Incident de données dans les systèmes destinés aux supporters d’Ajax (2026)

Les sources publiques ne permettent d’établir ni la date de l’accès initial ni le nombre de personnes touchées. Le 25 mars est donc la date de l’annonce, et non celle du début de l’incident; une valeur de métadonnée égale à zéro ne signifie pas que personne n’a été touché.

Les catégories de données confirmées sont les adresses e-mail, les noms, les dates de naissance et les dossiers d’interdiction de stade. L’attribut relatif à l’interdiction de stade concerne le groupe restreint de moins de 20 personnes dont les dossiers auraient été consultés; il ne doit pas être généralisé à tous les supporters d’Ajax ni à l’ensemble plus large des personnes dont les données étaient techniquement accessibles.

Les quelque 300 000 comptes, 42 000 billets et 538 dossiers d’interdiction décrivent le périmètre le plus large des systèmes potentiellement accessibles, et non des victimes confirmées, des dossiers consultés ou des données exfiltrées. Un transfert contrôlé d’un billet destiné à un dirigeant a démontré la possibilité d’un accès plus étendu, mais ne prouve pas que tous les billets ont été pris. Aucune donnée individuelle n’est importée localement.

Cette fiche ne permet pas d’établir l’identité d’une personne, son statut de supporter d’Ajax, la détention d’un billet ou d’un abonnement, une interdiction de stade, la présence conjointe de champs, une prise de contrôle de compte ou un usage abusif. Les demandes relatives à des billets ou à des droits faisant référence à Ajax doivent être vérifiées par un canal officiel du club indépendant du message, sans utiliser les liens qu’il contient.