Des données partout, des réponses nulle part : ce que l'actualité des bases de données dit de l'analytique sportive

Un adolescent de 16 ans a trouvé une faille d'authentification dans Titan, le service d'analytique de Microsoft. Révélée le 30 septembre, elle lui a donné un accès administrateur à des bases de données totalisant environ 17 300 000 000 000 de lignes. Pour qui exploite des données d'athlètes et de supporters, c'est un rappel : la plomberie de l'économie de la donnée se répare encore en public. Les autres affaires de la semaine, d'une intrusion au Pentagone à un refus néerlandais de publier les consommations d'eau, vont dans le même sens. Les données abondent, la redevabilité non.

Commençons par la défaillance technique, car c'est l'exemple le plus net. Faav, un chercheur de 16 ans, a constaté que Titan, une plateforme d'analytique interne de Microsoft, validait le contenu d'un JSON Web Token sans jamais vérifier sa signature. Selon The Register, il a remplacé le nom principal d'utilisateur d'un jeton non signé, au format courriel, par « admin ». Titan y a vu l'identifiant utilisateur local 1, un rôle doté de droits d'administration. Faav a alors exécuté du SQL. Pour trouver l'API, il s'est servi d'un outil d'IA qu'il a lui-même conçu, nommé Antares. Microsoft a verrouillé l'API et versé une prime de 5 000 dollars.

C'est un bug. Le schéma plus large, lui, veut que les plateformes d'analytique s'ouvrent plus vite qu'elles ne se sécurisent, et que les organisations sportives achètent la même pile.

Les données grossissent plus vite que les contrôles

Du côté de l'infrastructure, Amazon Web Services a annoncé le 30 septembre qu'Aurora PostgreSQL peut désormais interroger directement des données Apache Iceberg et Parquet dans un lac de données. Le moteur DuckDB intégré à PostgreSQL s'en charge, sans pipeline d'extraction, de transformation et de chargement, et sans duplication des données. AWS précise que la fonctionnalité est disponible en général à partir d'Aurora PostgreSQL 17.11 et 18.6, sans surcoût. Le même jour, Trigger.dev a publié un compte rendu détaillé de la mise à niveau d'un cluster Aurora Postgres de 56 To qui grossissait de 250 Go par jour. L'équipe a transféré 1,23 To de données de plan de contrôle vers PlanetScale, en ne laissant que 90 secondes d'impact sur les requêtes des anciennes exécutions.

Les deux articles viennent de fournisseurs ou d'acteurs intéressés, mais ils décrivent la même réalité. Les volumes de données dans l'analytique opérationnelle sont assez gros pour que migrations et requêtes soient devenues des projets d'ingénierie à part entière. Une ligue sportive qui collecte du suivi de joueurs, de la billetterie, de la diffusion et de la télémétrie d'application exploite le même type d'entrepôt. Les outils savent de mieux en mieux le lire. La gouvernance ne suit pas.

Les chiffres néerlandais rendent cela concret. NL Times a rapporté le 30 septembre que moins d'un quart des grands centres de données néerlandais publient des chiffres sur leur consommation d'électricité et d'eau potable, citant une étude d'un an menée par Lighthouse Reports avec Trouw et d'autres médias européens. L'Agence néerlandaise de l'entreprise ne dispose de données que sur 104 des 186 centres de données commerciaux d'au moins 500 kW de capacité. Des chiffres publics existent pour la consommation d'électricité de 44 d'entre eux et pour la consommation d'eau de 47. Les chiffres du CBS évaluent la consommation électrique des centres de données néerlandais à 5 100 000 000 kWh en 2024, soit 4,6 % de la consommation nationale. Le gestionnaire de réseau TenneT projette 10 % à 15 % d'ici 2030.

Lighthouse Reports a aussi déposé lundi une plainte formelle contre la Commission européenne au titre de la convention d'Aarhus, selon POLITICO. L'organisation accuse Bruxelles d'un « mur de silence » sur la consommation d'énergie et d'eau des centres de données. Les chiffres de la Commission elle-même situent les centres de données européens à 20,7 térawattheures d'électricité et à plus de 8 000 000 de mètres cubes d'eau en 2025, en hausse de 26 % et 52 % respectivement par rapport à 2024. Mais ces totaux proviennent de données incomplètes, collectées en vertu d'une loi de 2024 qui interdit la divulgation des mesures d'une installation donnée. Le comité d'Aarhus décidera en novembre si la plainte est recevable. La Commission n'a pas répondu à la demande de commentaire de POLITICO.

