Twizzit confirme une fuite de données chez ses clients

Une fuite désormais confirmée, mais un périmètre encore incomplet

Le statut de l'affaire a changé. Selon VRT NWS, la holding britannique Invincible Software Holdings, propriétaire de Twizzit, a confirmé à l'agence Belga qu'une fuite de données personnelles avait eu lieu. La holding indique avoir déposé une plainte auprès du Centre pour la cybersécurité Belgique. Twizzit a aussi averti des organisations clientes et leur a indiqué avoir pris des mesures pour arrêter l'attaque et corriger la vulnérabilité concernée.

Cette confirmation ne donne toutefois pas encore le nombre global de personnes touchées, ni la liste complète des organisations concernées. Il faut donc distinguer deux choses : l'incident est confirmé par le propriétaire de la plateforme, mais son étendue exacte n'est pas publiquement établie à ce stade.

Des clubs et mouvements de jeunesse déjà avertis

Plusieurs organisations belges utilisant Twizzit ont indiqué avoir été touchées ou potentiellement touchées. VRT NWS cite notamment Chirojeugd Vlaanderen, KLJ et Koor & Stem. Chirojeugd Vlaanderen, qui compte plus de cent mille membres, a précisé avoir été informée par son partenaire Twizzit d'une possible exposition de données de son organisation.

Twizzit est un outil de gestion pour clubs, associations et fédérations. Son site présente des fonctions de gestion des membres, familles, groupes, inscriptions, planning, communications et paiements. La plateforme affirme être utilisée par plus de 5 500 organisations et plus de 1,2 million d'utilisateurs. Cette centralisation explique pourquoi une fuite chez un prestataire peut concerner plusieurs communautés à la fois.

Noms, e-mails et photos, mais pas de mots de passe annoncés

Les informations rapportées pour les organisations déjà averties concernent principalement les noms, adresses e-mail et photos de profil. Chirojeugd Vlaanderen indique que des données de mineurs pourraient aussi être concernées. D'après les informations communiquées à cette organisation, les mots de passe, coordonnées bancaires et informations de paiement n'ont pas été dérobés.

Cette précision est importante. Elle ne retire pas le risque, mais elle évite de le présenter plus largement qu'il n'est documenté. Sans mots de passe ni données bancaires exposés, le danger immédiat n'est pas le changement forcé d'un identifiant bancaire. Il est surtout celui de messages ou appels très crédibles, construits à partir du nom, de l'adresse e-mail, de la photo et du lien réel avec un club ou un mouvement.

Le vrai piège : un faux message qui connaît votre association

Un escroc n'a pas besoin de posséder vos données bancaires pour essayer de vous soutirer de l'argent. Il peut écrire au nom de votre club, évoquer une cotisation, un entraînement, une inscription ou un changement de planning. Si le message cite une organisation que vous connaissez réellement, il paraît immédiatement plus plausible qu'un hameçonnage générique.

VRT NWS rapporte que Twizzit et les organisations concernées demandent aux membres d'être attentifs aux courriels, appels et messages frauduleux visant à obtenir de l'argent ou des codes de carte bancaire. Le bon réflexe est de ne jamais utiliser le lien ou le numéro fourni dans un message inattendu. Ouvrez vous-même l'application habituelle ou contactez le club à partir d'une coordonnée déjà connue.

Le chiffre de 1,53 million reste une revendication

Avant la confirmation de l'incident, un auteur utilisant le pseudonyme RedStone proposait à la vente une base attribuée à Twizzit. FrenchBreaches et Cyberattaque.org ont relayé l'annonce, qui revendique 1 532 886 membres, plus de quatre millions de lignes et des données liées à des clubs, groupes et équipes. Cyberattaque.org indique avoir examiné un échantillon de mille lignes, où une même personne pouvait apparaître plusieurs fois selon ses groupes ou saisons.

Ces éléments peuvent aider à comprendre l'ampleur potentielle, mais ils ne sont pas un bilan officiel. Le chiffre annoncé par le vendeur ne doit pas être confondu avec le nombre de personnes dont Twizzit confirme aujourd'hui les données exposées. Les sources spécialisées signalent aussi des enregistrements liés à la France, sans fournir de décompte officiel ou vérifié par pays.

Ce que vous pouvez faire maintenant

Si votre club, votre fédération ou le mouvement de jeunesse de votre enfant utilise Twizzit, surveillez les messages qui évoquent une cotisation, un formulaire ou une urgence administrative. Vérifiez toute demande de paiement ou de code par un canal distinct : application habituelle, site saisi vous-même, ou appel vers un numéro déjà enregistré.

Ne communiquez jamais un code reçu par SMS, par application d'authentification ou pour une carte bancaire à une personne qui vous appelle. Ce code peut servir à valider une opération ou à prendre le contrôle d'un compte. Prévenez également les personnes de votre entourage liées au même club : la crédibilité d'un message frauduleux vient précisément du fait qu'il peut citer une organisation réelle.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas établir la date de l'intrusion, la méthode d'accès utilisée, ni le nombre total de personnes concernées. Les éléments publics consultés ne donnent pas non plus la liste exhaustive des catégories de données pour l'ensemble des organisations clientes, ni la liste complète des clubs et associations touchés.

Nous ne pouvons pas confirmer indépendamment les volumes, l'ancienneté des données ou la répartition géographique revendiqués par RedStone. La confirmation de Twizzit porte sur une fuite de données personnelles, mais ne valide pas à elle seule chacun des chiffres annoncés dans l'offre de vente. Une communication détaillée de Twizzit, d'une organisation cliente ou d'une autorité pourrait préciser ces points.

Sources : VRT NWS ↗ · Twizzit ↗ · Cyberattaque.org ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.