Lorsqu’on évoque la cybersécurité, l’imaginaire collectif se tourne spontanément vers les grandes banques, les multinationales, les administrations fédérales ou les géants du numérique, pour ne citer qu’eux.
Les médias relaient régulièrement les attaques par déni de service (DDoS) visant des infrastructures stratégiques, les fuites massives de données ou les rançongiciels : autant d’affaires qui paralysent des entreprises de plusieurs milliers d’employés, voire des États entiers, comme l’Estonie en avril 2007, un cas qui demeure unique par son ampleur.
Pendant ce temps, dans l’ombre de ces grandes affaires, un autre univers numérique se développe loin des projecteurs, mais tout autour de nous : celui des associations, des clubs sportifs, des fondations locales, des sociétés culturelles, des organisations caritatives ou des groupements villageois.
Des structures modestes, souvent animées par des bénévoles, qui manipulent pourtant des données personnelles, tiennent une billetterie, encaissent des paiements en ligne, utilisent des services cloud et possèdent parfois des ressources financières importantes.
Longtemps considérées comme sans intérêt pour les cybercriminels, elles sont aujourd’hui devenues des cibles tentantes.
Une transformation numérique discrète, mais profonde
Il y a encore vingt ans, la majorité des associations fonctionnaient avec les bons vieux classeurs fédéraux, quelques feuilles Excel et un secrétariat assuré sur papier.
Les inscriptions arrivaient par courrier, les cotisations étaient encaissées en liquide, de la main à la main, et la communication passait par le bistrot du coin, le téléphone ou les potins de la rue.
L’arrivée d’Internet puis des services numériques a profondément modifié cette réalité.
Les clubs sportifs ont adopté des plateformes de gestion des membres, tandis que les associations culturelles ont ouvert des systèmes de réservation en ligne, et le site internet qui va avec.
Les organisations locales ont commencé à stocker leurs documents dans le cloud, et les comités ont progressivement adopté les outils collaboratifs, les solutions de visioconférence et les paiements électroniques.
Bref, tout ce petit monde est entré de plain-pied dans la numérisation, souvent en apportant des outils et des méthodes de travail personnelles, plus ou moins dérivées de la petite entreprise.
Cette modernisation a apporté un confort indéniable ; elle a également transformé des structures autrefois peu exposées en véritables acteurs du monde numérique.
Le problème est que cette transition s’est souvent réalisée sans accompagnement en matière de sécurité, particulièrement cyber, et se rapproche des structures simplifiées, juste fonctionnelles, que l’on trouve chez les particuliers et les indépendants.
C’est que, contrairement aux grandes entreprises, les associations ne disposent généralement ni de responsable cybersécurité, ni de service informatique, ni de budget dédié aux audits.
Nécessité faisant loi, les outils se sont accumulés au fil des besoins, par ceux qui savaient plus ou moins s’en servir, créant des environnements hétérogènes dont personne ne possède réellement la cartographie complète.
Une idée reçue dangereuse : « nous sommes trop petits pour intéresser les pirates »
Cette phrase revient régulièrement lors de nos audits ou de nos formations.
Pas complètement fausse, elle repose cependant sur une vision dépassée de la cybercriminalité, car pendant longtemps, les attaques étaient effectivement ciblées : les cybercriminels choisissaient leurs victimes et consacraient des ressources importantes à chaque opération.
En clair, une cyberattaque réussie prenait du temps et exigeait beaucoup de préparation, raison pour laquelle on choisissait soigneusement ses cibles, en privilégiant celles qui offraient une large surface d’attaque et des prévisions de butin élevé.
Aujourd’hui, la situation est très différente, car la grande majorité des attaques sont automatisées, du moins toutes celles qui ratissent par opportunité.
Des robots parcourent Internet en permanence à la recherche de sites vulnérables, de comptes compromis, de mots de passe faibles ou de logiciels non mis à jour ; et l’IA les a rendus plus efficaces que jamais !
Dans ce contexte, la taille de l’organisation importe peu, car le nombre remplace avantageusement la qualité…
Pour un attaquant, un club de football local et une multinationale peuvent apparaître de la même manière lors d’un scan automatisé : comme une adresse IP vulnérable, une faille logicielle ou un site web mal sécurisé.
La question n’est donc plus : « qui êtes-vous ? », mais plutôt : « êtes-vous plus facile à attaquer qu’un autre ? »
Des données plus sensibles qu’on ne l’imagine
Beaucoup d’associations sous-estiment d’ailleurs la valeur des informations qu’elles détiennent.
Un simple club sportif possède généralement, et au minimum, les noms, adresses, numéros de téléphone et coordonnées bancaires de tous ses affiliés, parfois plusieurs centaines de membres.
Certaines organisations enregistrent également des certificats médicaux, des informations sur les mineurs, des autorisations parentales ou des documents d’identité.
Et dans un club de tir, la liste des membres et de leurs adresses est une aubaine : voler une arme chez un particulier est bien plus aisé que dans une armurerie.
Pour un cybercriminel, toutes ces données représentent une source potentielle de revenus, d’usurpation d’identité, de vol direct ou d’escroqueries ciblées.
L’association comme point d’entrée
La Suisse bénéficie d’une forte culture associative. Selon les estimations, près de cent mille associations actives participent à la vie sportive, culturelle, sociale et économique du pays.