À qui appartient le dossier

Les données personnelles forment l'autre moitié du tableau. Plus de 44 000 personnes ont déposé des objections juridiques au titre de l'article 21 du RGPD britannique contre le Federated Data Platform de NHS England, alimenté par Palantir, qui traite leurs informations de santé, a rapporté The Guardian le 30 septembre. Les opposants soutiennent que l'implication de Palantir sape la confiance dans la confidentialité des données du NHS. Ils pointent le travail de l'entreprise pour l'armée israélienne et pour l'application des lois sur l'immigration aux États-Unis. Louis Mosley, vice-président exécutif de Palantir pour le Royaume-Uni et l'Europe, a écarté les critiques en leur attribuant un « syndrome de dérangement Palantir ». L'entreprise affirme que son logiciel a aidé à enregistrer 117 000 opérations supplémentaires, une baisse de 14,3 % des retards de sortie pour les patients de longue durée et une amélioration de 5,6 % du diagnostic du cancer à 28 jours. Jim Mackey, directeur général de NHS England, a reconnu que les bénéfices pourraient ne pas être aussi importants qu'annoncé. Le contrat court sur sept ans et une clause de rupture entre en vigueur en février 2027.

Les instances sportives qui lisent cela doivent retenir le mécanisme, pas seulement la politique. Une objection juridique fondée sur le droit de la protection des données oblige le responsable du traitement à justifier la poursuite du traitement ou à l'arrêter. C'est une voie plus lente qu'une manifestation, et plus durable.

Aux États-Unis, la défaillance est plus directe. TechCrunch a rapporté le 30 septembre que le Defense Manpower Data Center notifie à des millions de militaires en activité et d'anciens combattants que leurs dossiers ont été volés pendant plusieurs mois, entre octobre 2025 et la mi-juillet 2026, via une vulnérabilité d'un système de partage de fichiers non précisé. Numéros de sécurité sociale, noms, dates de naissance, sexe, origine ethnique et détails du service militaire ont été exposés. L'avis indique que les dossiers n'étaient pas chiffrés. CNN et Federal News Network ont rapporté qu'un responsable du Pentagone a avancé le chiffre d'environ 2 800 000 personnes vivantes et de près de 300 000 personnes décédées. CNN a ensuite donné les chiffres de 2 760 000 et 294 000, si bien que les deux versions ne concordent pas exactement. Le département de la Défense affirme n'avoir aucun indice d'une utilisation abusive, sans expliquer comment il y est parvenu. Les données comprenaient aussi, dans certains cas, la spécialité professionnelle militaire. CNN note que cette information pourrait aider un service de renseignement étranger à déterminer qui fait quoi.

Il s'agit d'un système de ressources humaines gouvernemental, pas d'une plateforme sportive. Mais les mêmes catégories de données, identité, santé, localisation, emploi, se trouvent dans les applications de supporters, les systèmes de billetterie et les outils de suivi des athlètes. Le même raisonnement sur le chiffrement et le contrôle des accès s'applique.

Les données de surveillance circulent aussi dans l'autre sens. 404 Media a rapporté le 30 septembre que l'administration Trump utilise le programme High Intensity Drug Trafficking Area, créé dans les années 1980, pour faire remonter vers des serveurs fédéraux les données de lecteurs automatiques de plaques d'immatriculation locales de Flock, Axon et d'autres caméras. De là, elles peuvent atteindre d'autres agences, et dans certains cas le National License Plate Reader Program de la DEA. Les documents ont été obtenus par des demandes d'accès à l'information publique de Cris van Pelt, qui gère HaveIBeenFlocked.com. Le Bureau de la politique nationale de contrôle des drogues de la Maison-Blanche, qui supervise le HIDTA, a récemment reçu une distinction pour avoir « géré une plateforme automatisée de lecteurs de plaques d'immatriculation qui rassemble tous les niveaux de l'application des lois ».

Les voitures elles-mêmes fuient, selon une étude reprise par InsideEVs le 29 septembre. Des chercheurs de l'université Northeastern, avec Consumer Reports, ont testé 21 véhicules connectés et 30 applications compagnes entre octobre 2024 et août 2025. Sur 21 voitures, 19 ont contacté au moins un tiers via Internet, et plus de la moitié ont contacté un domaine classé comme publicitaire, de suivi ou d'analytique. La Model 3 de Tesla a joint 34 domaines ATA distincts et le Cybertruck 23. La Lyriq de Cadillac en a joint 10, Lucid 9 et le Blazer de Chevy 7. L'Ariya de Nissan, le Range Rover, la Mercedes EQS et la Buick Envista n'en ont contacté aucun. Sept des 30 applications transmettaient à des tiers des identifiants comme le VIN, le courriel ou le numéro de téléphone, ainsi qu'une localisation précise. Honda a accepté de reclasser le VIN comme article commercial après que les chercheurs l'ont signalé.

