L'analytique sportive a un problème d'infrastructure, et les données manquent

Cette révélation, publiée par The Register le 30 septembre, s'ajoute à un tas de preuves de plus en plus haut : la plomberie qui fait tourner l'analytique des données, sport compris, est mise à l'épreuve plus vite qu'elle n'est réparée.

Le chercheur, un adolescent de 16 ans connu sous le nom de Faav, a découvert que le service analytique interne Titan de Microsoft validait le contenu d'un JSON Web Token sans jamais vérifier sa signature. Selon The Register, il a atteint un accès administrateur via un hôte Azure Cloud Services et pouvait exécuter du SQL sur des bases analytiques que l'entreprise estime à 17 300 000 000 000 de lignes stockées. Microsoft a verrouillé l'API et lui a versé une prime de 5 000 dollars.

Ce que la faille expose réellement

Le blog de Faav, cité par The Register, décrit la faille en des termes que toute équipe plateforme devrait reconnaître : « Les contrôles d'authentification ressemblaient à un hôtel où chaque porte avait un lecteur de carte fonctionnel, mais où n'importe quelle carte ouvrait n'importe quelle chambre. » Il raconte avoir réécrit son article à la demande de Microsoft, supprimant des passages et des chiffres. Le total de lignes, précise-t-il, est une estimation de stockage tirée de métadonnées qui incluent probablement des données historiques et dupliquées.

Microsoft a déclaré à Faav, dans un communiqué repris sur son blog, que sa soumission « nous a aidés à mieux protéger nos clients en renforçant nos services ».

Les chiffres derrière ce seul point d'accès méritent que les responsables technologiques du sport s'y arrêtent. Les métadonnées couvraient à elles seules 24 569 tableaux de bord, 425 891 graphiques et 27 347 définitions de jeux de données, selon The Register. Trente valeurs de routage actives passaient par 24 configurations vers 17 bases analytiques connectées, couvrant 9 863 noms de tables uniques. Voilà la forme d'un patrimoine analytique moderne : tentaculaire, fédéré, et maintenu par une logique d'authentification qui ne vaut que par son contrôle le plus faible.

Aucune organisation sportive n'est nommée dans la révélation Titan. Mais le même schéma, une couche analytique centrale qui agrège discrètement des données de nombreuses sources, est exactement ce que le secteur construit depuis deux ans.

La gouvernance arrive avant le tableau d'affichage

Deux autres affaires des dernières 48 heures montrent la pression venant de l'autre côté, du public et des régulateurs plutôt que des attaquants.

« L'ampleur de ce rejet public devrait être un énorme signal d'alarme pour le gouvernement. »

C'est Veronica Hawking, du groupe de campagne 38 Degrees, citée par The Guardian le 30 septembre. Plus de 44 000 personnes ont déposé des objections juridiques au titre de l'article 21 du règlement général britannique sur la protection des données pour empêcher la NHS Federated Data Platform, propulsée par Palantir, de traiter leurs données de santé. Palantir affirme que la plateforme aide à réduire les listes d'attente, citant 117 000 opérations supplémentaires et une baisse de 14,3 % des retards de sortie pour les patients de longue durée. NHS England assure que les organisations gardent le contrôle de leurs données. Les opposants ne sont pas d'accord, et le litige est désormais procédural, pas rhétorique.

Aux Pays-Bas, le problème de transparence va dans l'autre sens. Une étude de Lighthouse Report avec Trouw et d'autres médias européens, rapportée par NL Times le 30 septembre, a constaté que moins d'un quart des grands centres de données néerlandais publient des chiffres sur leur consommation d'électricité et d'eau potable. La directive européenne sur l'efficacité énergétique impose un reporting aux sites de plus de 500 kW depuis trois ans. L'Agence néerlandaise pour l'entreprise ne dispose de données que sur 104 des 186 centres de données commerciaux éligibles recensés par l'association néerlandaise des centres de données. Des chiffres publics existent pour 44 sur l'électricité et 47 sur l'eau.

L'office néerlandais de la statistique chiffre la consommation électrique des centres de données du pays à 5 100 000 000 de kWh en 2024, soit 4,6 % de la consommation nationale. Le gestionnaire de réseau TenneT projette 10 à 15 % d'ici 2030.

La question du calcul derrière l'analytique

L'analytique sportive se situe au bout de cette chaîne, du côté du consommateur. Chaque système de suivi, chaque modèle de buts attendus et chaque incrustation de diffusion tourne sur une infrastructure dont le coût, le traitement fiscal et l'empreinte environnementale se renégocient en public.

L'usage par Meta d'un crédit d'impôt fédéral pour la recherche en est un exemple. The Decoder rapportait le 30 septembre, citant le New York Times, que Meta a économisé 3 900 000 000 de dollars en 2025 en classant ses centres de données d'IA comme « modèles pilotes » et les puces Nvidia comme matériaux expérimentaux, contre 2 000 000 000 l'année précédente et 700 000 000 en 2023. Meta prévient dans ses dépôts auprès de la SEC que ces économies pourraient être contestées, et ses provisions pour positions fiscales incertaines ont augmenté de 45 % pour atteindre 18 740 000 000 de dollars. L'entreprise met en avant 200 000 000 000 de dollars de dépenses de R&D sur cinq ans. Son auditeur, EY, a validé la stratégie.

Pendant ce temps, le travail d'ingénierie continue. Amazon Web Services a annoncé le 30 septembre qu'Aurora PostgreSQL peut désormais interroger des données Apache Iceberg et Parquet dans Amazon S3, S3 Tables ou le AWS Glue Data Catalog sans pipelines d'extraction, de transformation et de chargement, grâce au moteur de requête DuckDB intégré à PostgreSQL. La fonctionnalité est disponible en général sur Aurora PostgreSQL 17.11 et 18.6 et versions supérieures, sans surcoût. Pour les équipes data du sport, cela supprime une étape de copie entre le lac de données et la base opérationnelle, là où naissent la plupart des plaintes de latence.

Rien de tout cela n'est une prédiction sur le marché de l'analytique sportive. C'est une description du sol sur lequel il repose. La révélation Titan, les objections au NHS et le déficit de reporting néerlandais sont trois versions d'un même constat : les données sont là, l'analytique tourne, et les contrôles autour des deux sont découverts d'abord par les mauvaises personnes.