Un secrétaire de club ouvre FBI V2 un lundi soir pour valider des licences, et découvre qu’un ancien dirigeant, parti depuis deux saisons, dispose toujours d’un accès complet à l’extranet FFBB. Ce scénario n’a rien d’exceptionnel. La FFBB a elle-même publié un article confirmant un accès non autorisé à ses données licenciés, preuve que la menace sur les informations personnelles gérées via FBI V2 est bien réelle.
Pour les clubs de basketball en France, sécuriser l’extranet fédéral ne relève plus du bonus technique, c’est une nécessité opérationnelle dès la saison 2025-2026.
Comptes dormants sur FBI V2 : la faille que chaque club peut corriger ce soir
On parle souvent de cyberattaques sophistiquées, mais dans la plupart des clubs, le risque principal vient de l’intérieur. Les profils à privilèges (président, secrétaire, trésorier) changent au fil des assemblées générales. Sur la plateforme FBI de la FFBB, chaque compte non désactivé reste une porte ouverte.
Concrètement, le premier réflexe consiste à lister tous les utilisateurs actifs sur l’extranet et à croiser cette liste avec le bureau en exercice. Tout compte qui ne correspond plus à un membre en fonction doit être désactivé ou supprimé immédiatement.
Les retours varient sur ce point selon la taille du club. Dans une petite association avec trois bénévoles, on identifie vite les anomalies. Dans un comité départemental gérant plusieurs dizaines de clubs affiliés, l’audit prend plus de temps, mais il reste la mesure la plus rentable en matière de sécurité.
- Vérifier la liste des comptes FBI V2 à chaque renouvellement de bureau, pas seulement en début de saison
- Retirer immédiatement les droits d’accès des anciens dirigeants, entraîneurs ou bénévoles qui n’ont plus de rôle actif
- Désigner un référent unique dans le club, responsable de la gestion des accès à l’extranet FFBB
- Conserver une trace écrite (même un simple tableur) des attributions et suppressions de comptes
Mots de passe et authentification sur l’extranet FFBB : le minimum viable pour un club
La page de connexion FBI (extranet.ffbb.com) repose sur un couple identifiant/mot de passe. Beaucoup de clubs utilisent encore un mot de passe unique partagé entre plusieurs dirigeants. Cette pratique rend toute traçabilité impossible et multiplie les risques de fuite.
Chaque utilisateur doit disposer de son propre identifiant avec un mot de passe personnel. Si le club utilise un mot de passe commun pour des raisons historiques, c’est le premier point à corriger.
Renforcer le mot de passe sans compliquer la vie des bénévoles
On ne va pas demander à un bénévole de retenir une chaîne de trente caractères. Un mot de passe composé de quatre mots courants accolés (par exemple « panier-terrain-samedi-bleu ») offre une robustesse largement suffisante et reste mémorisable.
Si la FFBB propose une option d’authentification à deux facteurs sur FBI V2, activer le 2FA sur tous les comptes à privilèges devient la mesure la plus efficace. En attendant, un mot de passe solide et individuel reste le socle.
Limiter les documents sensibles déposés dans FBI V2
L’extranet fédéral sert à gérer les licences, les résultats, les informations d’organisme. On y dépose parfois des pièces justificatives : certificats médicaux, copies de pièces d’identité, attestations diverses. Le problème, c’est que chaque document sensible stocké en ligne augmente l’impact d’une éventuelle fuite.
Les attaques récentes dans le sport français illustrent ce risque. Le Stade Français a subi une cyberattaque avec menace de publication de données personnelles, y compris des captures de documents d’identité. Ces incidents ne ciblent plus seulement la disponibilité des systèmes, ils visent la divulgation de données personnelles et la pression par rançon.
Séparer l’administratif courant des pièces d’identité
La règle pratique pour un club de basketball est simple : ne déposer sur l’extranet FFBB que ce qui est strictement exigé par la fédération pour la gestion des licences. Tout le reste (scans de cartes d’identité, RIB, documents médicaux détaillés) doit être stocké localement ou sur un espace sécurisé distinct, pas dans FBI V2.
Si la plateforme impose le dépôt d’une pièce, on la dépose, mais on ne conserve pas en parallèle d’autres documents « au cas où ». Moins il y a de données dans l’extranet, moins une intrusion cause de dégâts.
Surveillance et réaction : que faire quand quelque chose semble anormal sur FBI
Un club n’a pas de responsable sécurité informatique. On ne peut pas demander aux bénévoles de surveiller des logs de connexion. En revanche, quelques signaux simples doivent déclencher une réaction immédiate.
- Une licence modifiée ou validée sans que le secrétaire en soit à l’origine
- Un mot de passe qui ne fonctionne plus sans qu’une réinitialisation ait été demandée
- Un message de la FFBB signalant un incident de sécurité sur la plateforme fédérale
- Un courriel suspect prétendant venir de l’extranet FFBB et demandant de cliquer sur un lien
Dans tous ces cas, la première action est de changer immédiatement le mot de passe du compte concerné et de prévenir le comité départemental ou la ligue.
Le phishing adapté au monde sportif
Les campagnes de phishing ciblant les fédérations sportives existent. Un courriel imitant l’interface FBI V2 qui demande de « confirmer vos identifiants » est un classique. La règle : ne jamais saisir son mot de passe après avoir cliqué sur un lien reçu par e-mail. On se connecte toujours en tapant directement l’adresse extranet.ffbb.com dans le navigateur.
La sécurisation des données d’un club de basketball sur FBI V2 ne demande ni budget ni compétences techniques avancées. Elle repose sur des gestes simples, répétés à chaque changement de bureau et à chaque début de saison : purger les comptes inactifs, individualiser les accès, limiter les documents déposés, rester attentif aux anomalies. Ce sont ces habitudes, bien plus qu’un outil sophistiqué, qui protègent concrètement les licenciés et l’association.