Fédération Sportive de la Police Nationale : licenciés et certificats médicaux exposés

La Fédération Sportive de la Police Nationale (FSPN) a été victime d’une cyberattaque entre le 19 et le 20 juin 2026, via un accès non autorisé à son logiciel de gestion des licenciés (plateforme Sportpolice.fr). La base dérobée, couvrant environ quatorze années de données (2012 à 2026), a été publiée sur un forum cybercriminel et revendiquée par l’acteur « Misère », déjà à l’origine de la compromission de la messagerie de l’État Tchap au début du mois. La fuite a été révélée publiquement le 21 juin 2026, puis largement reprise par la presse spécialisée.

L’attaquant revendique 224 076 enregistrements, un chiffre repris tel quel par plusieurs médias ; l’analyse de Cyberattaque.org le ramène toutefois à environ 71 304 licenciés et adhérents uniques après déduplication, plusieurs lignes correspondant à des renouvellements de licence. Le jeu de données contiendrait les identités complètes (nom, prénom, sexe, date de naissance), les grades, matricules et services d’affectation des fonctionnaires, leurs coordonnées (adresses postales, e-mails, téléphones), ainsi qu’environ 180 000 certificats médicaux, 380 000 licences sportives et plus d’un million de convocations. Le vecteur revendiqué, une vulnérabilité de type IDOR avec des identifiants protégés par un simple hachage MD5, n’a pas été confirmé officiellement.

La FSPN a reconnu l’incident dans un communiqué adressé à ses adhérents, indiquant qu’une de ses bases de données « a pu faire l’objet d’une cyberattaque », et les a appelés à la vigilance face aux courriels frauduleux. Elle a déposé plainte puis, selon le suivi post-incident, saisi la CNIL et indiqué que l’incident était contenu ; aucun chiffre officiel de personnes concernées n’a été communiqué, et l’authenticité complète du jeu de données n’a pas été vérifiée de façon indépendante.

La sensibilité de cette fuite tient autant aux données de santé (certificats médicaux) qu’à la population exposée : des policiers et leurs proches, identifiables par nom, matricule, grade et service d’affectation, ce qui crée un risque réel de ciblage individuel, d’intimidation ou d’ingénierie sociale visant les services concernés, au-delà du classique hameçonnage.