TrainMe, filiale de Decathlon : des données de santé exposées après une fuite

La plateforme de coaching sportif TrainMe, filiale du groupe Decathlon, informe ses utilisateurs d'une fuite de données. L'incident, révélé par une notification que Cyberattaque.org dit avoir consultée, trouve son origine chez un prestataire logiciel externe. Selon l'entreprise, la plateforme elle-même n'a pas été piratée.

Des identités et des historiques d'activité exposés

Selon Cyberattaque.org, qui a pu consulter une copie de la notification adressée aux personnes concernées, les données exposées comprennent le nom, le prénom, l'adresse e-mail, le numéro de téléphone, la date de naissance et l'adresse postale des utilisateurs.

TrainMe confirme aussi l'exposition d'informations liées à l'activité des utilisateurs, dont l'historique de commandes et l'historique d'activité sur le service. Ces éléments permettent de connaître certaines interactions passées avec les coachs.

L'entreprise précise qu'aucune donnée bancaire n'est concernée par l'incident. Le nombre de personnes touchées n'est pas connu à ce stade, faute de chiffre dans les sources disponibles.

Une donnée de santé parmi les informations touchées

L'élément le plus sensible concerne une information que TrainMe qualifie elle-même de donnée de santé. Il s'agit d'une « contrainte à la pratique », c'est-à-dire une limitation physique éventuellement renseignée par l'utilisateur.

Cette donnée n'existe que si l'utilisateur l'a saisie. Elle peut révéler sa capacité à pratiquer une activité physique ou une limitation particulière. Le règlement européen sur la protection des données (RGPD) lui accorde une protection renforcée, au même titre que les autres données de santé.

Un prestataire d'analyse statistique à l'origine de la fuite

Selon TrainMe, la compromission ne vient pas de ses propres systèmes, mais d'un prestataire logiciel externe chargé de l'analyse statistique. L'entreprise affirme que ses dispositifs de surveillance lui ont permis de détecter l'incident et de le maîtriser rapidement.

L'accès concerné aurait ensuite été coupé et l'environnement isolé. L'entreprise ne donne pas le nom de ce prestataire dans la notification consultée. Aucun groupe de pirates n'a, à ce stade, revendiqué l'attaque dans les sources disponibles.

Les sources ne disent pas si la CNIL (Commission nationale de l'informatique et des libertés) a été saisie ni si une plainte a été déposée.

Un secteur de la santé très ciblé

Le média Meer rappelle, en citant l'ANSSI (Agence nationale de la sécurité des systèmes d'information), que 86 % des incidents signalés en 2022 et 2023 concernent des acteurs de santé. Le média souligne que ces organisations détiennent des bases de données massives et interconnectées.

Ce contexte général ne concerne pas directement TrainMe. Il montre toutefois pourquoi les données de santé, même partielles, intéressent les escrocs.