Carte de pêche : une troisième fuite revendiquée en quatre ans

Quatorze ans de données dans un même fichier. C’est ce que couvre, de 2012 à 2026, le jeu publié le 15 septembre 2026 par un acteur se faisant appeler « 4me1 » et attribué à cartedepeche.fr, la plateforme officielle d’achat et de renouvellement des cartes de pêche en France.

Ce n’est pas le premier incident annoncé sur cette plateforme. C’est le troisième depuis 2022.

Ce qui est revendiqué

L’échantillon diffusé porte sur environ un millier de personnes, membres de l’AAPPMA de la Basse Vallée de l’Arc. Les catégories visibles, d’après les relevés publics : nom, prénom, date de naissance, ville, code postal, numéro et date de commande, date d’adhésion, indicateurs de statut d’adhésion et indicateur de présence d’une photo.

Un échantillon d’un millier de lignes ne dit rien du volume total prétendument détenu. C’est la règle du genre : l’extrait sert à prouver la marchandise, pas à la mesurer.

Ni la Fédération nationale de la pêche en France ni la plateforme n’ont confirmé publiquement ce nouvel épisode au moment où nous écrivons. Le statut établi est donc : revendiqué par un tiers, sans confirmation de l’organisation.

Trois incidents, une même plateforme

L’historique est ce qui rend l’affaire sérieuse.

Le 8 septembre 2022, cartedepeche.fr avait déjà été visé, avec une compromission potentielle de données d’adhérents et d’informations concernant certaines structures et dépositaires. Le 22 décembre 2025, un accès non autorisé à certaines données de la plateforme avait été détecté et annoncé par la FNPF.

Et plusieurs acteurs différents ont revendiqué des données de cartedepeche.fr à quelques semaines d’intervalle en 2026.

Deux lectures possibles, et aucune n’est rassurante. Soit un même point d’accès reste exploitable et permet des extractions successives. Soit un jeu de données ancien circule, se recompose et se republie sous plusieurs signatures. Les observatoires qui ont suivi le dossier posent la question sans la trancher ; nous ne la trancherons pas non plus.

Ce que l’on peut dire, en revanche, c’est qu’une organisation qui a connu trois annonces d’incident en quatre ans a un problème de fond, et que ce problème n’est pas la malchance.

La date de naissance, pièce maîtresse

À première vue, ces données sont anodines. Nom, ville, date d’adhésion : rien de bancaire, rien de médical.

La date de naissance change cette évaluation. Associée à un nom et à une commune, elle sert de clé de rapprochement entre fichiers d’origines différentes. C’est ce qui transforme une collection de fuites banales en profil exploitable. Un attaquant qui dispose d’un fichier de pêcheurs et d’un fichier de clients d’un opérateur peut lier les deux sur ces trois colonnes, et reconstituer un dossier bien plus complet que chacun des deux pris séparément.

C’est aussi la donnée qui sert aux questions de vérification d’identité, chez un opérateur téléphonique ou un service client.

Le second point concerne les mineurs. La pêche est une activité familiale ; les cartes « découverte » et « jeune » sont délivrées à des enfants. Un fichier d’adhésion couvrant 2012 à 2026 contient donc, selon toute vraisemblance, des dates de naissance de personnes qui étaient mineures au moment de l’inscription. Le considérant 38 du RGPD rappelle que les enfants méritent une protection spécifique de leurs données. Nous ne pouvons pas dire quelle proportion du fichier est concernée, et nous n’avons consulté aucune donnée pour le vérifier.

Ce que doit faire une AAPPMA

Une association agréée de pêche est souvent gérée par des bénévoles. Elle n’a ni service informatique ni délégué à la protection des données. Elle n’en est pas moins, dans bien des cas, responsable du traitement de ses adhérents au sens de l’article 4, point 7, du RGPD, la plateforme nationale jouant le rôle de sous-traitant au sens du point 8.

