Swiss Basketball, la fédération suisse de basketball, a confirmé le 31 octobre 2026 un vol de données touchant ses licenciés, via sa plateforme Basketplan. Un utilisateur d'un forum de pirates affirme avoir exporté un extranet de la fédération. Selon le site alémanique Inside IT, la plateforme French Breaches y a compté 52'344 entrées, décrites comme concernant des collaborateurs : noms, dates de naissance, adresses. C'est la deuxième fédération sportive suisse touchée en une semaine.
Ce que Swiss Basketball confirme
La fédération a publié le 31 octobre 2026 une « information destinée aux licenciés de Swiss Basketball » sur son site. Elle y reconnaît « un incident de sécurité impliquant des données personnelles de ses licenciés via Basketplan ».
L'incident est survenu malgré des mesures ajoutées, comme la double authentification, précise le communiqué. La fédération dit ne pas disposer encore de toutes les informations sur l'origine et l'étendue de l'incident.
Elle affirme que les mots de passe, les données bancaires et les photos n'ont pas été volés. Elle travaille avec ses prestataires informatiques et les autorités pour clarifier les circonstances. Le vol de données a été communiqué à l'autorité fédérale de cybersécurité, l'Office fédéral de la cybersécurité (OFCS).
Selon Inside IT, aucun cas concret d'utilisation abusive des données n'était connu le 2 novembre 2026.
Ce que revendique le pirate, selon French Breaches
Le récit de l'attaque vient d'un forum de pirates. Un utilisateur y affirme avoir obtenu l'accès à un extranet de la fédération et en avoir exporté les données. French Breaches, une plateforme qui recense les fuites de données, a ensuite analysé les fichiers publiés, rapporte Inside IT.
Son décompte donne une idée du contenu :
- 52'344 entrées décrites par Inside IT comme concernant des collaborateurs, avec des noms, des dates de naissance, des adresses, des numéros de téléphone et des adresses e-mail ;
- plus de 6000 champs remplis avec un numéro AVS dans le fichier des licenciés ;
- environ 36'000 autres entrées liées à la comptabilité et à la gestion des licences ;
- 21'648 entrées dont la date de naissance correspond à une personne de moins de 18 ans.
Ce dernier chiffre demande une nuance. French Breaches l'a calculé à partir des dates de naissance exploitables. Il ne correspond pas forcément à autant de mineurs différents.
| Point | Revendiqué ou analysé par des tiers | Confirmé par Swiss Basketball |
|---|---|---|
| Accès | Export d'un extranet de la fédération | Incident de sécurité via Basketplan |
| Volume | 52'344 entrées, selon French Breaches | Étendue encore inconnue |
| Données | Identité, coordonnées, numéros AVS | Pas de mots de passe, de données bancaires ni de photos |
| Mineurs | 21'648 entrées de moins de 18 ans | Non mentionné |
Notre analyse : le communiqué de la fédération dit ce qui n'a pas été volé. Il ne dit rien des dates de naissance ni des numéros AVS que French Breaches dit avoir trouvés.
Après le hockey, une deuxième fédération sportive touchée
Quatre jours plus tôt, la Swiss Ice Hockey Federation (SIHF) avait écrit aux personnes concernées par la fuite de données du portail MySIHF. Selon Inside IT, 540'000 enregistrements et des informations sur environ 87'000 personnes y ont été dérobés.
Les deux cas se ressemblent sur un point. Dans les deux fédérations, les données touchent l'identité et les coordonnées des membres, sans mots de passe selon elles. La SIHF avait toutefois annoncé l'incident au Préposé fédéral à la protection des données et à la transparence (PFPDT), selon l'agence Keystone-ATS citée par 2clics.
Le schéma rappelle aussi le cas de TCS Camping. Après le vol de données chez TCS Camping, des escrocs ont écrit à des clients sur WhatsApp avec de vraies informations de réservation.
Que faire si vous êtes licencié de Swiss Basketball ?
Le risque principal est l'hameçonnage ciblé. La fédération invite ses licenciés à se méfier des messages qui demandent des informations personnelles ou contiennent des liens inhabituels.
L'OFCS décrit trois formes de ces arnaques sur son site :
- par e-mail, l'hameçonnage mène vers un faux site, souvent au nom d'une entreprise connue : ne cliquez jamais sur le lien ;
- par téléphone, le vishing pousse la victime à agir dans son « propre intérêt », avec des numéros souvent masqués ou falsifiés : interrompez l'appel ;
- par SMS, le smishing peut s'afficher dans le fil des vrais messages d'une entreprise, car le numéro d'expéditeur est falsifié.
Notre analyse : un message frauduleux pourra citer votre nom, votre date de naissance ou votre club. Ces détails ne prouvent pas qu'il vient de la fédération. Une demande de paiement ou de données mérite une vérification auprès du club, par un numéro connu.
Une partie des entrées concernerait des mineurs. Les parents de jeunes licenciés ont donc intérêt à leur transmettre ces consignes. Un message suspect peut être signalé à l'OFCS, qui reçoit les annonces volontaires de la population.
Pour les clubs, le cas rappelle l'intérêt de la sensibilisation au hameçonnage des bénévoles, et d'un plan de réponse aux cyberattaques écrit à l'avance.
Fuite de données en Suisse : ce que la nLPD impose
Le devoir d'annoncer les violations de la sécurité des données est une nouveauté de la loi fédérale sur la protection des données (LPD, ou nLPD), selon le PFPDT. Il figure à son article 24.
L'art. 5, let. h, de la loi définit la violation. Il y a violation, notamment, quand des données personnelles sont divulguées ou rendues accessibles à des personnes non autorisées. L'art. 24 fixe deux obligations pour le responsable du traitement :
- annoncer la violation au PFPDT lorsqu'elle entraîne un « risque vraisemblablement élevé » pour les personnes concernées (al. 1) ;
- informer les personnes concernées dans les cas prévus par l'al. 4.
Le PFPDT a publié le 7 février 2025 un guide qui précise ces notions. Il propose aussi un formulaire en ligne, « DataBreach », pour transmettre les annonces.
Deux guichets fédéraux coexistent. Le PFPDT veille aux données personnelles ; l'OFCS traite l'incident sous l'angle technique. Depuis le 1er avril 2025, les exploitants d'infrastructures critiques doivent signaler leurs cyberincidents à l'OFCS ; pour une PME, ce signalement reste volontaire.
Le communiqué de Swiss Basketball mentionne l'autorité de cybersécurité, mais pas le PFPDT. Le Préposé, Adrian Lobsiger, avait compté 455 annonces de violation depuis le début de 2026, contre 343 sur toute l'année 2025. Il a ouvert le 23 octobre 2026 une enquête sur PK Softech, fournisseur de logiciels de caisses de pension.
Ce qu'on ne sait pas encore
- Si Swiss Basketball a annoncé l'incident au PFPDT : son communiqué du 31 octobre 2026 ne le dit pas.
- Le nombre réel de personnes touchées, et la part de mineurs, que la fédération n'a pas chiffrés.
- Le lien entre l'extranet cité par le pirate et Basketplan, ainsi que la manière dont la double authentification a été contournée.
Sources
- Inside IT, « Datenleck bei Swiss Basketball », 2 novembre 2026
- Swiss Basketball, « Information destinée aux licenciés de Swiss Basketball », 31 octobre 2026
- Office fédéral de la cybersécurité, « Hameçonnage (Phishing), Vishing, Smishing »
- PFPDT, « La nouvelle loi fédérale sur la protection des données du point de vue du PFPDT »
