L’Orange Bleue : les données de 732 385 abonnés et 440 326 IBAN revendiquées par un pirate Un cybercriminel affirme avoir obtenu et mettre en vente une base de données attribuée à L’Orange Bleue, réseau français de salles de sport. Dans sa publication, le pirate revendique les données de 732 385 abonnés ainsi que 440 326 IBAN. L’acteur affirme avoir exploité une vulnérabilité de type IDOR dans un outil d’administration afin d’exporter les informations. Ces affirmations restent toutefois à distinguer des éléments pouvant être vérifiés indépendamment. Une nouvelle revendication de fuite de données vise L’Orange Bleue, réseau de clubs de fitness présent en France. Sur un forum cybercriminel, un utilisateur sous le pseudonyme Venus1337 affirme vendre une base contenant les informations de 732 385 abonnés, dont 440 326 IBAN. Dans son message daté du 17 septembre 2026, le pirate affirme également disposer de photos de profil associées aux comptes concernés. :::embed ::: 732 385 abonnés revendiqués Selon la publication du pirate, la base contiendrait les informations de 732 385 abonnés de L’Orange Bleue. L’échantillon visible dans la revendication fait apparaître de nombreux champs relatifs aux adhérents et à leurs abonnements. Les données présentées comprennent notamment : • des noms et prénoms ; • des dates de naissance ; • des adresses postales ; • des codes postaux et villes ; • des numéros de téléphone et de mobile ; • des adresses e-mail ; • des IBAN ; • des BIC ; • des informations liées aux prélèvements ; • des formules d’abonnement ; • des dates d’autorisation ; • des informations liées aux clubs ; • différents identifiants internes. Tous ces champs ne sont pas nécessairement présents ou renseignés pour chaque personne. Les informations personnelles visibles dans les échantillons publiés par le pirate ne doivent pas être reproduites afin de ne pas exposer davantage les personnes concernées. image 440 326 IBAN revendiqués La présence revendiquée de 440 326 IBAN constitue l’un des éléments les plus sensibles de cette publication. L’échantillon diffusé sur le forum semble comporter des champs bancaires associés aux dossiers d’adhérents, notamment des IBAN, BIC, informations de domiciliation et données relatives aux autorisations de prélèvement. La présence d’un IBAN ne permet pas, à elle seule, d’effectuer librement des opérations sur un compte bancaire. Associées à d’autres données personnelles, ces informations peuvent néanmoins faciliter certaines tentatives de fraude ou d’ingénierie sociale. Le pirate affirme avoir exploité une faille IDOR Venus1337 affirme avoir obtenu un accès à un outil d’administration d’un club avant d’identifier une vulnérabilité de type IDOR (Insecure Direct Object Reference) au niveau d’une fonctionnalité d’export. Une IDOR correspond à une faiblesse de contrôle d’accès permettant potentiellement à un utilisateur d'accéder à une ressource qui ne devrait pas lui être accessible en modifiant directement un identifiant ou une référence. Selon le récit du pirate, le point d’accès permettant l’export aurait été publiquement accessible et n’aurait nécessité ni authentification ni identifiants supplémentaires. L’acteur affirme également qu’aucune limitation efficace du nombre de requêtes n’était appliquée et indique avoir pu envoyer jusqu’à 200 requêtes par seconde. Ces éléments correspondent toutefois aux déclarations du pirate. Le seul message publié sur le forum ne permet pas de confirmer indépendamment le fonctionnement technique décrit ni d’établir précisément la chaîne d’intrusion. Une compromission de L’Orange Bleue est-elle confirmée ? La publication montre qu’un acteur cybercriminel revendique l’accès à une importante quantité de données attribuées à L’Orange Bleue et en diffuse un échantillon. Elle ne suffit cependant pas, à elle seule, à confirmer l’ensemble des affirmations techniques du pirate. Plusieurs éléments doivent notamment être distingués : • l’authenticité des données présentées ; • le nombre réel de personnes concernées ; • le nombre exact d’IBAN présents ; • l’origine des données ; • la manière dont elles ont été obtenues ; • l’existence et la nature exacte de la vulnérabilité IDOR revendiquée ; • la date de l’éventuelle compromission. Une confirmation de L’Orange Bleue ou des investigations techniques complémentaires permettraient de préciser ces différents points. Quels sont les risques ? Si la base revendiquée est authentique, la combinaison de données d’identité, de coordonnées et d’informations bancaires pourrait faciliter des campagnes frauduleuses particulièrement crédibles. Des informations telles qu’un nom, une adresse, un numéro de téléphone, une adresse e-mail et un IBAN peuvent notamment être utilisées pour personnaliser fortement des tentatives d’escroquerie. Les données pourraient notamment faciliter : • du phishing ciblé ; • des SMS ou appels frauduleux ; • de l’ingénierie sociale ; • des tentatives d’usurpation d’identité ; • des fraudes se faisan
Orange Bleue : piratage et fuite de données — ce que l’on sait, que faire
