Продаются данные 1,43 млн членов Французской федерации пешего туризма

29 сентября на хакерском форуме выставили на продажу базу Французской федерации пешего туризма (FFRandonnée): 1 429 334 анкеты членов клуба с именами, датами рождения, адресами, почтой и телефонами. Об этом сообщили французские издания ZATAZ и Fuites Infos. Продавец, по данным cyberattaque.org, подписывается RedStone. Федерация утечку публично пока не подтвердила.

Архив весит 317 МБ. Уникальных адресов почты в нём 1 008 071, уникальных телефонов 663 291. Примерно в 98 тысячах анкет есть экстренные контакты с телефонами и даты медицинских справок о допуске к занятиям. Ещё в базе около 44,6 тысячи подписок на бумажный журнал федерации и 19,4 тысячи на цифровой. Продавец утверждает, что записи тянутся с 1990-х годов, поэтому 1,43 млн анкет - это история членства за десятилетия, а не нынешнее число участников. Цену он не назвал и предлагает писать в личные сообщения.

Вторая база той же федерации за год

В феврале 2026 года Fuites Infos уже сообщал о продаже другой базы FFRandonnée, тогда на 813 983 члена клуба. В ней были имя, пол, дата рождения, почта, телефон, адрес, номер лицензии и роль в клубе. Сам факт утечки тогда подтвердился, но число записей и происхождение данных остались на совести продавца. Связаны ли две продажи и откуда взялась новая база, неизвестно. ZATAZ пишет, что за последние месяцы похожие утечки затронули десятки французских спортивных и культурных федераций, но способ, которым вынесли данные, не установлен.

Слово «медицинские» в описании базы звучит страшнее, чем выглядит. Судя по описанию cyberattaque.org, речь о датах справок об отсутствии противопоказаний, которые требуют для лицензии, а не о диагнозах. Для мошенника ценнее другое: номер лицензии, клуб, дата рождения и контакт родственника вместе делают правдоподобным любое письмо или звонок от имени федерации.

Чего ждать членам клуба

Самый вероятный сценарий - фишинг под продление лицензии, страховку или обновление анкеты, с просьбой ввести данные карты. Продлевать лицензию и платить надёжнее через личный кабинет, открытый вручную, а не по ссылке из письма или SMS. Если в анкете был указан экстренный контакт, его стоит предупредить: звонок «из клуба» о несчастном случае на маршруте - классический сюжет для выманивания денег.

Если адрес почты из базы служит логином где-то ещё, пора сменить там пароль и включить двухфакторную защиту. Если федерация подтвердит утечку, по GDPR она обязана в течение 72 часов уведомить регулятор CNIL, а при высоком риске и самих членов клуба.