Fuite de données Fitness Park, Gigafit, Magic Form : les arnaques à venir
Publié le 21 août 2026
Par Evan Maillard — Fondateur de Louche ou pas ?
Fuite de données Fitness Park, Gigafit, Magic Form : pourquoi les arnaques vont pleuvoir
Si vous avez un abonnement dans une salle de sport en France, en Belgique ou en Suisse, il y a une chance non négligeable que vos données personnelles se retrouvent aujourd’hui dans une base qui circule entre cybercriminels.
Un peu plus de 5,2 millions d’enregistrements liés à des adhérents de clubs de fitness ont été mis en vente sur un forum spécialisé. L’origine désignée : Resamania, le logiciel de gestion utilisé en coulisses par une bonne partie des enseignes françaises.
Le point important pour vous n’est pas tant le piratage lui-même que ce qui arrive juste après. Une base de ce type ne dort pas. Elle est revendue, découpée, exploitée.
Et dans les semaines qui viennent, des milliers de personnes vont recevoir un SMS ou un mail parfaitement crédible au sujet de leur abonnement.
Ce que l’on sait, et ce qui reste flou
Un individu a publié sur un forum criminel une revendication portant sur la base de resamania.fr, service aujourd’hui commercialisé sous la marque Xplor. Il annonce 5 273 884 enregistrements uniques, concernant des adhérents en France, en Belgique, en Suisse, au Luxembourg, en Allemagne, en Espagne et au Royaume-Uni.
L’éditeur a de son côté reconnu qu’un tiers non autorisé avait accédé, le 1er août 2026, à des données hébergées sur une ancienne version de sa plateforme. Selon sa communication, la faille a été corrigée et la CNIL a été informée. Les données de cartes bancaires ne seraient pas concernées, mais les identifiants et mots de passe, les IBAN et, dans certains cas, des données de santé le seraient.
Deux réserves à garder en tête :
• Le chiffre de 5,2 millions vient du pirate, pas d’un audit. Personne n’a vérifié l’intégralité de la base de façon indépendante.
• Un enregistrement n’est pas une personne. Un adhérent qui a résilié puis repris, ou qui fréquente deux clubs, peut apparaître plusieurs fois. Le nombre réel de victimes est probablement inférieur au volume annoncé.
Le mode opératoire reste inconnu. Vulnérabilité applicative, identifiants volés, compte à privilèges compromis, mauvaise configuration : aucune hypothèse ne se distingue pour l’instant. La revendication s’accompagne par ailleurs d’un discours politique sur la surveillance des communications en Europe, ce qui relève de la posture du pirate et n’apprend rien sur les faits.
Quelles enseignes sont potentiellement touchées
Resamania est un logiciel professionnel : les adhérents n’ont jamais entendu son nom, mais c’est lui qui gère les dossiers, les abonnements, les prélèvements et les badges d’accès.
C’est le principe du point unique de défaillance : un seul prestataire compromis, et ce sont des dizaines d’enseignes qui se retrouvent exposées d’un coup.
Les réseaux cités dans la revendication comprennent notamment Fitness Park, Gigafit, Magic Form, Liberty Gym, Planète Fitness, les Cercles de la Forme, Aqualigne, Aqualoft, Captonic, Club Next Step, Fitness Corporate, Front de Seine, Genae, Lemon One Fitness, Sporting Form, The Corporate Gym, Wake Up Form, Wefit Club et Wellness Training.
Attention à la lecture de cette liste : voir son enseigne mentionnée ne signifie pas que tous ses adhérents figurent dans la base. La répartition réelle des enregistrements entre les clubs n’est pas établie.
Quelles données ont pu partir
Les extraits publiés laissent apparaître trois familles d’informations.
Votre identité et vos coordonnées : nom, prénom, adresse e-mail, numéro de téléphone, adresse postale, code postal, ville, date de naissance.
Votre contrat : club de rattachement, type de formule, dates de début et de fin, montant de l’abonnement, dates d’annulation, statut actif ou résilié, références liées aux prélèvements.
Des éléments techniques : identifiants internes d’adhérent, identifiant du club et du fournisseur, statut éventuel de membre du personnel.
À cela s’ajoutent, d’après la communication de l’éditeur, des mots de passe et des IBAN pour une partie des personnes concernées.
C’est précisément cette combinaison qui rend l’affaire dangereuse. Une adresse e-mail seule ne vaut pas grand-chose. Une adresse e-mail accompagnée du nom de votre salle, du montant exact de votre mensualité et de la date de votre prochain prélèvement, c’est une arme de persuasion.
