Fuite de données Pass'Sport : 3,5 millions de foyers concernés

La fuite de données Pass'Sport a été confirmée le 19 décembre 2025. C'est le ministère des Sports, de la Jeunesse et de la Vie associative qui l'a annoncée. Les données de 3,5 millions de foyers ont été volées dans l'un de ses systèmes informatiques. Le fichier concerne des bénéficiaires du Pass'Sport.

Ce dossier présente les faits vérifiés et les bons réflexes. Pour les notions de base, lisez notre guide sur la fuite de données. Les incidents qui touchent l'État sont réunis dans notre rubrique administrations.

Qu'est-ce que le Pass'Sport ?

Le Pass'Sport est une aide de l'État créée en 2021. Elle prend en charge tout ou partie de l'inscription dans un club de sport. Son montant est de 70 euros (IT-Connect).

Selon le gouvernement, plus de 5,2 millions de jeunes en ont bénéficié depuis sa création. Ils étaient plus de 1,6 million en 2024 (Assemblée nationale). L'aide est versée aux familles modestes. Elle repose sur des échanges de données avec d'autres organismes, comme la CAF.

Que s'est-il passé avec le Pass'Sport ?

Tout a commencé par une fausse piste. Le 17 décembre 2025, un pirate a affirmé détenir un fichier de 22 millions de lignes. Il l'attribuait à la Caisse d'allocations familiales (CAF).

Le 18 décembre, la CAF a démenti tout piratage. Elle a affirmé que « notre système d'information n'a jamais été piraté ». Selon elle, les données semblaient venir d'autres services publics (Next).

Le 19 décembre 2025, le ministère des Sports a publié un communiqué. Il y reconnaît une « exfiltration de données » (un vol de données) dans « l'un de ses systèmes d'information ». Il chiffre le nombre de foyers touchés à 3,5 millions.

Le communiqué ne détaille pas le système visé. Plusieurs médias spécialisés relient pourtant la fuite au Pass'Sport. Le service Have I Been Pwned, qui recense les fuites, l'a classée sous ce nom (Have I Been Pwned).

Chronologie

Date	Événement
3 novembre 2025	Date de l'intrusion, selon des spécialistes cités par la presse. Elle n'a pas été confirmée officiellement.
17 décembre 2025	Un pirate revendique un fichier de 22 millions de lignes, qu'il attribue à la CAF.
18 décembre 2025	La CAF dément toute intrusion dans ses systèmes.
19 décembre 2025	Le ministère des Sports confirme un vol de données touchant 3,5 millions de foyers.
Décembre 2025	Le ministère annonce une plainte et une notification à la CNIL sous 72 heures.
18 janvier 2026	Have I Been Pwned ajoute la fuite Pass'Sport à sa base de données.

Quelles données ont fuité ?

Le ministère n'a pas publié de liste détaillée des données volées. Have I Been Pwned a analysé le fichier. Il y recense les données suivantes :

• nom et prénom ;
• adresse e-mail ;
• numéro de téléphone ;
• adresse postale ;
• genre.

Aucun mot de passe, numéro de sécurité sociale ou IBAN (numéro de compte bancaire) n'a été signalé parmi ces données.

Le fichier pèserait environ 15 Go, selon la presse spécialisée. Il contiendrait plus de 22 millions de lignes. Ce chiffre ne correspond pas à 22 millions de personnes. Le fichier regroupe plusieurs années d'historique. Une même famille peut donc apparaître sur plusieurs lignes.

Le risque principal tient au profil des personnes touchées. Le Pass'Sport vise des familles modestes et des jeunes. Un escroc peut s'en servir pour proposer une fausse aide ou un faux remboursement.

Combien de personnes sont concernées ?

Le chiffre officiel est de 3,5 millions de foyers. Il a été donné par le ministère des Sports.

Have I Been Pwned compte environ 6,4 millions d'adresses e-mail dans le fichier. Le service indique que 71 % d'entre elles figuraient déjà dans d'autres fuites. Un foyer peut avoir plusieurs adresses e-mail, ce qui explique l'écart.

Le chiffre de 22 millions, avancé au départ, correspond au nombre de lignes du fichier. Il ne s'agit pas d'un nombre de personnes.

Qui est derrière l'attaque ?

Aucun auteur n'a été identifié officiellement. Selon des spécialistes cités par Clubic, l'attaque aurait été menée par un groupe nommé Dumpsec. Ses membres se seraient fait passer pour une association afin d'exploiter une faille.

Ces éléments viennent des pirates eux-mêmes ou de chercheurs. Ils n'ont pas été confirmés par le ministère ni par la justice.

