La Swiss Ice Hockey Federation (SIHF), la fédération suisse de hockey sur glace, a subi une fuite de données sur son portail MySIHF. Entre le 17 et le 19 octobre 2026, une personne non autorisée s'est connectée avec les identifiants d'un utilisateur et a consulté des données personnelles. Le 26 octobre, la fédération a constaté que ces données étaient proposées à la vente sur un forum en ligne. Elle a corrigé la faille le même jour, selon ICTjournal.
Swiss Ice Hockey : ce qui s'est passé sur MySIHF
MySIHF est le portail central de la fédération pour l'administration et l'organisation des matchs, selon le site spécialisé Netzwoche. C'est là que l'intrus est entré, avec un compte existant. La SIHF a donné les détails dans un message aux personnes potentiellement concernées, cité par l'agence Keystone-ATS dans une dépêche publiée par Plattform J le 27 octobre 2026.
| Date | Ce qui s'est passé |
|---|---|
| 17 au 19 octobre 2026 | Une personne non autorisée utilise les identifiants d'un utilisateur pour accéder aux données de MySIHF. |
| 26 octobre 2026 | La SIHF découvre que des informations de MySIHF sont en vente sur un forum. Elle bloque l'accès détourné et corrige la faille. |
| 27 octobre 2026 | La fédération écrit aux personnes potentiellement concernées. |
Notre calcul : sept jours séparent la fin de l'accès, le 19 octobre, de sa découverte, le 26 octobre. La découverte n'est pas venue d'une alerte interne connue, mais de la mise en vente des données.
La fédération a aussi informé le Préposé fédéral à la protection des données et à la transparence (PFPDT). Elle a annoncé son intention de déposer une plainte pénale, selon Keystone-ATS.
Quelles données personnelles sont concernées ?
Selon le message de la SIHF, les données dérobées peuvent comprendre :
- les noms et les dates de naissance ;
- les adresses postales et les adresses e-mail ;
- les numéros de téléphone ;
- les photos de profil ;
- l'appartenance à des clubs et à des équipes.
Les mots de passe ne font pas partie du lot, précise la fédération. Elle souligne en revanche que les données circulent désormais sur internet et ne peuvent plus être récupérées.
Notre analyse : ce lot ne contient ni données bancaires ni mots de passe. Mais il réunit, pour une même personne, son identité, ses coordonnées et son club. C'est exactement la matière d'un message frauduleux crédible.
Ce que la loi sur la protection des données exige
La loi fédérale sur la protection des données (LPD, souvent appelée nLPD depuis sa révision) définit la violation de la sécurité des données à son art. 5, let. h. Il y a violation, notamment, quand des données personnelles sont divulguées ou rendues accessibles à des personnes non autorisées. Le cas décrit par la SIHF correspond à cette définition.
L'art. 24 LPD fixe ensuite deux obligations pour le responsable du traitement :
- annoncer la violation au PFPDT lorsqu'elle entraîne un « risque vraisemblablement élevé » pour les personnes concernées (art. 24, al. 1) ;
- informer les personnes concernées dans les cas prévus par l'art. 24, al. 4.
Le PFPDT a publié le 7 février 2025 un guide qui précise ces deux notions. Il met aussi à disposition un formulaire en ligne, « DataBreach », pour transmettre les annonces de manière sécurisée. La SIHF a emprunté les deux voies : elle a informé le Préposé et écrit aux personnes potentiellement touchées.
Ces annonces se multiplient. Le Préposé Adrian Lobsiger a reçu 455 annonces de violation depuis le début de 2026, contre 343 pour toute l'année 2025. Il a aussi ouvert une enquête formelle sur le prestataire PK Softech, après l'attaque qui a touché la caisse de pension de Zurich. Selon lui, le point faible est rarement la technologie : dans la grande majorité des cas, il s'agit d'une erreur humaine.
Notre analyse : l'accès à MySIHF est passé par les identifiants d'un utilisateur, ce qui rejoint ce constat. La fédération évoque toutefois aussi une faille de sécurité, qu'elle a corrigée sans la décrire publiquement.
Quels réflexes pour les personnes concernées ?
La SIHF met en garde contre des tentatives d'hameçonnage (phishing) par e-mail, par SMS ou par téléphone. C'est le principal risque qu'elle cite.
Notre analyse : un message frauduleux pourra citer votre nom, votre date de naissance, votre club ou votre équipe. Ces détails ne prouvent donc plus qu'il vient de la fédération ou du club. Une demande inhabituelle reçue par ces canaux mérite une vérification par un autre moyen, par exemple un appel au club sur un numéro connu.
Les clubs, eux, gèrent des comptes sur le portail. Un seul compte détourné a suffi pour ouvrir l'accès aux données. Ils peuvent profiter de l'incident pour rappeler à leurs bénévoles les bases de la sensibilisation au hameçonnage.
Ce qu'on ne sait pas encore
- Le nombre de personnes touchées : le message de la SIHF relayé par la presse ne le chiffre pas, ni leur répartition entre joueurs, entraîneurs, arbitres et dirigeants de clubs.
- Comment les identifiants de l'utilisateur ont été obtenus, et la nature de la faille corrigée le 26 octobre 2026.
- Les suites : le dépôt effectif de la plainte pénale annoncée et la réaction du PFPDT.
Sources
- ICTjournal, « En bref : le hockey suisse face à une fuite », 30 octobre 2026
- Plattform J (Keystone-ATS), « Hacker greifen Schweizer Eishockeyverband an », 27 octobre 2026
- Netzwoche, « Hacker klauen Daten des Schweizer Eishockeyverbands », 28 octobre 2026
- PFPDT, guide sur la notification des violations de la sécurité des données, 7 février 2025
