Fuite de données FFF : trois piratages en deux ans chez les licenciés du football

La fuite de données de la FFF n'est pas un événement unique. La Fédération française de football (FFF) a été piratée trois fois en moins de deux ans. Les incidents datent de mars 2024, février 2025 et novembre 2025. À chaque fois, des données personnelles de licenciés ont été volées.

Ce dossier fait le point sur ces trois incidents et sur les gestes à adopter. Pour les notions de base, lisez notre guide sur la fuite de données. Les autres incidents du monde sportif sont réunis dans notre rubrique sport.

Que s'est-il passé à la FFF ?

Mars 2024 : la première fuite

Le 22 mars 2024, la FFF a appris qu'environ 1,5 million de données de licenciés avaient pu être collectées. C'est son prestataire de sécurité informatique qui l'a alertée. Le parquet de Paris a confirmé ce chiffre (Next).

Les licenciés des saisons 2022-2023 et 2023-2024 étaient concernés. Un pirate affirmait sur un forum détenir les données de « plusieurs millions de licences ». Il disait vouloir les vendre. Ce chiffre n'a pas été confirmé.

Février 2025 : un compte piraté

Le 17 février 2025, la FFF a détecté un nouvel accès non autorisé. Le pirate a utilisé un compte compromis, c'est-à-dire un compte dont les identifiants avaient été volés. La FFF a désactivé ce compte (KultureGeek).

Le logiciel visé gère les données des licenciés. Il gère aussi celles du personnel administratif : salariés et bénévoles des ligues, des districts et de la FFF.

Novembre 2025 : nouvelle intrusion

Le 20 novembre 2025, la FFF a détecté une troisième intrusion. Là encore, le compte d'un agent avait été compromis. Il a permis d'accéder au logiciel de gestion administrative utilisé par les clubs. La fédération a publié un communiqué le 26 novembre 2025 (IT-Connect).

Chronologie

Date	Événement
22 mars 2024	La FFF apprend qu'environ 1,5 million de données de licenciés ont pu être volées.
Mars 2024	Plainte, signalement à la CNIL et ouverture d'une enquête préliminaire à Paris.
17 février 2025	Nouvel accès non autorisé détecté, via un compte compromis.
Février 2025	Plainte déposée. L'ANSSI et la CNIL sont informées.
20 novembre 2025	Troisième intrusion détectée, via le compte compromis d'un agent.
26 novembre 2025	Communiqué de la FFF. Tous les mots de passe des utilisateurs sont réinitialisés.
3 avril 2026	La CNIL place les fédérations sportives parmi ses priorités de contrôle pour 2026.

Quelles données ont fuité ?

Les données diffèrent un peu selon l'incident.

En mars 2024, les données concernées étaient les suivantes (Le Monde Informatique) :

• nom, prénom et sexe ;
• date et lieu de naissance ;
• nationalité ;
• représentant légal, pour les mineurs ;
• adresse postale, adresse e-mail et numéro de téléphone ;
• numéro de licence et club.

En février 2025, la liste était proche. Elle comprenait aussi un numéro interne, une photo et une copie de pièce d'identité.

En novembre 2025, la FFF a cité l'identité, le sexe, la date et le lieu de naissance et la nationalité. S'y ajoutent l'adresse, l'e-mail, le téléphone et le numéro de licencié.

Selon la FFF, les mots de passe et les données bancaires n'ont jamais été touchés. Aucun IBAN (numéro de compte bancaire) n'est en cause. Les données médicales ne l'étaient pas non plus en 2024 et en 2025, selon la fédération.

Le point sensible, ce sont les mineurs. Beaucoup de licenciés sont des enfants. Le nom de leur représentant légal figurait dans les données de 2024. La copie de pièce d'identité, citée en 2025, augmente le risque d'usurpation d'identité.

Combien de personnes sont concernées ?

Pour 2024, le chiffre retenu est d'environ 1,5 million de données de licenciés. Il a été confirmé par le parquet de Paris. Les joueurs professionnels n'étaient pas concernés, selon le parquet.

Pour les incidents de 2025, la FFF n'a pas publié de nombre de personnes touchées. On ne sait pas non plus combien de clubs sont concernés.

Le chiffre de « plusieurs millions de licences », avancé par un pirate en 2024, n'a jamais été confirmé.

Qu'ont fait la FFF et les autorités ?

