La cyberattaque OM a été révélée le lundi 23 février 2026 : un cybercriminel a revendiqué sur un forum la mise en vente d'une base de données de 400 000 supporters de l'Olympique de Marseille, issue de la billetterie et de la boutique en ligne du club. L'information, d'abord publiée par le spécialiste en cybersécurité Clément « SaxX » Domingo, a été confirmée par RMC Sport. L'OM parle, de son côté, d'une tentative d'intrusion rapidement maîtrisée.
Cet article fait le point sur ce qui est revendiqué, ce qui est confirmé, les risques pour les supporters et les réflexes à adopter. Les informations évoluent : elles sont présentées telles qu'elles étaient connues au 24 février 2026.
L'essentiel en un tableau
| Élément | Situation |
|---|---|
| Revendication | Lundi 23 février 2026, mise en vente d'une base de données de l'OM sur un forum criminel |
| Volume annoncé | 400 000 personnes ayant un compte ou des commandes sur la billetterie, selon le pirate |
| Données citées | Identité, adresses, e-mail, téléphone, date de naissance, commandes, compte de fidélité |
| Position du club | « Tentative d'intrusion informatique », « rapidement maîtrisée » |
| Données bancaires et mots de passe | Le club affirme qu'ils n'ont pas été compromis |
| Démarches | Saisine de la CNIL et démarches judiciaires annoncées |
| Volume et périmètre réels | Non confirmés par le club |
Cyberattaque OM : ce que l'on sait
Selon Foot Mercato, le piratage a été annoncé lundi 23 février. D'après Génération NT, le cybercriminel se présente sous le pseudonyme « 84City » et serait le même que celui qui a mis en vente des bases de données de Réglo Mobile et de salles de sport. Il aurait joué sur la rivalité avec le Paris Saint-Germain dans son message.
Sur son compte X, Clément Domingo a publié des captures d'écran à l'appui, et l'échantillon publié s'avère authentique selon l'expert. Il précise que « si la cyberattaque est confirmée, ce serait un précédent dans le domaine des clubs de football », une appréciation personnelle qui n'engage que lui.
Quelles données seraient concernées ?
D'après les sources ci-dessus et BleepingComputer, les informations revendiquées comprennent :
- noms et prénoms ;
- adresses postales et adresses e-mail ;
- numéros de téléphone et dates de naissance ;
- informations de commandes et comptes de fidélité ;
- selon certains médias, des profils de réseaux sociaux ;
- des informations sur des membres du staff, dont plus de 2 050 comptes du gestionnaire de contenu Drupal, avec 34 comptes de collaborateurs de l'OM et environ 1 770 contributeurs ou modérateurs.
Ces éléments sont ceux que le pirate met en avant. Le club n'a pas confirmé leur étendue.
Ce que dit l'OM
Dans un communiqué, le club confirme avoir été la cible d'une « tentative d'intrusion informatique » et affirme que « la situation a été rapidement maîtrisée » grâce à la mobilisation de ses équipes techniques et de prestataires spécialisés. Il assure que les données bancaires et les mots de passe n'ont pas été compromis, a saisi la CNIL et a engagé des démarches judiciaires. Il appelle les supporters à la vigilance face aux tentatives de phishing et aux escroqueries ciblées. Selon RMC Sport, le club évoque un incident en cours de résolution.
Ce qui n'est pas confirmé
Plusieurs points restent ouverts à ce stade :
- Le volume réel : Génération NT note que le chiffre de 400 000 pourrait être surévalué, même si l'échantillon paraît authentique.
- Le passage de « tentative » à « fuite » : le club parle d'une intrusion tentée, alors que le pirate affirme détenir des données.
- Le vecteur d'attaque : aucune source consultée n'explique comment l'accès a été obtenu.
- La période de vol : la base est présentée comme datant de février 2026, sans autre précision.
