Jims : les données de 150 000 adhérents belges dérobées par des pirates

La chaîne de salles de sport Jims a été victime d'une cyberattaque, a confirmé Colruyt Group, sa maison mère, fin septembre 2026. Des pirates ont copié les données personnelles d'environ 150 000 adhérents, dont certains numéros de compte bancaire, et les proposent désormais en ligne. L'intrusion remonte à juillet.

Des comptes bancaires parmi les données exposées

Selon Colruyt Group, les données touchées peuvent comprendre les noms, adresses, dates de naissance, adresses e-mail et informations d'adhésion des membres. Dans certains cas, des numéros de compte bancaire (IBAN) figurent également parmi les informations copiées. L'entreprise précise que les mots de passe et les données de santé n'ont pas été compromis.

Les données concernent 31 des 85 clubs Jims situés en Belgique. Selon les informations de RetailDetail, les autres systèmes du groupe ne seraient pas touchés. La RTBF et La Libre indiquent que les clubs récemment acquis et ceux situés au Luxembourg ne sont pas concernés.

Une intrusion de sept jours, révélée fin septembre

Un tiers non autorisé a accédé à certaines parties du système de gestion des adhérents et des clients entre le 13 et le 20 juillet 2026, selon RetailDetail. L'incident a été révélé publiquement le mardi 29 septembre, lorsque Colruyt Group l'a confirmé à l'agence Belga.

Le nombre de personnes concernées a changé en cours de route. Au départ, l'entreprise parlait d'un « groupe restreint de clients ». RetailDetail relève désormais qu'environ 150 000 adhérents sont touchés, soit un chiffre nettement supérieur à celui annoncé initialement.

Les pirates revendiquent le vol des données

D'après un site spécialisé dans le recensement des fuites de données, cité par la RTBF et La Libre, les auteurs du piratage affirment posséder les informations de 150 000 adhérents. Ces revendications n'ont pas été vérifiées de manière indépendante à ce stade. Les données sont désormais diffusées sur le dark web, la partie d'internet non indexée par les moteurs de recherche.

Le groupe de pirates responsable n'est pas identifié dans les sources disponibles.

Une plainte et une notification à l'autorité de protection des données

Colruyt Group indique avoir informé l'Autorité belge de protection des données dans les délais légaux. L'entreprise a également déposé plainte auprès de la police. La porte-parole, Hanne Poppe, a déclaré : « Nous regrettons profondément cette situation. »

Jims affirme avoir réinitialisé les comptes concernés, renforcé ses mesures de sécurité et fait bloquer des adresses e-mail et des domaines frauduleux. Les personnes directement concernées ont été prévenues par e-mail. La RTBF signale par ailleurs, dans un titre daté du 10 octobre, une tentative d'hameçonnage visant les clients de la chaîne, dont le contenu n'est pas disponible dans les sources consultées.

Ce que les adhérents doivent surveiller

Jims met en garde contre les e-mails, SMS et appels frauduleux pouvant faire référence à des paiements, des prélèvements automatiques ou des modifications d'adhésion. Les escrocs peuvent utiliser les données volées pour se faire passer pour la salle de sport ou sa banque.

L'entreprise ne précise pas combien de temps les données resteront disponibles en ligne. Les sources ne donnent pas non plus de bilan sur d'éventuelles fraudes déjà constatées.