Buddiz confirme une fuite de données concernant 2 307 utilisateurs. La revendication publiée le 20 octobre visait initialement le domaine padel-normandie.fr, mais les données proviennent en réalité de Buddiz, l’application normande permettant de trouver des partenaires de padel, running, tennis, randonnée ou foot à cinq.
Le hacker Opek0xx affirmait avoir « piraté » le site et extrait 2 307 profils. La réalité technique est légèrement différente : Buddiz indique n’avoir détecté aucune intrusion dans son infrastructure. Une erreur de configuration rendait en revanche la table contenant les profils accessible sans authentification à l’aide d’une clé publique de son API.
Les 2 307 comptes correspondent bien à la base de Buddiz
Buddiz a vérifié les chiffres publiés et indique qu’ils correspondent à l’état de sa base de données au début du mois de juillet 2026. Les 2 307 personnes revendiquées sont donc bien des utilisateurs de l’application.
Le projet Buddiz est né de la communauté Padel Normandie créée par son fondateur Valentin Harrang. Le domaine a servi de porte d’entrée au projet avant son extension à d’autres sports sous la marque Buddiz.
L’application a été lancée en avril 2026 et revendique désormais environ 6 000 sportifs inscrits. Les 2 307 profils compromis correspondent donc à une photographie relativement ancienne de sa croissance.
Emails, téléphones, dates de naissance et positions géographiques
Les statistiques publiées par l’attaquant correspondent à une base particulièrement détaillée. Les 2 307 profils comportent une adresse email et 1 703 contiennent un numéro de téléphone.
Les champs exposés comprennent également les prénoms, noms, genre, ville, préférences sportives et niveau. Le hacker dénombre par ailleurs 1 245 dates de naissance et des coordonnées géographiques associées à plus de 2 100 profils.
Buddiz confirme de son côté que la fuite comprend, selon les comptes, la ville et la position enregistrée dans le profil.
187 profils contenaient une empreinte liée à la certification
Le point le plus sensible concerne la fonctionnalité permettant de certifier l’identité d’un membre. Dans la structure revendiquée apparaissent des champs comme certification_face_descriptor et certification_proof_url.
Buddiz confirme que 187 comptes contenaient une empreinte numérique calculée lors de cette procédure de certification. L’entreprise précise que ces empreintes ont toutes été supprimées le 10 octobre 2026.
Les selfies utilisés pendant la certification ne sont pas concernés, selon Buddiz. Aucun mot de passe ni aucune donnée bancaire ne figure non plus dans le périmètre identifié.
La base pouvait être consultée sans compte
Contrairement à la formulation du hacker, l’incident ne semble donc pas avoir nécessité la compromission d’un serveur ou le vol d’identifiants administrateur.
Une mauvaise configuration des droits d’accès permettait d’interroger directement la table des profils à partir de l’interface de programmation utilisée par l’application. En pratique, la clé publique intégrée au service permettait d’accéder à des informations qui auraient dû rester protégées par des règles d’autorisation côté base de données.
La stack utilisée par Buddiz repose notamment sur Supabase, une plateforme basée sur PostgreSQL qui permet justement de définir des politiques d’accès précises aux différentes tables. L’existence d’une clé publique dans une application n’est pas anormale : ce sont les règles appliquées côté serveur qui doivent empêcher la lecture de données privées.
La faille avait déjà été corrigée depuis le 1er août
Autre élément important : au moment où Opek0xx publie les données le 20 octobre, la vulnérabilité n’est plus exploitable depuis plusieurs semaines.
Buddiz affirme avoir corrigé l’erreur de configuration dès le 1er août 2026. Le contenu revendiqué correspond à une base datant du début juillet, ce qui laisse penser que les données avaient été récupérées avant la correction puis conservées jusqu’à leur publication.
La politique de confidentialité actuelle de Buddiz, mise à jour le 14 septembre, indique notamment que la position géographique est désormais traitée à la volée puis remplacée par une ville lorsque cela est nécessaire.
La CNIL informée et les utilisateurs concernés prévenus
Buddiz indique avoir notifié la violation à la CNIL le 20 octobre et prévoit d’informer individuellement les membres concernés.
La fuite est particulièrement sensible compte tenu du fonctionnement même de l’application : ses utilisateurs indiquent volontairement où ils pratiquent leur sport, leur ville, leur niveau et leurs préférences afin de rencontrer physiquement d’autres sportifs.
Associées au véritable nom, à l’email et parfois au téléphone et à la date de naissance d’une personne, ces informations pourraient faciliter des campagnes de phishing très ciblées ou permettre à un attaquant de se faire passer pour Buddiz, un club ou un autre sportif.
Une fuite confirmée, mais pas un piratage au sens classique
L’incident illustre une différence importante entre une intrusion et une exposition de données. Les 2 307 profils ont bien été exposés et la fuite est confirmée par Buddiz, mais l’entreprise ne constate aucun accès frauduleux à ses serveurs.
Le problème venait d’une table accessible avec des droits trop permissifs. Une erreur finalement corrigée le 1er août, mais suffisamment tard pour qu’une copie des profils soit récupérée puis ressurgisse près de trois mois plus tard.