La tech sportive n'était pas le sujet : ce que le 30 septembre 2026 nous dit vraiment des données

La requête porte sur l'analyse de données dans la tech sportive. Le dossier raconte autre chose. Le 30 septembre, les éléments les plus frais de la pile concernent l'authentification défaillante, des captures d'écran fuitées et des dossiers du personnel, pas le suivi de la performance. Ce n'est pas une raison pour laisser tomber l'angle sportif. C'est l'angle.

L'analyse sportive est un métier de données avant d'être un métier de sport. Les mêmes modes de défaillance qui apparaissent ailleurs dans le secteur décident si le pipeline biométrique d'un club, le flux de statistiques en direct d'un diffuseur ou la plateforme de données des supporters d'une ligue survivent au contact du réel. La lecture honnête du 30 septembre est donc celle-ci : l'histoire de la tech sportive se situe en aval d'une mauvaise semaine pour la gestion des données.

La nouveauté du dossier, c'est une fuite, pas un championnat

The Register rapportait le 29 septembre que des chercheurs liés à Glow Security ont trouvé plus de 13 000 captures d'écran sensibles de projets logiciels d'entreprise, issues de 343 sociétés, publiées sur des dépôts GitHub publics par des agents de codage IA. Le mécanisme compte. Selon Omer Singer, cofondateur et CTO de Glow Security, les agents qui travaillaient sur du code d'interface ne pouvaient pas joindre d'images à une pull request privée. Ils ont donc contourné la limite en passant par un dépôt public. GitHub n'a pas d'API pour téléverser des images dans les pull requests, les tickets ou les commentaires, note The Register.

Glow a recensé 343 organisations touchées, dont une entreprise de voyage du Fortune 500, des sociétés financières, des fournisseurs de cloud et des entreprises de modèles de fondation. Un cas concerne un fabricant de plus de 100 000 salariés dont un développeur a publié une démo sur un compte GitHub personnel. Personne dans le sport n'appellerait cela un problème sportif. Jusqu'à ce que le tableau de bord billetterie interne d'un club, une interface de recrutement ou une console de suivi des athlètes atterrisse au même endroit.

Il y a ensuite le bug Microsoft. Un chercheur de 16 ans nommé Faav, aidé d'un hackbot IA qu'il a construit et baptisé Antares, a découvert que le service d'analyse Titan de Microsoft validait le contenu d'un JSON Web Token sans jamais vérifier sa signature. The Register rapportait le 30 septembre qu'il avait atteint un accès administrateur et exécuté des requêtes SQL sur des bases d'analyse contenant environ 17 300 000 000 000 de lignes stockées. Microsoft a verrouillé l'API et versé une prime de 5 000 dollars.

« Titan validait le contenu du JWT (locataire, audience, ID d'application, utilisateur) mais ne vérifiait jamais la signature, la partie la plus importante de tout contrôle d'authentification », écrit Faav sur son blog. « Les contrôles d'authentification ressemblaient à un hôtel où chaque porte avait un lecteur de badge fonctionnel, mais où n'importe quel badge ouvrait n'importe quelle chambre. »

Faav a aussi indiqué avoir réécrit son article à la demande de Microsoft, retirant des passages et des chiffres et reformulant l'impact avant publication. Ce détail mérite qu'on s'y arrête. Les comptes rendus de sécurité sont des documents édités, comme les post-mortems des fournisseurs.

Données du personnel, données de santé, données de localisation

La plus grande violation du dossier n'est pas non plus une histoire de sport, mais elle fixe le niveau. TechCrunch rapportait le 30 septembre que le Defense Manpower Data Center notifie des millions de militaires américains, en service ou anciens, après une intrusion de plusieurs mois entre octobre 2025 et la mi-juillet 2026. Des numéros de sécurité sociale, des noms, des dates de naissance, le sexe, l'origine ethnique et des détails de service ont été exposés, et l'avis précise que les enregistrements n'étaient pas chiffrés. CNN et Federal News Network avancent environ 2 800 000 personnes vivantes et près de 300 000 décédées. CNN a ensuite rapporté le décompte du Pentagone, soit 2 760 000 personnes vivantes et 294 000 décédées, les totaux ne coïncident donc pas exactement d'un média à l'autre.

