FitnessBoutique : une fuite de clients est revendiquée

Une base attribuée à l’enseigne est proposée à la vente

Le 2 octobre 2026, un utilisateur se faisant appeler Syrv4x a publié sur un forum cybercriminel une annonce présentant une base comme la « fitnessboutique.fr database ». FrenchBreaches rapporte que l’auteur revendique 1 960 466 enregistrements, pour un volume annoncé de 3,5 Go, et propose l’ensemble à la vente. Cyberattaque.org rapporte le même volume revendiqué et indique un prix demandé de 750 dollars. Ces chiffres viennent de l’auteur de l’annonce : ils ne constituent pas une confirmation par FitnessBoutique.

FitnessBoutique est bien une enseigne française de matériel de fitness et de nutrition sportive, avec un site de vente en ligne. Cela confirme l’existence de l’organisation nommée dans la revendication, pas l’authenticité ni l’origine de la base proposée. Le point de départ de cette alerte est donc une publication de forum, évaluée par des sources spécialisées, et non une déclaration de la victime.

Les échantillons décrivent des coordonnées et un historique commercial

FrenchBreaches indique avoir vu dans les extraits des noms et prénoms, numéros de téléphone, villes, codes postaux, numéros clients et identifiants uniques. Cyberattaque.org, qui dit avoir consulté un échantillon, décrit aussi des adresses e-mail, dates de naissance, genre et adresses postales complètes. Les deux sources évoquent des champs liés aux comptes et à la relation commerciale.

Les données annoncées vont au-delà d’une simple liste de diffusion. Elles incluent, selon les sources, le magasin ou le site associé au client, des éléments de commandes, de fidélité, de bons ou d’avantages, ainsi que des identifiants internes. Cyberattaque.org précise que les champs annoncés ne comprennent pas de mot de passe, d’IBAN, ni de numéro complet de carte bancaire ou de cryptogramme. Cette absence concerne les champs signalés et les échantillons décrits : elle ne permet pas de dresser une liste exhaustive de tout ce qu’une éventuelle base complète contiendrait.

1,96 million de lignes ne signifie pas 1,96 million de clients

Le nombre mis en avant dans l’annonce est un nombre de lignes. Il ne démontre pas le nombre de personnes uniques concernées. FrenchBreaches souligne qu’une même personne peut apparaître dans plusieurs enregistrements ou avec des champs optionnels différents. Cyberattaque.org rapporte, de son côté, des décomptes distincts revendiqués pour les adresses e-mail, les identifiants techniques et les identifiants clients. Ces écarts vont dans le même sens : il serait imprudent de transformer automatiquement le chiffre de lignes en nombre de victimes.

Les sources relèvent néanmoins des enregistrements dont les dates de création vont jusqu’en 2026, et d’autres plus anciens. Cela peut indiquer la présence d’informations relativement récentes dans les extraits consultés. Cela ne date pas une éventuelle intrusion et ne prouve ni l’actualité de chaque fiche ni l’accès à un système précis.

Le risque concret est le faux message très personnalisé

L’association d’un nom, d’une adresse e-mail, d’un numéro de téléphone, d’une adresse postale et d’éléments de fidélité peut rendre une tentative de fraude beaucoup plus convaincante. Un escroc pourrait, par exemple, évoquer une livraison, une commande, un remboursement, un bon d’achat ou un avantage client. Le détail personnel sert à faire croire que le message vient réellement de FitnessBoutique, d’un transporteur ou d’un service après-vente.

Ce scénario découle des catégories de données décrites. Il ne prouve pas qu’une campagne de phishing est déjà en cours. Si vous recevez un message inattendu qui prétend concerner votre compte ou une commande, ne suivez pas le lien fourni. Ouvrez vous-même le site habituel de l’enseigne, ou recherchez ses coordonnées de votre côté. Un interlocuteur qui connaît votre nom, votre téléphone ou un ancien achat n’est pas, pour autant, légitime.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas vérifier de manière indépendante que FitnessBoutique a subi une intrusion, que Syrv4x possède l’intégralité de la base annoncée, ni que les 1 960 466 enregistrements correspondent à autant de personnes. Les volumes, la taille du fichier, les décomptes détaillés et le prix annoncé relèvent de la revendication du vendeur.

Nous ne pouvons pas établir le mode d’accès, la date d’une éventuelle compromission, le système concerné, la liste complète des données, ni savoir si la base provient d’un système interne, d’un prestataire, d’un export ancien ou d’une autre source. Aucune confirmation publique de FitnessBoutique sur cet incident n’a été relevée dans les sources consultées. Une communication de l’enseigne ou d’une autorité compétente pourrait confirmer, préciser ou contredire les informations actuellement disponibles.

Sources : Cyberattaque.org ↗ · FitnessBoutique ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.