Le club parisien de Top 14, le Stade Français, a confirmé être victime d'une cyberattaque, des rapports indiquant que les pièces d'identité des joueurs sont retenues contre rançon.

Les cybercriminels auraient menacé de diffuser des documents relatifs aux joueurs, ayant déjà divulgué des documents identifiables appartenant à 18 joueurs. L'exposition de pièces d'identité telles que des passeports ou des cartes d'identité nationales présente un risque important d'usurpation d'identité et de fraude pour les personnes concernées, une préoccupation amplifiée par le régime français strict de protection des données, qui oblige les organisations à notifier la CNIL, l'autorité nationale de protection des données, en cas de violation grave de données personnelles sans tarder.

« Des mesures immédiates de confinement, d'investigation et de rétablissement ont été mises en œuvre pour sécuriser les systèmes affectés et assurer la continuité des activités », a déclaré le club de rugby français dans un communiqué.

Le Stade Français affrontera les Vodacom Bulls, les Northampton Saints, Bath Rugby et Cardiff Rugby lors de cette année's Investec Champions Cup. Le club est entraîné en partie par l'ancien patron des Harlequins, Paul Gustard, et comptait la saison dernière sur le centre anglais Joe Marchant, qui est depuis retourné en Premiership avant la saison à venir.

Certains rapports ont désigné l'acteur derrière l'attaque comme étant Qilin, un groupe de ransomware de langue russe. Qilin a traditionnellement exigé des paiements de rançon élevés et aurait été responsable du piratage de Synnovis, prestataire de services médicaux du NHS, en 2024. Les opérateurs de ransomware comme Qilin emploient couramment un modèle de « double extorsion », chiffrant les systèmes des victimes tout en les menaçant simultanément de publier les données volées pour accroître la pression afin d'obtenir le paiement, ce qui rend les organisations sportives — dépositaires d'informations contractuelles, médicales et personnelles sensibles — des cibles particulièrement attractives.

Services en ligne non affectés

Les ventes de billets en ligne, la boutique du club au sens large et les sites de merchandising ne sont pas affectés par la violation.

Cette attaque s'inscrit dans une série d'incidents cybernétiques ciblant des organisations sportives au cours de la dernière décennie. En 2021, les Houston Rockets de la NBA ont reçu des menaces de fuite massive de données, tandis que le club de football Ajax a vu ses vulnérabilités web exposées par des cybercriminels plus tôt cette année.

Les Jeux Olympiques ont également été ciblés, en 2018 et en 2026, et la Fédération Française de Rugby a précédemment été victime d'un verrouillage opérationnel causé par un ransomware.

Des rapports de l'industrie en 2023 ont suggéré que le Stade Français, l'un des deux clubs parisiens de Top 14, avait inadvertamment divulgué le code source de son serveur, exposant publiquement des informations qui auraient pu permettre à des acteurs d'apporter des modifications au site web du club.

Le Stade Français a déposé plainte auprès des autorités compétentes avant le retour du Top 14 en septembre, le club devant accueillir Perpignan.