Le duo de pirates français ZeroBytes, déjà impliqué dans les affaires de piratage touchant la DGFiP et l’Éducation nationale, a ajouté une nouvelle enseigne à sa liste. Mercredi 19 août, les cybercriminels ont revendiqué, sur un forum spécialisé, une intrusion dans Sport 2000. L’objectif ? Le système interne de réservation « Pilot ». Selon French Breaches, ce sont 17 851 réservations qui auraient été récupérées.
La nouvelle n’a pas encore été confirmée par l’enseigne. Mais la méthode suit un schéma connu : après la mise en vente des données de 678 000 contribuables, ZeroBytes continue d’accumuler les preuves d’effractions. La déclinaison de ces attaques en cascade interroge sur la sécurité des systèmes d’information français, qu’ils soient publics ou privés.
ZeroBytes étend son tableau de chasse : de la DGFiP à Sport 2000
L’histoire se répète. Après avoir frappé l’administration fiscale puis le ministère de l’Éducation nationale, ZeroBytes s’en prend désormais au secteur privé. L’attaque contre Sport 2000 révèle une stratégie rodée : cibler des systèmes de réservation riches en informations personnelles, les extraire, puis les exposer sur des forums spécialisés.
Le système « Pilot » de Sport 2000 n’est pas un simple outil technique. C’est une plateforme où transitent les données de milliers de clients pour la location de matériel de ski et de sports d’hiver. Une intrusion dans une telle infrastructure expose des détails intimes sur les habitudes des consommateurs. La revendication de ZeroBytes, publiée sur un forum, détaille la méthode : l’exploitation d’une fonction d’export présente directement dans le système.
Pilot, le système interne de réservation, mis à nu
Le mode opératoire est d’une simplicité déconcertante. Selon les éléments diffusés, les pirates ont utilisé une fonctionnalité d’export des réservations existante. Ce type de faille n’est pas rare : un outil conçu pour un usage interne se retrouve accessible. Ici, environ 14 500 réservations valides auraient ainsi été extraites sans difficulté.
Les dossiers annulés, au nombre de 3 350, ont demandé un traitement séparé, les pirates affirmant les avoir parcourus un par un pour en récupérer les informations. S’ajoutent 700 anciennes réservations, identifiées avec des références différentes des dossiers récents. Ce travail de patience montre une organisation méthodique, peu pressée, décidée à ne laisser aucun angle mort.
17 851 réservations exfiltrées : ce que révèlent les données
Le chiffre de 17 851 réservations ne correspond pas nécessairement au nombre de clients concernés, une même personne pouvant effectuer plusieurs réservations. Une nuance importante, mais qui ne réduit pas la gravité de l’attaque. Le caractère sensible des informations récupérées est apparu dès la publication d’un exemple de réservation sur le forum.
Les données personnelles collectées par le système Pilot comprennent le nom, le prénom, l’adresse postale, l’adresse e-mail et, lorsqu’il est renseigné, le numéro de téléphone du client. Mais la fuite ne s’arrête pas là. Les dates et la durée du séjour, le magasin Sport 2000 concerné, le statut de la réservation et des références internes sont également présents.
Voici la liste détaillée des informations exposées dans le cadre de cette cyberattaque :
– 🏷️ Nom, prénom et coordonnées complètes du client (adresse, e-mail, téléphone)
– 📅 Dates et durée du séjour réservé
– 🏬 Magasin Sport 2000 concerné par la réservation
– 📌 Statut du dossier : en cours, confirmé, annulé
– 🎿 Équipements loués : caractéristiques, prix, remises appliquées et montant final payé
– 📏 Pointure, taille, poids et niveau de pratique du skieur
Cette liste agit comme un inventaire précis pour un cybercriminel. Elle ne contient pas, a priori, de numéros de carte bancaire, ce qui distingue cette intrusion d’autres piratages du même type. Mais les données restent suffisamment détaillées pour construire des arnaques d’une grande crédibilité.
Données personnelles et risque de phishing ultra-personnalisé
Ce qui rend cette affaire préoccupante, c’est moins le volume que la qualité des données. Une réserve de skieurs avec leurs mensurations, leur niveau, les dates de leurs séjours et le magasin fréquenté représente une mine d’or pour les campagnes d’hameçonnage. Le terme technique est le « spear phishing » : des messages frauduleux extrêmement ciblés.
