On Air Fitness piraté : 512 000 membres dans la nature à cause d’une API sans authentification
Une API non sécurisée, zéro authentification, et 17 ans de données clients accessibles librement. Le piratage d’On Air Fitness n’est pas un incident technique isolé : c’est le symptôme d’un défaut de gouvernance de la sécurité qui coûte très cher, sur tous les plans.
Ce qui s’est passé concrètement :
En février 2026, un acteur malveillant revendique sur un forum de cybercriminels la mise en vente d’une base de données extraite des systèmes d’On Air Fitness, chaîne de salles de sport présente sur l’ensemble du territoire français.
Le volume est massif : 512 000 profils clients, 761 000 transactions de vente, et les données internes de 99 clubs (noms, villes, identifiants). L’historique couvre la période 2009 à 2026, soit 17 ans de collecte exposée en un seul incident.
La méthode d’intrusion identifiée est une API mal configurée, accessible sans aucune authentification. L’attaquant n’a pas eu besoin de contourner un système de sécurité : la porte était grande ouverte.
Les données compromises : un profil complet pour chaque victime
Les extraits publiés confirment une base structurée, exploitable immédiatement. Chaque enregistrement contient :
- Nom et prénom
- Adresse email personnelle
- Numéro de téléphone
- Adresse postale complète
- Date de naissance
- Genre
- Club de rattachement
- Date de création du compte
Ce n’est pas une fuite partielle. C’est un profil d’identité complet, combinant données de contact, données démographiques et données comportementales (club fréquenté, ancienneté client). Le tout structuré et prêt à être exploité à grande échelle.
Pourquoi ce type de données est particulièrement dangereux
Un carburant idéal pour le phishing ciblé
Avec un nom, un email, un téléphone, une adresse et le club fréquenté, un attaquant peut construire un message d’hameçonnage extrêmement crédible. Le destinataire ne peut pas détecter la fraude sur la forme, puisque toutes les informations sont exactes.
On parle ici de spear phishing : des attaques personnalisées, conçues pour tromper même les personnes vigilantes. Le taux de réussite de ces campagnes est sans commune mesure avec du phishing générique.
Le risque d’usurpation d’identité à grande échelle
Date de naissance, adresse, téléphone : la combinaison suffit pour initier des démarches frauduleuses auprès de certains organismes, ouvrir des comptes en ligne, ou contourner des vérifications d’identité légères.
Avec 512 000 personnes concernées, c’est une infrastructure de fraude prête à l’emploi qui circule désormais sur les marchés cybercriminels.
Un contexte sectoriel qui s’aggrave
Le piratage d’On Air Fitness ne s’arrête pas là. Le même acteur malveillant a, par la suite, revendiqué la compromission de MaSalleDeSport, un prestataire CRM utilisé par plus de 2 000 salles de sport. Parmi les enseignes potentiellement concernées : Basic-Fit, Fitness Park, et L’Orange Bleue.
Basic-Fit a d’ailleurs confirmé en avril 2026 une fuite touchant environ un million de membres dans six pays européens, incluant des coordonnées bancaires. Le secteur du fitness devient une cible systématique, précisément parce que la maturité cybersécurité y est historiquement faible.
Ce que cela révèle sur le plan technique et réglementaire
Une faute de configuration, pas une attaque sophistiquée
C’est le point central de cet incident : aucune exploitation de vulnérabilité complexe n’a été nécessaire. Une API exposée sans mécanisme d’authentification, c’est l’équivalent d’un serveur de fichiers ouvert sur internet.
Ce type de défaillance est directement adressé par les bonnes pratiques de sécurité applicative (OWASP API Security Top 10, poste n°1 : Broken Object Level Authorization). Il résulte d’un défaut de revue de sécurité lors des développements, ou d’une absence totale d’audit des interfaces exposées.
Les obligations RGPD non respectées
On Air Fitness collectait des données personnelles depuis 2009. Sa propre politique de confidentialité précise que les données ne doivent pas être conservées plus de 6 ans dans le cadre d’un contrat commercial.
L’exposition d’un historique de 17 ans constitue donc un double manquement : absence de mesures techniques adéquates (article 32 du RGPD) et non-respect des durées de conservation (article 5, principe de limitation). Ces deux points sont directement sanctionnables par la CNIL.
La notification à la CNIL, obligatoire dans un délai de 72 heures après constatation d’une violation (article 33 du RGPD), aurait dû être déclenchée immédiatement. L’absence de communication officielle d’On Air Fitness sur cet incident aggrave sa situation réglementaire.
La durée de conservation : un risque sous-estimé
Chez Cyberstrat, nous constatons régulièrement que la durée de rétention des données est le parent pauvre des programmes de conformité. Les entreprises configurent leurs bases au moment de la mise en service, définissent des politiques sur papier, mais n’implémentent jamais les mécanismes d’archivage ou de purge automatiques.
Résultat : des bases qui gonflent pendant des années, sans que personne ne s’en préoccupe. Jusqu’au jour où elles sont exfiltrées.
Ce que vous devez faire si vous êtes membre On Air Fitness
Si vous ou vos collaborateurs êtes adhérents à l’une des salles concernées, voici les mesures à appliquer sans délai :
- Changer immédiatement le mot de passe du compte On Air Fitness et de tout service utilisant le même mot de passe
- Activer l’authentification à deux facteurs (2FA) sur tous vos comptes sensibles (messagerie, banque, réseaux sociaux)
- Redoubler de vigilance face aux emails, SMS et appels entrants, même s’ils paraissent légitimes et personnalisés
- Ne jamais cliquer sur un lien reçu par SMS ou email sans vérifier l’expéditeur réel
- Surveiller vos relevés bancaires pour détecter toute opération non autorisée
- Signaler tout mouvement suspect sur la plateforme Perceval (cybermalveillance.gouv.fr)
Ce que cet incident enseigne aux dirigeants de PME
Vos API sont vos nouvelles portes d’entrée
Les applications métier modernes reposent massivement sur des API : CRM, ERP, outils de gestion des membres, plateformes e-commerce. Chaque API non sécurisée est un vecteur d’exfiltration potentiel. Un audit de surface d’exposition doit faire partie de votre revue de sécurité annuelle.
La sous-traitance amplifie les risques
Le prestataire MaSalleDeSport illustre un risque que nous évoquons systématiquement avec nos clients : la chaîne de sous-traitance est aussi solide que son maillon le plus faible. Sous le RGPD, le responsable de traitement reste exposé en cas de manquement de son sous-traitant. L’article 28 impose des contrats de traitement précis et des audits réguliers.
La conformité RGPD n’est pas qu’un exercice documentaire
Disposer d’un registre des traitements et d’une politique de confidentialité ne protège pas d’une sanction si les mesures techniques ne suivent pas. La CNIL sanctionne sur la base des faits, pas des documents.
Conclusion et accompagnement Cyberstrat
Cet incident est évitable. Techniquement, réglementairement, organisationnellement. Une API mal configurée, des données conservées bien au-delà des durées légales, aucune communication de crise : tous les signaux d’un programme de sécurité inexistant.
Chez Cyberstrat, nous accompagnons les PME et ETI dans la mise en place d’une sécurité concrète et conforme : audit des API et de la surface d’attaque, programme de conformité RGPD opérationnel, gestion des sous-traitants, et préparation à la réponse aux incidents.
Si vous souhaitez savoir où en est réellement votre exposition, commençons par un audit de maturité cybersécurité et conformité RGPD. Nos équipes sont disponibles pour un premier échange sans engagement.
Contactez Cyberstrat pour protéger vos données et celles de vos clients avant que l’incident ne survienne.
