AFTT et FRBTT : un pirate revendique 1,69 Go de données et plus de 66 000 adhérents Un pirate se présentant sous le pseudonyme « Venus1337 » revendique une compromission visant l’AFTT (Aile Francophone de Tennis de Table) et la FRBTT (Fédération Royale Belge de Tennis de Table). L’auteur affirme avoir obtenu environ 1,69 Go de données et mentionne 66 852 adhérents, 17 441 utilisateurs ainsi que des comptes administrateurs de clubs. La publication affirme que l’accès aurait été obtenu après l’exploitation d’une vulnérabilité d’exécution de code à distance (RCE) liée à un mécanisme d’envoi de fichiers insuffisamment sécurisé. Selon le récit du pirate, cette vulnérabilité lui aurait permis d’obtenir un accès non autorisé au serveur web avant d’accéder aux bases de données SQL. Les échantillons publiés font notamment apparaître des noms, prénoms, numéros d’affiliation, clubs, informations sur des adhérents, utilisateurs et sanctions sportives. :::embed ::: Ces informations proviennent des déclarations du pirate et des échantillons qu’il a publiés. L’origine technique, l’étendue de la compromission et les volumes annoncés n’ont pas été confirmés indépendamment. image L’AFTT et la FRBTT visées par une fuite de données Un utilisateur utilisant le pseudonyme « Venus1337 » a publié sur un forum cybercriminel un sujet intitulé : « AFTT & FRBTT - 66,852 & 1,69go » La publication vise deux organisations belges liées au tennis de table : • l’AFTT, Aile Francophone de Tennis de Table ; • la FRBTT, Fédération Royale Belge de Tennis de Table. L’auteur revendique notamment : • 66 852 adhérents ; • 2 080 fichiers ; • 17 441 utilisateurs ; • 87 comptes administrateurs de clubs avec mot de passe, selon ses affirmations ; • environ 1,69 Go de données. Il n’est pas possible d’établir à partir de ces seuls chiffres si les différentes catégories se chevauchent ni combien de personnes physiques uniques seraient réellement concernées. Une vulnérabilité RCE revendiquée comme point d’entrée Contrairement à de nombreuses publications qui se limitent à annoncer la possession d’une base de données, l’auteur fournit ici une explication concernant la méthode qu’il affirme avoir utilisée. Le pirate déclare avoir découvert une vulnérabilité critique de type : Remote Code Execution (RCE) Il attribue cette vulnérabilité à un mécanisme d’upload de fichiers insuffisamment sécurisé. Selon son récit, cette faille lui aurait permis d’obtenir un accès non autorisé au serveur web et d’y déployer un shell. Il affirme ensuite avoir utilisé cet accès pour atteindre les bases de données SQL. Ce scénario technique constitue une revendication du pirate. Les captures disponibles ne permettent pas de confirmer indépendamment l’existence de la vulnérabilité, son exploitation effective ou les différentes étapes décrites. Des identifiants de base de données auraient été exposés L’auteur affirme également avoir découvert les identifiants permettant d’accéder à la base de données directement dans un fichier de configuration du serveur. Selon ses déclarations, ces identifiants auraient été stockés en dur dans un fichier nommé : secret.php Le pirate présente cette situation comme une mauvaise configuration de sécurité ayant facilité l’accès aux bases SQL après la compromission initiale du serveur. La publication ne permet toutefois pas de vérifier indépendamment le contenu de ce fichier ni de déterminer si les identifiants concernés sont toujours valides. Des comptes administrateurs de clubs revendiqués L’un des éléments les plus sensibles de la revendication concerne les comptes utilisés pour administrer certains clubs. Le pirate affirme avoir identifié les identifiants et mots de passe de plusieurs administrateurs de clubs. La publication annonce : 87 comptes administrateurs de clubs avec mot de passe Selon l’auteur, certains mots de passe auraient été stockés en clair. Cette affirmation est particulièrement sensible, mais doit être distinguée de ce qui peut être directement confirmé dans les échantillons visibles. Les captures examinées ne permettent pas d’établir de manière indépendante : • que les 87 comptes existent effectivement ; • que tous disposent de privilèges administratifs ; • que les mots de passe sont réellement stockés en clair ; • que ces identifiants sont encore valides ; • ou qu’ils permettent toujours d’accéder aux systèmes concernés. Plus de 66 000 adhérents revendiqués La publication mentionne un ensemble représentant : 66 852 adhérents Un échantillon présenté sous le nom adherents.jsonl montre des enregistrements structurés contenant différentes informations relatives à des membres. Parmi les champs visibles figurent notamment : • un numéro d’affiliation ; • un nom ; • un prénom ; • une classe ou catégorie sportive ; • le club associé. L’échantillon permet donc de relier l’identité d'un adhérent à son numéro d’affiliation, son classement et son club. Le chiffre de 66 852 reste cependant celui annoncé par le pirate et ne permet pas, à lui seu
Fédération Royale Belge de Tennis de Table : piratage et fuite de données — ce que l’on sait, que faire
