Swedish Fit, enseigne française spécialisée dans les cours collectifs de fitness, fait l’objet d’une importante revendication de fuite de données. Le hacker Syrv4x affirme avoir récupéré une base contenant 253 155 lignes accompagnée de 253 104 fichiers présentés comme des photos.
L’ensemble représenterait près de 2,4 Go de données : environ 978 Mo pour la base clients au format JSONL et 1,4 Go supplémentaires pour le dossier contenant les images. Le hacker propose désormais ces données à la vente.
Une enseigne spécialisée dans les cours collectifs de fitness
Swedish Fit propose des cours collectifs de fitness, de renforcement musculaire, de cardio, de yoga ou encore de Pilates, en salles mais également en ligne. Son fonctionnement repose notamment sur la création de comptes permettant de gérer les abonnements, forfaits et réservations de cours.
C’est précisément ce type d’environnement qui semble apparaître dans les données présentées par Syrv4x : la structure revendiquée ne se limite pas à un simple fichier marketing, mais comporte de nombreuses informations liées au compte, aux abonnements et à l’activité des utilisateurs.
Noms, adresses, téléphones et dates de naissance
Les champs communiqués comprennent notamment les noms, adresses postales, codes postaux, villes, pays, adresses email, numéros de téléphone et dates de naissance.
Des informations concernant la création et l’utilisation du compte apparaissent également : date de création, dernière connexion, nombre de connexions, région de rattachement, statut du compte ou encore choix concernant les communications commerciales.
Selon les statistiques publiées par Syrv4x, la base contiendrait 251 568 adresses email, dont 250 979 différentes, ainsi que 238 861 numéros de téléphone, correspondant à 227 286 valeurs uniques.
Le hacker revendique également 198 756 adresses postales, dont 171 882 distinctes. Ces chiffres restent ceux communiqués avec la mise en vente et ne permettent pas d’établir précisément le nombre de personnes uniques touchées.
Tout l’historique sportif potentiellement visible
La fuite revendiquée va beaucoup plus loin que les simples coordonnées des utilisateurs. La structure fournie comprend différentes sections consacrées aux anciens abonnements, forfaits, coupons, cartes et options de réservation.
Des informations peuvent notamment indiquer le type de forfait, sa période de validité, son statut, le pays concerné ou encore la valeur de certains coupons. Un récapitulatif des réservations de cours figure également parmi les champs annoncés.
Ces éléments pourraient donc permettre de reconstruire une partie de l’historique d’utilisation de Swedish Fit pour certains membres : ancienneté du compte, abonnements souscrits, réservations et habitudes liées au service.
Plus de 253 000 images également revendiquées
L’autre élément notable de cette revendication concerne un dossier séparé contenant 253 104 images pour un volume annoncé d’environ 1,4 Go.
Les fiches clients comprennent effectivement un champ destiné à une photo de profil. L’échantillon publié montre toutefois qu’une fiche peut également pointer vers une image générique utilisée par défaut. Sans analyse de l’ensemble du dossier, il n’est donc pas possible d’affirmer que les 253 104 fichiers correspondent tous à des photographies personnelles différentes.
La présence d’un dossier d’images de cette ampleur reste néanmoins particulièrement notable, puisqu’elle suggère que l’attaquant ne se serait pas limité à l’extraction d’une seule table de base de données.
Une base construite sur plus de quinze ans
L’échantillon diffusé montre au moins un compte créé dès 2009, ce qui laisse penser que la base peut contenir des profils particulièrement anciens.
Les 253 155 lignes ne doivent cependant pas être automatiquement assimilées à autant de clients actuels. Syrv4x indique lui-même 253 114 noms renseignés, pour 236 346 noms distincts, ce qui montre la présence de doublons ou de personnes partageant la même identité.
La base contient également des profils provenant d’autres pays. Le hacker évoque notamment 487 profils associés à la Suisse, 452 à l’Allemagne, 382 au Royaume-Uni et 220 au Canada.
Une probable extraction depuis un environnement d’administration
La méthode utilisée pour récupérer les données n’est pas expliquée. Plusieurs éléments de la structure publiée sont cependant associés à des interfaces de gestion de comptes clients, avec des références à des fiches individuelles et à différentes sections administratives.
Cela pourrait être cohérent avec une extraction depuis un outil interne ou un environnement d’administration compromis, mais aucun élément disponible ne permet actuellement d’établir le scénario technique exact. Une vulnérabilité, un compte administrateur compromis ou un autre accès non autorisé restent parmi les possibilités.
Des données particulièrement utiles pour du phishing ciblé
L’association entre nom, téléphone, email, adresse, date de naissance et historique d’abonnements constitue un ensemble particulièrement exploitable pour des campagnes de phishing ou d’ingénierie sociale.
Un attaquant pourrait notamment se faire passer pour Swedish Fit en évoquant un abonnement, une réservation, un remboursement ou une modification de forfait, tout en utilisant de véritables informations pour rendre le message crédible.
Les dates de naissance et adresses complètes peuvent également faciliter certaines tentatives d’usurpation d’identité lorsqu’elles sont combinées avec d’autres bases déjà disponibles dans la nature.
Une fuite revendiquée mais pas encore confirmée
À ce stade, Swedish Fit n’a pas publiquement confirmé cette cyberattaque ni le volume de 253 155 lignes annoncé par Syrv4x. Le hacker a toutefois publié un échantillon de 1 500 lignes ainsi qu’une description détaillée de la structure de la base pour appuyer sa revendication.
La provenance exacte des données, la date de leur extraction et le nombre réel de personnes uniques concernées restent donc à déterminer. Si les volumes annoncés sont confirmés, cette fuite ferait néanmoins partie des compromissions les plus importantes récemment observées dans le secteur français du fitness.