Cette richesse constitue également un défi en matière de cybersécurité.
Rien qu’en 2025 et dans le secteur associatif, nous sommes intervenus six fois pour des rançongiciels, et une dizaine de fois sur des cas d’usurpation d’identité et de compromission de site internet.
Dans certains cas, les attaquants ne cherchent même pas les données de l’association elle-même ; ils utilisent celle-ci comme point d’entrée vers d’autres partenaires : sponsors, collectivités publiques, entreprises locales ou membres disposant de fonctions stratégiques ailleurs.
Cas d’école : celui d’un club sportif vaudois utilisant une adresse e-mail générique pour son comité. Un attaquant compromet ce compte grâce à un mot de passe faible et réutilisé depuis la nuit des temps…
À partir de cette boîte mail, ce même attaquant peut contacter des sponsors, envoyer de fausses factures ou récupérer des informations financières.
La confiance accordée à l’association devient alors l’arme principale de l’attaque.
Ce scénario n’a rien de théorique ; il correspond aux méthodes utilisées quotidiennement dans les campagnes modernes de fraude au président et de compromission de messagerie professionnelle.
Le bénévolat : une force qui peut devenir une faiblesse
Le modèle associatif repose largement sur l’engagement bénévole, mais cette force humaine extraordinaire constitue parfois aussi une vulnérabilité technique.
Les responsabilités changent fréquemment. Un trésorier quitte ses fonctions, un président est remplacé ; un responsable communication passe la main à un nouveau bénévole, quand ce n’est pas à plusieurs.
Lors de ces transitions, les accès numériques ne sont pas toujours révoqués (vous avez dit rarement ?) et les mots de passe sont le plus souvent transmis avec le poste.
Ainsi, d’anciens membres conservent souvent un accès aux plateformes, aux boîtes mail ou aux espaces de stockage. D’autant qu’ils peuvent revenir ponctuellement pour donner un « coup de main »…
Au fil des années, ces comptes oubliés, ou jamais modifiés, s’accumulent dangereusement.
Certaines associations découvrent lors d’un audit que plusieurs personnes ayant quitté la structure depuis cinq ou dix ans disposent toujours de droits d’accès, puisque personne ne les a jamais retirés !
Cette situation est particulièrement fréquente dans les petites organisations où l’urgence opérationnelle prime sur la gouvernance numérique, pour autant que le mot y soit connu…
Les sites web oubliés : une menace silencieuse
Parmi les problèmes les plus courants figurent les sites internet vieillissants.
De nombreuses associations disposent d’un site créé il y a plusieurs années par un bénévole, un étudiant ou une petite agence locale. Une fois le projet terminé, personne n’assure réellement la maintenance.
Le site continue d’exister, comme un vieux meuble qu’on ne regarde plus, mais les mises à jour cessent, surtout après cinq ou dix ans, voire plus.
Les versions obsolètes de CMS, les extensions non maintenues et les thèmes abandonnés deviennent progressivement des portes d’entrée idéales pour les attaquants.
Le paradoxe est frappant : un site affichant simplement les horaires d’entraînement ou le programme d’une manifestation locale peut servir à héberger des logiciels malveillants ou à lancer des attaques contre d’autres organisations.
Une responsabilité désormais juridique
La cybersécurité n’est plus uniquement une question technique.
L’entrée en vigueur en septembre 2023 de la nouvelle loi fédérale sur la protection des données (nLPD) a renforcé les attentes concernant la protection des informations personnelles en Suisse.
Même lorsqu’elles sont de petite taille, les associations traitent des données qui doivent être protégées de manière proportionnée aux risques : c’en est fini de la faute à pas de chance !
La responsabilité morale pèse tout autant : une fuite de données affectant les membres d’une association locale peut avoir des conséquences durables sur la confiance et sur l’image de l’organisation.
Enfin, dans un environnement où la réputation repose largement sur les relations humaines, l’impact d’un incident dépasse souvent le simple aspect technique.
Vers une maturité cyber adaptée aux réalités locales
Les associations et clubs sportifs n’ont pas besoin de reproduire les dispositifs de cybersécurité des grandes entreprises.
Ils doivent cependant comprendre qu’une approche pragmatique, adaptée à leurs ressources et à leur fonctionnement, devient une nécessité.
L’objectif n’est pas d’éliminer tout risque : aucun organisme ne peut y parvenir.
L’objectif consiste à réduire les vulnérabilités les plus évidentes, à mieux gérer les accès, à maintenir les outils à jour, à sauvegarder les données essentielles et à sensibiliser les personnes qui font vivre l’organisation.
Conclusion
Pendant longtemps, les associations et les clubs sportifs ont vécu en marge des préoccupations de cybersécurité. Leur taille modeste leur donnait l’illusion d’une forme d’invisibilité numérique provoquée par l’indifférence des attaquants.
Cette époque est révolue.
La transformation numérique de ces dernières années, mais aussi le cadre législatif, a profondément modifié leur exposition aux risques.
Les données qu’ils détiennent, la confiance dont ils bénéficient et les outils qu’ils utilisent les placent désormais dans le champ de vision des cybercriminels.
La véritable question n’est donc plus de savoir si une petite organisation peut être attaquée, mais bien si elle saura se défendre le moment venu.
