit pas seulement dans ses colonnes, mais dans ce que l’appartenance au fichier révèle. Une liste d’adresses est anodine ; la même liste, extraite d’une fédération de tir, d’un club de collectionneurs ou d’une association de propriétaires, devient un outil de ciblage physique.

Le 30 août 2026, dix mois après les faits, un acteur a proposé à la vente un accès à un environnement lié à la fédération, en revendiquant un potentiel de 300 000 personnes et en s’appuyant sur une faille de contrôle d’accès qu’il qualifiait lui-même de partielle et techniquement complexe. Ce chiffre correspond très vraisemblablement à l’effectif total que la fédération a atteint dans l’intervalle, et non à un volume réellement extrait, et aucun lien technique n’a été établi avec l’intrusion de 2025. La fiche conserve donc pour date celle de la révélation initiale, la revendication d’août 2026 constituant un développement de la même affaire plutôt qu’un incident distinct.