À retenir : tant que le périmètre n'est pas précisé, considérez que vos données de billetterie ont pu être exposées si vous avez un compte ou des commandes chez l'OM, et agissez en conséquence.
Quels risques pour les supporters ?
Des données d'identité et de contact, associées à un historique de commandes, sont très utiles aux escrocs :
- Phishing ciblé : faux e-mails ou SMS de « l'OM » ou de la billetterie évoquant un remboursement, un abonnement, une commande, un billet à récupérer ou un compte suspendu.
- Usurpation d'identité : ouverture de comptes ou démarches frauduleuses en croisant ces informations avec d'autres fuites.
- Arnaques aux billets : fausses reventes, faux échanges, faux supports.
- Appels et SMS frauduleux qui citent votre nom, votre adresse ou vos achats pour paraître crédibles.
Même si les mots de passe n'ont pas été compromis, rien n'empêche un attaquant d'essayer de se connecter avec des identifiants issus d'autres fuites si vous réutilisez un même mot de passe.
Que faire si vous avez un compte OM ?
- Ne cliquez sur aucun lien dans un message évoquant l'OM, une commande ou un remboursement. Passez par le site ou l'application officiels, en saisissant l'adresse vous-même.
- Changez votre mot de passe de billetterie et celui de tout site où vous l'avez réutilisé, avec un mot de passe unique (le générateur de mots de passe peut vous aider).
- Activez l'authentification multifacteur sur votre messagerie et vos comptes importants.
- Inspectez les messages douteux avec l'analyseur d'e-mails (.eml) et notre guide pour analyser un e-mail de phishing.
- Surveillez vos comptes bancaires et signalez toute opération suspecte à votre banque.
- Signalez les SMS frauduleux au 33700 et les escroqueries sur les plateformes officielles ; si vous subissez un préjudice, déposez plainte.
Les conseils de Cybermalveillance.gouv.fr pour les victimes d'une fuite de données rappellent notamment de rester vigilant face aux messages de personnes qui semblent vous connaître.
Les leçons pour les clubs et les organisations
Une billetterie en ligne concentre des données personnelles en grand nombre, ce qui en fait une cible de choix : l'affaire OM rappelle le cas de la fuite Ticketmaster. Quelques mesures s'imposent :
- Protéger les comptes d'administration (gestionnaire de contenu, back-office, prestataires) par une authentification multifacteur et le principe du moindre privilège. La revendication mentionne d'ailleurs des comptes Drupal.
- Limiter les données conservées : ne garder que ce qui est nécessaire, et purger les données anciennes.
- Surveiller les extractions et les accès inhabituels à la base de données.
- Encadrer les prestataires de billetterie et de boutique : contrats, audits, délais de notification.
- Surveiller le dark web et les forums pour repérer une mise en vente et réagir vite.
- Préparer la communication de crise : information claire, régulière et honnête des personnes concernées.
Ce que prévoit le RGPD
D'après la CNIL, le responsable de traitement doit notifier une violation « dans les meilleurs délais et au plus tard 72 heures » après en avoir pris connaissance. Si le risque pour les personnes est élevé, elles doivent aussi être informées, avec la nature de la violation, ses conséquences probables et les mesures prises. Le club indique avoir saisi la CNIL : la suite dépendra de l'enquête sur la réalité et l'étendue de la fuite.
Points clés
- Un cybercriminel revendique, depuis le 23 février 2026, la vente des données de 400 000 supporters de la billetterie de l'OM.
- Le club évoque une tentative d'intrusion rapidement maîtrisée et affirme que les données bancaires et les mots de passe n'ont pas été compromis.
- Le volume, le périmètre et le mode d'intrusion restent à confirmer.
- Le principal risque est le phishing ciblé : ne cliquez sur aucun lien et changez vos mots de passe réutilisés.
- Pour les organisations : MFA sur les comptes d'administration, minimisation des données, contrôle des prestataires et notification RGPD sous 72 heures.