Cela veut dire, très concrètement, que si la fuite est confirmée, c’est le président de l’association qui doit notifier la CNIL sous 72 heures au titre de l’article 33, et informer ses adhérents si le risque est élevé, au titre de l’article 34. Pas la fédération à sa place, sauf si une répartition contraire est écrite dans le contrat qui les lie. Le mécanisme est détaillé dans notre article sur le prestataire, maillon faible.

Ce qu’un bureau d’AAPPMA peut faire cette semaine :

• Écrire à la fédération pour demander si les données de l’association figurent dans le périmètre, et obtenir une position écrite sur qui notifie quoi.
• Relire le contrat ou la convention qui encadre l’usage de la plateforme, et y chercher la clause de sous-traitance prévue à l’article 28 du RGPD. Si elle n’existe pas, c’est le premier sujet à ouvrir.
• Prévenir les adhérents par le canal habituel, en disant ce que l’association ne demandera jamais : un paiement par lien, un renouvellement urgent, des coordonnées bancaires par message.

Pour un pêcheur concerné

Rien ne se rattrape sur les données elles-mêmes. Ce qui reste utile est de savoir à quoi ressemblera la suite.

Le scénario probable est un message de renouvellement de carte. Il citera votre nom, votre AAPPMA, peut-être votre numéro de commande, et proposera un lien de paiement. Il arrivera au bon moment de l’année, parce que les dates d’adhésion figurent dans le fichier.

Un message juste sur tous ces points n’est pas pour autant authentique. Le renouvellement se fait en tapant soi-même l’adresse de la plateforme officielle, jamais en suivant un lien reçu. Cybermalveillance.gouv.fr recommande de recontacter l’organisme par ses coordonnées officielles en cas de doute.

L’intelligence artificielle n’apparaît nulle part dans la collecte de ces données, autant que l’on sache. Elle apparaît dans ce qui suit : rédiger mille relances distinctes, chacune citant la bonne association et la bonne date, ne demande plus ni temps ni maîtrise du français. L’ANSSI note dans son Panorama de la cybermenace 2025 que ces outils améliorent la quantité et l’efficacité des attaques. Le détail est dans notre article sur les données fiscales volées à la DGFiP.

Comprendre ce qu’un fichier volé permet de faire, c’est l’objet de notre formation Cybersécurité pour tous ; nos autres parcours figurent sur la page cybersécurité. DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480 — cet enregistrement ne vaut pas agrément de l’État —, et aucun financement OPCO, CPF ou France Travail n’est mobilisable à ce jour.

Une question pour les fédérations sportives et de loisirs qui liront ceci : pourquoi conservez-vous les adhésions de 2012 ?

Sources

• FrenchBreaches, alerte « Carte de pêche », 15 septembre 2026, statut « Revendiquée » : pseudonyme « 4me1 », période 2012-2026, catégories de données de l’échantillon, AAPPMA de la Basse Vallée de l’Arc.
• Cyberattaque.org, « CarteDePeche.fr encore visé par une cyberattaque : des données de pêcheurs de 2012 à 2026 diffusées », 15 septembre 2026 : volume de l’échantillon, revendications multiples en 2026, question du point d’accès toujours exploitable.
• FrenchBreaches, alerte « CarteDePeche.fr » antérieure : incident du 8 septembre 2022 et accès non autorisé annoncé par la FNPF le 22 décembre 2025.
• RGPD (règlement (UE) 2016/679), articles 4, 28, 33 et 34, et considérant 38.
• ANSSI, Panorama de la cybermenace 2025, 11 mars 2026.
• Cybermalveillance.gouv.fr, fiche « Hameçonnage », consultée le 16 septembre 2026.
• Aucune confirmation publique de la FNPF ni de cartedepeche.fr trouvée au 16 septembre 2026. Aucun site de revendication ni aucune donnée volée n’a été consulté pour cet article.