La Fédération suisse de hockey sur glace a confirmé une violation de données après que des dossiers personnels liés à plus de 100 000 personnes associées à ce sport ont été compromis et publiés sur un forum en ligne. La violation de données de la Fédération suisse de hockey sur glace rappelle que les organisations sportives détiennent discrètement d'importants volumes d'informations personnelles, et que les personnes figurant dans ces bases de données ont souvent peu de influence sur la qualité de leur protection.

Le rapport source est bref, et plusieurs détails n'ont pas été rendus publics. Cet article s'en tient à ce qui a été confirmé et se concentre sur ce que les personnes concernées peuvent raisonnablement faire ensuite.

Ce que la Fédération suisse de hockey sur glace a confirmé

Selon le rapport, des données personnelles appartenant à plus de 100 000 individus liés au hockey sur glace suisse ont été compromises par des pirates informatiques, puis publiées sur un forum en ligne. La fédération a reconnu publiquement l'incident.

Les informations disponibles ne précisent pas comment les attaquants se sont introduits, quand l'intrusion a eu lieu, ni si une rançon a été exigée. Elles ne disent pas non plus si les données sont proposées à la vente ou partagées gratuitement. Tant que la fédération n'aura pas publié davantage d'informations, ces questions restent ouvertes, et les lecteurs doivent se méfier de toute affirmation sur l'attaque qui ne peut pas être rattachée à une déclaration officielle.

Qui est concerné et quelles données peuvent être exposées

L'expression « individus associés au hockey sur glace suisse » est large. Une fédération nationale traite généralement avec des joueurs, des entraîneurs, des arbitres, des dirigeants de clubs, des bénévoles, et parfois des supporters ou des acheteurs de billets. Toute personne appartenant à ces groupes pourrait figurer parmi les 100 000 personnes recensées.

Les catégories exactes de données exposées n'ont pas été détaillées dans l'article source. En général, les fédérations sportives peuvent détenir des noms, des coordonnées, des dates de naissance, et des informations de licence ou d'inscription. Comme les spécificités ne sont pas confirmées, l'approche la plus sûre est de supposer que des données d'identité et de contact de base pourraient figurer dans l'ensemble divulgué, et d'attendre que la fédération en dise davantage.

C'est aussi pourquoi l'incident dépasse un seul sport. Les systèmes d'inscription des ligues et des clubs collectent souvent beaucoup d'informations sur de nombreuses années, y compris auprès de jeunes athlètes et de leurs parents. Un seul système compromis peut exposer des personnes qui ne pratiquent plus ce sport depuis longtemps. Pour un contexte plus large sur la manière dont les attaquants ciblent les enceintes et organisations sportives, consultez notre couverture de l'attaque par rançongiciel contre le stade de glace Thialf.

Comment les données divulguées alimentent l'hameçonnage et le bourrage d'identifiants

Une fois que des dossiers personnels atterrissent sur un forum, ils restent rarement au même endroit. D'autres criminels peuvent les copier, les reconditionner et les réutiliser. Deux risques se démarquent pour les personnes concernées par une fuite comme celle-ci.

Hameçonnage ciblé. Si un attaquant connaît votre nom, votre adresse e-mail et votre lien avec le hockey sur glace suisse, il peut rédiger un message qui paraît crédible. Il pourrait se faire passer pour votre club, la fédération, un service de billetterie ou un « avis de sécurité » concernant la violation elle-même. Ces messages vous poussent généralement à cliquer sur un lien, à ouvrir une pièce jointe ou à saisir un mot de passe.

Bourrage d'identifiants. Si les dossiers divulgués contiennent des adresses e-mail, les attaquants peuvent les essayer avec des mots de passe couramment utilisés, ou avec des mots de passe exposés lors de violations antérieures, sur d'autres services tels que la messagerie, les services bancaires et les réseaux sociaux. Cela ne fonctionne que lorsque les personnes réutilisent le même mot de passe à plusieurs endroits. C'est automatisé et peu coûteux, ce qui explique pourquoi c'est si courant.

Aucune de ces attaques ne nécessite que le criminel vous pirate directement. Elles dépendent de votre réaction rapide ou de la réutilisation d'un mot de passe, et ces deux éléments sont sous votre contrôle.

Ce que cela signifie pour vous

Si vous avez déjà joué, entraîné, arbitré, fait du bénévolat ou vous êtes inscrit auprès d'un club de hockey sur glace suisse ou de la fédération, considérez-vous comme potentiellement concerné, même si vous n'avez pas reçu de notification. Les parents de jeunes joueurs devraient faire de même au nom de leurs enfants.

Le risque pratique n'est pas une prise de contrôle spectaculaire de votre vie. C'est une augmentation des messages frauduleux convaincants et des tentatives automatisées de connexion à vos comptes. Quelques mesures prises dès maintenant éliminent la majeure partie de ce risque.

Mesures que les personnes concernées devraient prendre dès maintenant

  • Changez les mots de passe réutilisés. Si vous utilisez le même mot de passe pour votre compte sportif et pour autre chose, changez d'abord les autres, en commençant par la messagerie. Utilisez un mot de passe unique pour chaque service, idéalement stocké dans un gestionnaire de mots de passe.
  • Activez l'authentification multifacteur. Une application d'authentification ou une clé matérielle sur votre messagerie, vos comptes bancaires et vos réseaux sociaux signifie qu'un mot de passe volé ne suffit pas à lui seul.
  • Traitez les messages inattendus avec méfiance. Soyez prudent avec les e-mails, SMS ou appels qui mentionnent la violation, votre club ou la fédération. Ne cliquez pas sur les liens qu'ils contiennent. Rendez-vous directement sur le site officiel ou contactez l'organisation en utilisant des coordonnées auxquelles vous faites déjà confiance.
  • Surveillez les activités inhabituelles. Vérifiez les alertes de connexion et l'activité récente sur vos comptes principaux, et examinez vos relevés bancaires pour tout élément inhabituel.
  • Recherchez les mises à jour officielles. Suivez les communications de la fédération pour obtenir des détails sur les données exposées et ses recommandations.
  • Protégez les comptes des mineurs. Si un enfant est inscrit dans un club, appliquez les mêmes mesures à sa messagerie et à tout compte lié.

Points clés à retenir

La violation de données de la Fédération suisse de hockey sur glace montre la quantité d'informations personnelles que les organismes sportifs collectent et la rapidité avec laquelle elles peuvent tomber entre de mauvaises mains. De nombreux détails ne sont pas encore confirmés, alors évitez les spéculations et fiez-vous aux mises à jour officielles. En attendant, changez tout mot de passe réutilisé, activez l'authentification multifacteur et traitez les messages inattendus avec méfiance. Pour un aperçu plus large de la menace pesant sur le secteur, lisez notre rapport sur l'attaque par rançongiciel contre le stade de glace Thialf.