Qu'ont fait le ministère des Sports et les autorités ?

Le ministère a annoncé plusieurs mesures dans son communiqué du 19 décembre 2025 (Le Monde Informatique) :

• Mobilisation technique. Des équipes spécialisées ont évalué l'ampleur de la fuite et pris des mesures pour la stopper.
• Dépôt de plainte auprès des autorités compétentes.
• Notification à la CNIL dans les 72 heures, comme l'exige le RGPD (le règlement européen sur les données personnelles).
• Information des foyers. Le ministère s'est engagé à prévenir les 3,5 millions de foyers. Il a promis des recommandations de sécurité.

Cette fuite est arrivée quelques jours après une cyberattaque contre le ministère de l'Intérieur. Elle s'inscrit dans une série d'attaques contre le monde du sport. La Fédération française de football a, par exemple, été piratée plusieurs fois.

En avril 2026, la CNIL a placé les fédérations sportives parmi ses priorités de contrôle (CNIL). Aucune sanction visant le ministère pour cette fuite n'a été rendue publique à ce jour.

Pour comprendre pourquoi les services publics sont visés, lisez notre dossier sur les fuites de données dans les collectivités et administrations.

Comment savoir si je suis concerné ?

Vous êtes potentiellement concerné si votre foyer a bénéficié du Pass'Sport depuis 2021.

1. Surveillez votre messagerie. Le ministère a prévu d'informer les foyers concernés. Cherchez « Pass'Sport » ou « ministère des Sports » dans vos e-mails et vos spams.
2. Vérifiez votre adresse e-mail. La fuite est recensée par Have I Been Pwned. Notre guide pour vérifier si vos données ont fuité explique la méthode.
3. Pensez aux autres adresses du foyer. Un parent et un jeune peuvent avoir chacun leur adresse.

Méfiez-vous des messages qui proposent de « vérifier votre dossier Pass'Sport » via un lien. Passez toujours par les sites officiels en .gouv.fr.

Que faire si mes données ont fuité ?

Vos coordonnées peuvent servir à des arnaques ciblées. Voici les bons réflexes.

1. Méfiez-vous des fausses aides. Un escroc peut annoncer un nouveau Pass'Sport ou un remboursement. Il vous demandera ensuite vos coordonnées bancaires. L'État ne les demande jamais par SMS ou par e-mail.
2. Apprenez à repérer le phishing. L'hameçonnage (phishing) imite un organisme connu pour vous piéger. Notre guide pour reconnaître les arnaques après une fuite donne des exemples concrets.
3. Ne rappelez pas un numéro inconnu. Un faux agent peut se présenter comme employé du ministère ou de la CAF. Raccrochez et contactez l'organisme avec ses coordonnées officielles.
4. Prévenez les jeunes du foyer. Ils sont souvent visés par des SMS piégés. Expliquez-leur de ne jamais cliquer sur un lien inattendu.
5. Changez vos mots de passe réutilisés. Les mots de passe n'ont pas été signalés dans cette fuite. Mais votre e-mail circule déjà dans d'autres fuites.
6. Portez plainte en cas d'escroquerie. Gardez les messages reçus. Notre guide pour porter plainte après une fuite détaille les démarches.

Pour un plan d'action complet, consultez notre fiche que faire après une fuite de données. Retrouvez aussi toutes les fuites recensées en France et notre classement des plus grandes fuites de données en France.

Questions fréquentes

La CAF a-t-elle été piratée ?

Non, selon la CAF. Elle a démenti toute intrusion dans ses systèmes le 18 décembre 2025. C'est le ministère des Sports qui a confirmé le vol de données le lendemain.

Combien de foyers sont concernés par la fuite Pass'Sport ?

Le ministère des Sports parle de 3,5 millions de foyers. Have I Been Pwned compte environ 6,4 millions d'adresses e-mail. Un même foyer peut avoir plusieurs adresses.

Quelles données du Pass'Sport ont été volées ?

Selon Have I Been Pwned, il s'agit des noms, adresses e-mail, numéros de téléphone, adresses postales et genres. Aucune donnée bancaire n'a été signalée. Le ministère n'a pas publié de liste détaillée.

Mes coordonnées bancaires sont-elles en danger ?

Aucun IBAN ni numéro de carte n'a été signalé dans ce fichier. Le danger vient surtout des arnaques. Un escroc peut utiliser vos coordonnées pour vous soutirer vos informations bancaires.

Je n'ai pas reçu de message du ministère. Suis-je tranquille ?

Pas forcément. Un message peut avoir été classé en spam. Si votre foyer a touché le Pass'Sport, restez vigilant face aux messages qui parlent de sport ou d'aides.