Le Stade Français a confirmé jeudi avoir subi une cyberattaque affectant une partie de son système d’information. Le club a porté plainte et informé les autorités. En face, le groupe Qilin a lancé un compte à rebours le 5 août et publié dix-huit photographies de passeports et de cartes d’identité appartenant à des joueurs, comme preuve de son intrusion. Il réclame une rançon avant le 15 août. Ce qui frappe, au-delà du club touché, c’est la mécanique employée : elle est parfaitement rodée.

Ce qu’est réellement Qilin

Qilin n’est pas une bande de pirates isolés qui aurait choisi un club de rugby au hasard. C’est ce qu’on appelle un rançongiciel en tant que service. Un noyau technique développe et maintient l’outil de chiffrement, l’infrastructure de négociation et le site de publication des données. Des affiliés louent ensuite cet arsenal et se chargent des intrusions, en reversant une part de ce qu’ils encaissent.

Cette organisation explique deux choses. D’abord le volume : ces groupes frappent des dizaines de victimes par mois, dans tous les secteurs, sans logique sectorielle. Ensuite l’apparente professionnalisation : les délais, les pages de négociation, les preuves publiées suivent un script identique d’une victime à l’autre.

La double extorsion, le vrai changement

Pendant longtemps, un rançongiciel se contentait de chiffrer les fichiers. La victime payait pour obtenir la clé de déchiffrement, ou restaurait ses sauvegardes et ne payait rien. Les entreprises ayant fini par sauvegarder correctement, le modèle économique s’est effondré.

La riposte des attaquants s’appelle la double extorsion, et c’est exactement ce qui se joue ici. Avant de chiffrer quoi que ce soit, on exfiltre les données. Le chiffrement paralyse l’activité, mais c’est la menace de publication qui fait le chantage. Restaurer une sauvegarde ne sert alors plus à rien : les données sont déjà parties.

C’est pour cette raison que le Stade Français se retrouve dans une position inconfortable même s’il a pu remettre ses systèmes en route. Payer ne garantit d’ailleurs rien, puisque rien n’oblige un groupe criminel à détruire ce qu’il a copié.

Pourquoi publier dix-huit pièces d’identité

Ce n’est pas de la cruauté gratuite, c’est un outil de négociation. La publication d’un échantillon remplit trois fonctions : prouver que l’intrusion est réelle et non un bluff, démontrer la nature sensible de ce qui a été volé, et installer la pression en montrant à la victime ce qui l’attend à l’échéance.

Le compte à rebours affiché publiquement participe du même mécanisme. Il transforme une négociation privée en événement visible, ce qui ajoute le risque réputationnel au risque opérationnel.

Le vrai perdant n’est pas le club

Un club rachète des serveurs. Un joueur ne rachète pas son identité.

C’est la partie que le mot « cyberattaque » masque, parce qu’il évoque des ordinateurs plutôt que des personnes. Une photo de passeport en clair, ce n’est pas une donnée abstraite. C’est ce qu’il faut, aujourd’hui, pour ouvrir un compte bancaire en ligne à votre nom, souscrire un crédit à la consommation, prendre un abonnement téléphonique ou se présenter à un guichet administratif à votre place.

Et contrairement à une carte bleue, un passeport ne se fait pas opposer. Vous ne pouvez pas appeler un numéro pour l’annuler et en recevoir un nouveau sous huit jours. Le document reste valide des années, et le numéro reste le vôtre. Un joueur touché aujourd’hui peut voir une demande de crédit frauduleuse tomber dans deux ans, sans jamais faire le lien avec l’été 2026.

C’est pour ça que payer ou ne pas payer ne règle pas la question. Même si le club payait, personne ne garantirait que les copies sont détruites. Le fichier est sorti, il ne rentre pas.

Concrètement, qui fait quoi maintenant

Pour le club, deux obligations distinctes du dépôt de plainte. Il doit prévenir la CNIL dans les soixante-douze heures, et prévenir individuellement chaque joueur concerné, parce qu’une fuite de documents d’identité fait courir un risque élevé aux personnes.

Pour les joueurs, la parade est moins spectaculaire mais réelle : surveiller ses relevés bancaires, se méfier des appels et messages se réclamant d’une banque ou d’une administration, et, en cas de doute, faire consigner l’incident. Les usurpateurs commencent rarement par le gros coup, ils testent d’abord.

Un angle mort du sport professionnel

Un club de Top 14 concentre des données que beaucoup d’entreprises de taille comparable n’ont pas : contrats, éléments de rémunération, documents d’identité, informations médicales, coordonnées de mineurs au centre de formation. Les moyens informatiques, eux, sont ceux d’une PME.

C’est ce décalage que ce type d’attaque exploite. Le Stade Français est le premier club de l’élite française à se retrouver publiquement dans cette situation. Il y a peu de raisons de penser qu’il sera le dernier.