Imaginez un courriel qui reprend exactement votre dernière location de ski, le modèle de vos skis, les dates de votre séjour à Val Thorens, le montant payé dans le magasin de Bourg-Saint-Maurice. Ajoutez l’adresse du magasin en question et une demande de vérification bancaire. Le taux de réussite d’une telle manœuvre devient redoutable.
Le danger des messages d’arnaque ultra-ciblés
Les arnaques par e-mail ou SMS fonctionnent sur la confiance. Lorsqu’un message repose sur des éléments réels, la victime baisse naturellement sa garde. Un cybercriminel connaissant l’identité d’un client, le magasin où il a effectué sa réservation, les dates de son séjour, le matériel loué ou encore le montant payé peut facilement se faire passer pour Sport 2000.
Dans ce scénario, la marque sert de cheval de Troie. Les clients reçoivent un message semblant provenir de l’enseigne, les invitant à cliquer sur un lien pour consulter une facture ou modifier un mode de paiement. La ressemblance avec une communication commerciale légitime rend la supercherie difficile à détecter. Le risque de phishing devient ainsi bien plus élevé qu’avec des données anonymes achetées en masse.
Une saison de ski sous haute surveillance
L’été touche à sa fin quand cette intrusion est révélée. Les réservations pour la saison d'hiver commencent à se remplir. Cette temporalité n’est probablement pas un hasard. Le secteur des sports d’hiver concentre une clientèle disposant d’un pouvoir d’achat élevé, souvent prête à réserver des équipements haut de gamme.
Les stations de ski françaises ont déjà été confrontées à des piratages du même genre. Intermarché Drive, la Fédération française de ski, plusieurs collectivités des Alpes : les cybercriminels semblent apprécier les acteurs de la montagne. Une explication tient à la valeur des données collectées lors des réservations, qui dépasse la simple adresse e-mail pour toucher au mode de vie.
Cybersécurité : comment les entreprises doivent réagir
Cette nouvelle attaque soulève des questions sur la robustesse des systèmes de réservation des enseignes françaises. Sport 2000 n’a pas encore réagi officiellement, mais l’entreprise doit désormais faire face à une course contre la montre pour sécuriser ses données et prévenir ses clients.
La sécurité informatique ne peut plus se limiter à la protection des sites publics. Les bases de données internes, comme le système Pilot, doivent bénéficier d’une surveillance renforcée. Les fonctions d’export, si pratiques pour les équipes commerciales, constituent des portes dérobées que les pirates connaissent bien.
Pour les clients, la prudence est de mise. Un message de l’enseigne demandant de régler un supplément ou de « réactiver » un compte doit être vérifié par un appel téléphonique direct au magasin. Se fier à l’expéditeur d’un e-mail ne suffit plus.
Quelles leçons tirer de la série d’attaques ZeroBytes ?
La répétition des piratages par le même groupe met en évidence une faille systémique. La DGFiP, l'Éducation nationale, Sport 2000 : les cibles varient, mais la réponse semble toujours aussi lente. Un piratage ne se limite pas à l’extraction de données ; il implique une gestion de crise rapide, des notifications aux victimes et une sécurisation des accès compromis.
Le duo ZeroBytes agit avec une régularité qui défie les tentatives de blocage. Chaque revendication est publiée avec des preuves, des extraits de bases de données, des explications techniques. Cette escalade de la cybercriminalité française n’est pas anodine : elle transforme le piratage en spectacle, chaque victime devenant un trophée.
Face à cette menace, les entreprises ne peuvent plus se contenter d’antivirus. L’audit des systèmes de réservation, le chiffrement des données clients, la limitation des fonctions d’export accessibles depuis l’extérieur, la formation des équipes aux pratiques de hacking : autant de chantiers indispensables. La question n’est plus de savoir si une entreprise subira une intrusion, mais quand.
Après dix ans de classe, d’abord en REP à Vénissieux puis en lycée polyvalent à Villeurbanne, Amine a quitté progressivement l’enseignement en 2021 pour l’édition pédagogique, aux côtés d’éditeurs scolaires et de plusieurs INSPÉ, avant de lancer ce fanzine numérique.