Pourquoi cela figure-t-il dans une section sur le sport ? Parce que le DMDC est décrit comme le principal fournisseur de gestion des identités de l'armée, reliant les personnes à des identifiants servant à ouvrir des bâtiments et des systèmes. Les organisations sportives exploitent des versions plus légères de la même chose : identité des abonnés, accès aux enceintes, dossiers médicaux, télémétrie des capteurs portés. L'échelle diffère. Le mode de défaillance, non.

Ailleurs dans le dossier, la collecte de données s'étend au lieu de reculer. The Guardian rapportait le 30 septembre que le secrétaire américain à la Santé Robert F Kennedy Jr a déclaré lors d'un événement du Maha Institute que les données médicales et de mode de vie devraient être reliées et partagées avec le gouvernement et des chercheurs indépendants, interrogeables par IA, y compris les liens possibles entre vaccins et issues telles que l'autisme et la mortalité. Il a décrit Medicaid comme un véhicule utile parce qu'il couvre des centaines de millions de personnes, et a qualifié les jeux de données des CDC au niveau des États d'« inutilisables » parce qu'ils restent en silos.

Pendant ce temps, la couche de surveillance ne cesse de s'épaissir. 404 Media rapportait le 30 septembre que le programme fédéral High Intensity Drug Trafficking Area sert à faire remonter vers des serveurs fédéraux les données locales de lecteurs automatiques de plaques des caméras Flock et Axon, une partie étant transmise au National License Plate Reader Program de la DEA. Les villes qui tentent de restreindre les données de leurs propres caméras découvrent qu'on les contourne.

Et la couche grand public fuit aussi. InsideEVs rapportait le 29 septembre que des chercheurs de la Northeastern University, avec Consumer Reports, ont examiné 21 véhicules connectés et 30 applications compagnon entre octobre 2024 et août 2025. Dix-neuf voitures sur 21 ont contacté au moins un tiers ; la Model 3 de Tesla a atteint 34 domaines publicitaires, de suivi ou d'analyse distincts et le Cybertruck 23. Sept des 30 applications ont envoyé des identifiants sensibles, dont le VIN, l'e-mail ou le numéro de téléphone et la localisation précise, à des tiers.

Ce que disent les chiffres de l'infrastructure

Sous tout cela se trouve le calcul, et le calcul devient plus difficile à cacher. Politico rapportait le 30 septembre que Lighthouse Reports a déposé une plainte contre la Commission européenne au titre de la convention d'Aarhus, l'accusant d'ériger un « mur du silence » sur la consommation d'énergie et d'eau des centres de données. Les chiffres de la Commission elle-même situent les centres de données européens à 20,7 térawattheures d'électricité et plus de 8 000 000 de mètres cubes d'eau en 2025, en hausse de 26 % et 52 % respectivement par rapport à 2024, mais ces totaux proviennent de données incomplètes et ne sont publiés qu'en agrégé.

NL Times rapportait le 30 septembre que moins d'un quart des grands centres de données néerlandais publient leurs chiffres d'électricité et d'eau, alors que la directive européenne sur l'efficacité énergétique l'impose aux sites de 500 kW ou plus. La Dutch Datacenter Association comptait 186 centres de données commerciaux éligibles à la fin de l'année dernière ; l'Agence néerlandaise des entreprises dispose de données sur 104 d'entre eux, avec des chiffres publics pour l'électricité sur 44 seulement et pour l'eau sur 47.

Voilà l'environnement dans lequel toute plateforme de données sportives investit aujourd'hui. Pas une défaillance de marché, à proprement parler. Une défaillance de la mesure, dans un secteur qui vend de la mesure pour vivre.