L'Orange Bleue : 440 000 IBAN d'adhérents revendiqués par un pirate

Un pirate qui se fait appeler Venus1337 affirme avoir extrait les données de 732 385 adhérents de L'Orange Bleue, réseau français de salles de sport, dont 440 326 IBAN. La revendication a été publiée le 17 septembre 2026. Ni l'enseigne ni les autorités ne se sont exprimées publiquement dans les sources consultées.

Des IBAN et des photos parmi les données revendiquées

Selon Cyberattaque.org, le pirate affirme détenir les fiches de 732 385 adhérents, avec 440 326 coordonnées bancaires (IBAN). Les exemples diffusés associent ces IBAN au nom du titulaire, au BIC, à l'établissement bancaire et à une date d'autorisation, ainsi qu'aux coordonnées personnelles de l'adhérent.

Le pirate revendique aussi les photos de profil utilisées par les clubs. Cyberattaque.org indique avoir examiné un aperçu de ces fichiers, qui montre des portraits réalisés dans des salles de sport. Le média ne reproduit pas les visages. Une photo associée à une identité et à des données bancaires peut faciliter une usurpation d'identité ou une fraude.

Les exemples comportent aussi un champ « dernier_passage », qui indique la dernière visite enregistrée de l'adhérent dans la salle. Cyberattaque.org souligne que cette information renseigne sur les habitudes de fréquentation d'une personne.

Une faille revendiquée dans un outil d'export

D'après le récit du pirate, rapporté par Cyberattaque.org, il aurait d'abord obtenu un accès au panneau d'administration d'un club. Il dit ensuite avoir exploité une faille de type IDOR (Insecure Direct Object Reference), c'est-à-dire un accès à une ressource en modifiant son identifiant, dans une fonction d'export.

Le pirate affirme que cette fonction était accessible sans authentification et qu'elle n'était pas limitée en nombre de requêtes. Il dit avoir envoyé jusqu'à 200 requêtes par seconde sans être bloqué. Ces éléments restent à vérifier, comme le souligne Cyberattaque.org, qui précise qu'ils doivent être confrontés aux conclusions de l'enseigne.

La revendication a été relayée par le cabinet d'avocats Kohen Avocats, qui signale aussi les dates anciennes de certaines données, parfois de plusieurs années.

Un chiffre contesté par l'enseigne

Le nombre de fiches revendiqué dépasse nettement celui que L'Orange Bleue affiche. Selon Kohen Avocats, le site officiel de l'enseigne annonce 375 000 adhérents. Le cabinet en conclut que les chiffres du pirate ne peuvent pas être tenus pour acquis.

Selon le même cabinet, le réseau compte près de 400 clubs en France et en Espagne, dont 370 sous l'enseigne Mon Coach Fitness, et annonce 160 millions d'euros de chiffre d'affaires. Chaque club est exploité par un gérant, sous licence de marque. Cette organisation signifie que plusieurs responsables de traitement, la tête de réseau, les gérants et le prestataire de l'outil, peuvent être concernés.

Aucune source consultée ne décrit de communiqué officiel de L'Orange Bleue sur l'intrusion, ni de réaction de la CNIL (Commission nationale de l'informatique et des libertés).

Ce que la loi impose aux responsables de fichiers

Kohen Avocats rappelle que le prestataire qui exploite l'outil doit prévenir chaque responsable de traitement dans les meilleurs délais. La tête de réseau et les gérants de clubs doivent notifier la CNIL dans les meilleurs délais, et au plus tard 72 heures après en avoir pris connaissance, si la fuite est confirmée.

Lorsque le risque est élevé, les adhérents doivent être informés directement. Le cabinet juge que la présence d'IBAN associés à l'identité complète y invite fortement.

Le cabinet précise qu'un IBAN seul ne permet pas des prélèvements. Les adhérents victimes d'opérations non autorisées peuvent toutefois obtenir un remboursement de leur banque.

Une enquête à mener pour confirmer l'intrusion

À ce stade, les sources ne permettent pas de dire si l'intrusion a eu lieu, ni quelle part des fichiers a été réellement extraite. Kohen Avocats estime qu'une revendication publiée sur un forum n'établit pas une intrusion. Seule l'enquête technique peut le faire.

La date exacte de l'extraction n'est pas connue. La revendication date du 17 septembre 2026, et les premiers articles sur le sujet ont été publiés les 18 et 21 septembre 2026.

Cette fuite est revendiquée par ses auteurs et n'a pas été confirmée à ce stade par l'organisation concernée. Elle doit être considérée avec prudence.