Les arnaques à attendre dans les semaines qui viennent
Mettez-vous à la place de l’escroc qui achète cette base. Il dispose de tout ce qu’il faut pour écrire un message que vous n’avez aucune raison de trouver louche.
Le faux prélèvement rejeté. Un SMS vous informe que votre mensualité n’est pas passée et que votre accès sera suspendu sous 48 heures. Un lien, une page aux couleurs de l’enseigne, votre carte bancaire.
Le faux remboursement. À l’inverse : on vous annonce un trop-perçu à vous restituer. Il suffit de « confirmer votre RIB ». Variante particulièrement efficace parce qu’elle ne déclenche pas la méfiance associée à une demande de paiement.
Le faux conseiller. Un appel de quelqu’un qui connaît votre club, votre formule et votre date d’inscription. Cette légitimité apparente sert à obtenir un code reçu par SMS ou à faire valider une opération bancaire.
La réutilisation de mot de passe. Si le mot de passe de votre espace adhérent est le même que celui de votre boîte mail ou de vos achats en ligne, l’attaquant essaiera ailleurs. C’est automatisé, massif, et ça fonctionne.
L’usurpation d’identité. Nom, date de naissance, adresse postale : de quoi ouvrir un compte ou souscrire un service à votre nom.
Comment savoir si le message que vous recevez est louche
Quelques réflexes suffisent à trier presque tous les cas.
Le canal. Une salle de sport qui doit régler un problème de prélèvement vous le dira lors de votre prochain passage, ou par courrier. L’urgence par SMS avec un lien est un marqueur.
L’adresse réelle du lien. Appuyez longuement sur le lien sans l’ouvrir pour afficher sa destination. Un domaine approximatif, un sous-domaine bizarre, une extension inattendue : vous avez votre réponse.
La pression temporelle. Suspension imminente, dernier avertissement, délai de 24 heures. L’urgence artificielle est le carburant de ce type d’arnaque.
La demande finale. Un organisme légitime ne vous demandera jamais votre code de confirmation bancaire, ni votre mot de passe, ni de « re-saisir » votre RIB par formulaire.
La règle qui tranche tout. Ne répondez jamais dans le canal du message. Fermez-le, ouvrez l’application officielle ou appelez votre club au numéro que vous connaissez. Si la demande est réelle, elle y figurera aussi. Sinon, vous avez votre réponse.
Ce qu’il faut faire maintenant
1. Changez le mot de passe de votre espace adhérent, et surtout tous les comptes où vous utilisiez le même.
2. Activez la double authentification partout où elle est proposée, en priorité sur votre messagerie principale.
3. Surveillez vos relevés bancaires sur les prochains mois, en particulier les petits montants récurrents.
4. Vérifiez votre adresse e-mail sur un service de recherche de fuites pour savoir dans quelles autres bases elle circule déjà.
5. Prévenez les personnes vulnérables autour de vous. Ce sont elles que ces campagnes visent en priorité.
6. Signalez les SMS frauduleux au 33700 et les tentatives de phishing sur la plateforme officielle de signalement.
Ne comptez pas sur une notification pour agir. Elle arrivera peut-être, tardivement, et ne couvrira pas forcément votre cas.
Questions fréquentes
Comment savoir si je fais partie des personnes concernées ?
Aucun outil officiel ne permet de le vérifier à ce jour. Vous pouvez contacter votre club et exercer votre droit d’accès auprès de l’enseigne, qui doit vous répondre sous un mois.
Ma carte bancaire est-elle en danger ?
D’après l’éditeur, les numéros de carte ne figurent pas dans les données concernées. En revanche, la présence possible d’IBAN justifie une surveillance des prélèvements. Un prélèvement non autorisé peut être contesté auprès de votre banque, dans un délai de treize mois, et de huit semaines pour un prélèvement SEPA autorisé.
Dois-je résilier mon abonnement ?
Ça ne changerait rien : les données déjà sorties restent en circulation, y compris celles d’anciens adhérents.
Les adhérents belges et suisses sont-ils concernés ?
Oui, la revendication mentionne explicitement plusieurs pays européens dont la Belgique et la Suisse. Les démarches diffèrent selon l’autorité de protection des données compétente.
Cette fuite est-elle confirmée ?
L’accès non autorisé est confirmé par l’éditeur. C’est le volume exact et le contenu intégral de la base qui restent invérifiés à ce stade.
À retenir
Le piratage est déjà derrière vous. Ce qui vient ensuite ne l’est pas. Pendant les prochains mois, considérez tout message inattendu au sujet de votre abonnement sportif comme suspect par défaut, et vérifiez systématiquement par un canal que vous avez choisi vous-même. C’est une habitude qui coûte trente secondes et qui neutralise l’essentiel du risque.