À chaque incident, la FFF a pris des mesures similaires :

• Coupure de l'accès. Les comptes compromis ont été désactivés. En novembre 2025, tous les mots de passe des utilisateurs ont été réinitialisés.
• Dépôt de plainte. La FFF a porté plainte, notamment en mars 2024 et en février 2025.
• Signalement aux autorités. La CNIL, gendarme des données personnelles, a été informée. L'ANSSI, l'agence nationale de cybersécurité, l'a été en 2025.
• Information des licenciés. La FFF a prévu de prévenir individuellement les personnes concernées.

En 2024, le parquet de Paris a ouvert une enquête préliminaire. Elle a été confiée à la brigade de lutte contre la cybercriminalité de la préfecture de police. La préfecture a aussi mis en ligne un formulaire pour aider les victimes à porter plainte.

Le 3 avril 2026, la CNIL a annoncé ses priorités de contrôle pour l'année. Les fédérations sportives en font partie. La CNIL estime que ce secteur a été « particulièrement visé par les attaques informatiques récentes » (CNIL). Elle vérifiera notamment les mesures de sécurité mises en place.

Aucune sanction de la CNIL visant la FFF n'a été rendue publique à ce jour.

La FFF n'est pas un cas isolé dans le sport. Fin 2025, l'État a aussi subi une fuite liée au Pass'Sport, l'aide à l'inscription en club.

Comment savoir si je suis concerné ?

Vous êtes potentiellement concerné si vous, ou votre enfant, avez eu une licence de football. C'est surtout vrai pour les saisons 2022-2023 et 2023-2024. Les bénévoles et salariés des ligues et districts peuvent aussi être touchés.

1. Cherchez un e-mail de la FFF. Tapez « FFF » ou « Fédération française de football » dans votre messagerie et vos spams.
2. Interrogez votre club. Il peut vous dire si son logiciel de gestion a été touché.
3. Vérifiez votre adresse e-mail. Notre guide pour vérifier si vos données ont fuité présente les outils fiables.

Attention aux faux messages qui vous invitent à « vérifier votre licence ». Passez toujours par le site officiel de la FFF ou par votre club.

Que faire si mes données ont fuité ?

Vos données d'identité et vos coordonnées peuvent servir à des arnaques ciblées. Voici les bons réflexes.

1. Méfiez-vous des messages au nom du football. La FFF a mis en garde contre les messages semblant venir d'elle ou d'un club. Ils peuvent vous demander d'ouvrir un fichier ou de donner un mot de passe. Notre guide pour reconnaître les arnaques après une fuite vous aide à les repérer.
2. Ne donnez jamais vos coordonnées bancaires par e-mail, SMS ou téléphone. Ni la FFF ni votre club ne vous les demanderont ainsi.
3. Prévenez vos enfants. Les jeunes licenciés reçoivent aussi des messages piégés. Expliquez-leur de ne jamais cliquer sur un lien inconnu.
4. Surveillez votre identité. Si une copie de votre pièce d'identité a fuité, surveillez vos comptes et vos courriers. Un crédit ou un abonnement inconnu doit vous alerter.
5. Changez vos mots de passe. Faites-le si vous utilisez le même mot de passe sur plusieurs sites. Utilisez un mot de passe unique par service.
6. Portez plainte en cas de fraude. Gardez les messages reçus. Notre guide pour porter plainte après une fuite détaille les démarches.

Pour un plan d'action complet, consultez notre fiche que faire après une fuite de données. Retrouvez aussi toutes les fuites recensées et notre classement des plus grandes fuites de données en France.

Questions fréquentes

Combien de fois la FFF a-t-elle été piratée ?

La FFF a signalé trois vols de données : en mars 2024, en février 2025 et en novembre 2025. En 2025, les pirates ont utilisé des comptes compromis. Ces comptes donnaient accès au logiciel de gestion des licenciés.

Combien de licenciés sont concernés par la fuite de 2024 ?

Le parquet de Paris a confirmé un chiffre d'environ 1,5 million de données de licenciés. Les saisons 2022-2023 et 2023-2024 étaient visées. Les joueurs professionnels n'étaient pas concernés.

Mes coordonnées bancaires ont-elles été volées ?

Non, selon la FFF. Les mots de passe et les données bancaires ne font pas partie des données volées. Restez toutefois prudent face aux demandes de paiement inattendues.

Les données de mon enfant ont-elles fuité ?

C'est possible s'il était licencié pendant les saisons concernées. En 2024, les données incluaient le représentant légal des mineurs. Expliquez à votre enfant comment repérer un message piégé.

Que fait la CNIL après ces fuites ?

La CNIL a été informée de chaque incident. En avril 2026, elle a placé les fédérations sportives parmi ses priorités de contrôle. Elle vérifiera notamment leurs mesures de sécurité.