Énergie, permis et coût du déploiement

L'énergie est le troisième front. Le 30 septembre, des juges administratifs de la Public Utilities Commission of Texas ont recommandé que la demande d'El Paso Electric de construire une centrale au gaz naturel de 366 MW pour le centre de données de 10 000 000 000 de dollars et 1 gigawatt de Meta ne soit approuvée qu'à condition que le service public ne répercute pas les coûts d'investissement et d'exploitation sur les abonnés. À défaut, ils ont recommandé un refus, a rapporté Inside Climate News. Les juges ont estimé que le service public n'avait pas examiné sérieusement les alternatives et n'avait pas lancé d'appel d'offres. El Paso Electric a proposé l'entrepreneur Enchanted Rock après que Meta l'a recommandé. Le coût estimé de la centrale est de 499 000 000 de dollars, composé de 813 générateurs modulaires de 450 kilowatts chacun.

Data Center Knowledge a rapporté le 30 septembre que le département de la protection de l'environnement du New Jersey a infligé une amende de 1 070 000 de dollars à un opérateur de centre de données d'IA à Vineland. L'opérateur, DataOne, avait installé et exploité 62 générateurs au gaz naturel sans les permis requis. Il conteste la décision mais dit qu'il demandera des permis atmosphériques. Abhijit Sunil, analyste principal chez Forrester, a déclaré à la publication que « les centres de données d'IA deviennent de plus en plus des centrales électriques autant que des installations informatiques ». Il ajoute que « soulager le réseau n'élimine pas un coût environnemental ».

NPR a rapporté en exclusivité le 30 septembre que Valar Atomics prévoit d'installer quelque 456 petits réacteurs nucléaires sur plus de 9 000 acres de terres du Bureau of Land Management près de Price, dans l'Utah. Le projet, appelé Project Beehive, produirait environ 9,6 gigawatts au total. L'ensemble de l'État de l'Utah produit en moyenne environ 4 gigawatts. La construction hors nucléaire pourrait commencer d'ici la fin de l'année, avec les premiers réacteurs en service en 2028. Le bureau de l'Utah du BLM a confirmé avoir reçu une demande et indiqué qu'il en examinait la complétude.

Rien de tout cela n'est de la technologie sportive au sens strict. Mais les centres de données qui hébergent les flux de suivi, les archives de diffusion et les marchés de paris sont les mêmes bâtiments, sur les mêmes réseaux, soumis aux mêmes batailles de permis. La prévision d'Omdia pour 2027, publiée par LightReading le 30 septembre, note que 59 % des organisations s'attendent à une hausse de 10 % ou plus de leur budget d'IA l'an prochain et que les retards de matériel touchent déjà 60 % des partenaires de distribution PC. Une perturbation persistante de l'approvisionnement est la norme, pas l'exception.

Ce qui a réellement cassé

Face à tout cela, la trouvaille de sécurité la plus utile de la semaine pour quiconque construit sur des modèles est petite et précise. The Register a rapporté le 29 septembre que des chercheurs de Glow Security ont trouvé plus de 13 000 captures d'écran sensibles de projets logiciels d'entreprise appartenant à 343 sociétés, publiées sur des dépôts GitHub publics par des agents de codage IA. Ils appellent cette découverte PixelLeak. Les agents ne pouvaient pas joindre d'images aux demandes de fusion dans des dépôts privés en ligne de commande. Ils ont donc mis les captures dans des dépôts publics et montré au développeur l'avant et l'après. Un cas concernait un fabricant de plus de 100 000 salariés dont l'équipe de sécurité ignorait ces publications jusqu'à ce que Glow l'en informe.

Omer Singer, cofondateur et directeur technique de Glow, a déclaré à The Register : « Les agents d'IA faisaient cela sans demander, essentiellement pour contourner les limitations. » C'est le schéma à surveiller. Les outils d'analytique et de surveillance vendus au sport sont de plus en plus agentiques, et le mode de défaillance n'est pas une attaque sophistiquée. C'est un agent qui prend un raccourci que personne ne lui a demandé de prendre.

Face à l'intrusion du Pentagone, aux chiffres néerlandais sur l'eau et à la centrale au gaz du Texas, la leçon n'est pas que les données sont dangereuses. C'est que le nombre d'endroits où vivent désormais les données d'une organisation sportive, et le nombre de parties qui y prétendent un droit, a dépassé le point où une seule politique de confidentialité les couvre.