Le 13 avril 2026, Basic-Fit a confirmé une fuite de données touchant environ un million de membres dans plusieurs pays européens, dont 200 000 aux Pays-Bas. La France est concernée, sans que l'entreprise ait pu préciser le nombre de membres touchés à l'annonce. Les adhérents concernés ont reçu un e-mail listant les informations téléchargées. L'accès a été coupé en quelques minutes, une fois l'intrusion repérée par les outils de surveillance internes - trop tard : les coordonnées bancaires figuraient déjà dans le lot.
Ce qui a fuité, et ce qui n'a pas fuité
L'accès non autorisé visait un système précis : celui qui enregistre les passages des membres dans les clubs. Le reste de l'infrastructure n'a pas été touché. Les franchises, qui reposent sur un système séparé, ne sont pas concernées.
Les données téléchargées, selon la liste communiquée par Basic-Fit :
- les informations d'abonnement ;
- nom et prénom ;
- adresse postale et ville ;
- adresse e-mail et numéro de téléphone ;
- date de naissance ;
- numéro de compte bancaire (IBAN) et nom du titulaire.
Deux éléments limitent les dégâts : aucun mot de passe n'a été compromis, et l'enseigne indique ne pas conserver de pièces d'identité de ses membres dans le système touché. Au moment de l'annonce, Basic-Fit n'avait relevé aucun signe de réutilisation de ces données ; l'enquête restait en cours et l'attaquant n'était pas identifié.
Concrètement, le piratage direct de votre compte Basic-Fit n'est pas le scénario à craindre. Le problème se situe du côté de l'IBAN.
Ce qu'un IBAN exposé permet de faire
Un IBAN fuité avec votre nom, votre date de naissance et vos coordonnées, c'est un kit d'usurpation d'identité bancaire à moitié monté. L'exemple le plus courant, décrit par Clément Domingo, président de la Fédération française des fuites de données : un cybercriminel crée une société fictive, émet un mandat SEPA et prélève de petites sommes - 2,99 €, par exemple. "Vu que, la plupart du temps, les gens ne vérifient pas, ils n'y verront que du feu", explique-t-il à franceinfo.
Le même prélèvement de quelques euros peut se répéter mois après mois sans que rien ne vous alerte. C'est ce qui rend ce type de fraude plus insidieux qu'un gros débit unique.
Basic-Fit, de son côté, désigne l'hameçonnage comme le principal risque pour les membres concernés. Un e-mail ou un appel qui connaît déjà votre nom, votre date de naissance, votre club et votre banque franchit bien plus facilement la première ligne de défense. Que le message reprenne votre abonnement et votre IBAN ne le rend pas légitime : c'est précisément le réflexe à combattre.
Ce que vous pouvez faire dès aujourd'hui
1. Vérifiez si vous êtes concerné. Si vous avez reçu l'e-mail de Basic-Fit listant les données téléchargées, vous êtes dans le périmètre. Sinon, restez vigilant : le doute est un bon réflexe face à tout message prétendument lié à cet incident.
2. Bloquez les prélèvements non autorisés. C'est le conseil de Clément Domingo : demandez à votre banque d'activer une liste blanche, un dispositif qui refuse tout prélèvement sans mandat autorisé. Toutes les banques ne proposent pas exactement le même mécanisme - appelez votre conseiller et posez la question clairement : "Comment bloquer un prélèvement SEPA que je n'ai pas signé ?"
3. Surveillez les petits débits. Les prélèvements frauduleux les plus efficaces sont les plus discrets. Repérez dans votre relevé les lignes de quelques euros à une enseigne inconnue. Un rejet de prélèvement se fait auprès de votre banque, avec un délai : plus vous réagissez tôt, mieux c'est.
4. Traitez comme suspect tout message mentionnant "Basic-Fit". Un e-mail vous demandant de "vérifier vos coordonnées bancaires", de cliquer sur un lien pour "sécuriser votre compte" ou de communiquer un code, c'est du hameçonnage, même s'il est parfaitement rédigé. Aucune salle de sport ni aucune banque ne demande un code ou un mot de passe par e-mail ou par téléphone.
5. Ne rappelez pas les numéros qu'on vous donne. Raccrochez, cherchez le numéro officiel vous-même, rappelez. Une minute de détour qui en élimine beaucoup d'ennuis.
6. Activez la double authentification partout où c'est possible. Cette fuite n'a pas exposé de mot de passe, mais un mot de passe réutilisé reste la porte la plus rentable pour un attaquant : la double authentification la ferme.
Ce que vous ne pouvez pas faire
Soyons honnêtes sur les limites : vous ne pouvez pas changer de date de naissance, ni changer facilement d'IBAN pour échapper à la fuite. Vous ne pouvez pas faire effacer vos données des mains des pirates, qui les ont déjà. Et vous ne pouvez pas "surveiller pendant dix ans" en espérant tout voir.
C'est pourquoi des protections automatiques - un blocage des prélèvements non autorisés programmé avec votre banque, des alertes bancaires activées - valent mieux que de compter sur votre vigilance quotidienne. La paranoïa, c'est de la prudence bien placée, à condition de ne pas vous coûter trois heures par semaine. Une configuration, puis on n'en parle plus.
Qui répond, et sous quelle loi
Basic-Fit a annoncé avoir informé les membres concernés et notifié l'Autoriteit Persoonsgegevens, l'autorité de protection des données néerlandaise. Le siège social étant à Hoofddorp, aux Pays-Bas, cette autorité devient l'autorité chef de file de l'enquête au titre du RGPD, même si des membres sont touchés en France, en Belgique, en Allemagne, au Luxembourg et en Espagne. La CNIL reste joignable pour les personnes résidant en France, mais l'enquête principale relève des Pays-Bas.
À la suite de plusieurs incidents majeurs aux Pays-Bas cette année - Odido, Booking, Basic-Fit -, l'autorité néerlandaise a annoncé des contrôles préventifs chez des fournisseurs informatiques. Elle dit aussi vouloir durcir son action, tout en manquant de capacité pour traiter le volume de notifications de fuites. Un sondage publié fin avril va dans le même sens : l'opinion attend des sanctions plus dures.
Autrement dit : une sanction est possible, lente, et ne vous rendra pas votre IBAN secret.
Reste la question que se posent les adhérents eux-mêmes, recueillis par franceinfo : "Qu'est-ce qu'on peut faire ?" La réponse tient en deux temps. En l'état, rien ne permet d'annuler ce qui a déjà fuité. En revanche, tout ce qui précède - blocage des prélèvements, vigilance sur les messages, comptes protégés par une double authentification - réduit fortement ce qu'un pirate peut faire de ces données.
