Sport 2000 : intrusion confirmée dans l'outil de location de ski, puis nouvelle diffusion de 483 953 enregistrements en octobre

Le 19 août 2026, un acteur se faisant appeler ZeroBytes a revendiqué sur un forum l’accès à Pilot, l’outil interne de gestion des réservations de location de ski de Sport 2000, et publié gratuitement 17 851 réservations, obtenues selon lui par la fonction d’export native de l’outil (environ 14 500 réservations valides), par un parcours page par page (environ 3 350 dossiers annulés) et par une consultation individuelle d’environ 700 anciennes réservations. Sport 2000 indique avoir appris le 20 août qu’un tiers non autorisé avait accédé à cet outil et rendu publique au moins une partie des données, puis a mis en ligne le 21 août un avis dont la dernière mise à jour affichée date du 11 septembre. Le 5 octobre, un utilisateur nommé « mica », selon Cyberattaque.org, a mis en téléchargement libre un fichier de 483 953 enregistrements (environ 907 Mo) présenté comme issu du même outil.

Le point délicat tient à la nature de cette seconde diffusion. Le fichier d’octobre contient environ vingt-sept fois plus de lignes que le lot d’août, dont 371 803 réservations validées, 68 343 annulées et 43 408 simulées selon FrenchBreaches, et sa réservation la plus récente date du 20 août à 08 h 41, soit le jour de la détection par Sport 2000 et un moment postérieur à la revendication de ZeroBytes, publiée la veille au soir. Il ne peut donc pas s’agir d’une simple copie du lot du 19 août, et l’absence de toute réservation plus tardive suggère une extraction plus large lors du même accès, avant sa fermeture, plutôt qu’une nouvelle intrusion en octobre. Cette lecture reste une déduction : FrenchBreaches note qu’aucun élément ne démontre une nouvelle intrusion, Cyberattaque.org qu’aucun élément ne permet de savoir si la base provient du même accès, et aucun lien entre ZeroBytes et « mica » n’est établi.

L’écart entre lignes et personnes impose la même prudence. Les analystes estiment à environ 9 000 les clients distincts du lot d’août, dont près de 2 500 enfants selon Fuites Infos, et à environ 252 000 les adresses électroniques distinctes du fichier d’octobre (252 054 pour FrenchBreaches, 251 990 dans le titre de Fuites Infos), pour plus de 460 magasins, FrenchBreaches précisant que le nombre de personnes physiques ne peut pas être établi précisément. Sport 2000 n’ayant publié aucun chiffre, cette fiche n’en affiche aucun. Fuites Infos est en outre la seule source à chiffrer les mineurs, avec plus de 110 000 réservations incluant au moins un enfant ou un adolescent.

Chaque réservation associe l’identité et les coordonnées du client, le magasin, les dates de séjour, le matériel loué, l’assurance et les montants réglés ou restant dus, ainsi que, pour chaque skieur, un prénom, un âge ou une tranche d’âge, une taille, une tranche de poids, une pointure et un niveau de pratique. Sport 2000 écarte toute donnée bancaire et tout mot de passe, et le téléphone, mentionné par l’avis « le cas échéant », est absent du fichier d’octobre selon Fuites Infos. Il ne s’agit pas de données sensibles au sens du RGPD, mais l’association d’un volume important, d’informations sur des mineurs et d’une diffusion gratuite, qui rend tout retrait quasi impossible, justifie une gravité élevée. Elle permet des messages d’hameçonnage très crédibles, par exemple une relance pour un solde à régler citant le magasin, les dates de séjour et les prénoms des enfants, adressée à des familles qui préparent leurs vacances d’hiver.

Sport 2000 déclare avoir sécurisé son système, engagé une analyse approfondie de l’origine et de l’étendue de l’intrusion, notifié la CNIL, déposé plainte auprès de la Gendarmerie et informé individuellement les clients concernés. L’entreprise n’a ni attribué l’attaque ni précisé le mode d’accès, et son avis, consulté le 8 octobre 2026, ne mentionne pas la diffusion d’octobre, que Sport 2000 n’a pas confirmée publiquement selon Fuites Infos. Le statut « confirmée » porte donc sur l’intrusion et la publication de données de réservation reconnues par l’enseigne, tandis que le volume et le contenu du fichier d’octobre relèvent de constats d’analystes qu’elle n’a pas validés.

Les clients ayant loué du matériel chez Sport 2000, y compris au nom d’enfants, ont intérêt à se méfier de tout message, appel ou SMS évoquant une réservation, un paiement, un remboursement ou une « confirmation » au nom de Sport 2000, d’Ekosport Rent ou d’un magasin, même lorsque les détails cités paraissent exacts. Il convient de ne cliquer sur aucun lien, de vérifier la demande en saisissant soi-même l’adresse du site officiel ou en contactant le service client, et de se rappeler que l’enseigne indique ne jamais demander de coordonnées bancaires ni de mots de passe par e-mail, SMS ou téléphone. Les droits d’accès, de rectification et d’effacement peuvent être exercés auprès de son délégué à la protection des données, et Cybermalveillance.gouv.fr propose des conseils en cas d’hameçonnage.