L’Orange Bleue : plus de 700 000 abonnés revendiqués dans une fuite

L’Orange Bleue est un réseau de salles de sport et de fitness présent en France et à l’étranger. Un pirate a revendiqué une extraction portant sur 732 385 abonnés, dont 440 326 enregistrements comprenant un IBAN. Les données annoncées incluent noms, prénoms, dates de naissance, adresses postales, téléphones, e-mails, IBAN et BIC, informations de mandat ou de prélèvement, abonnement, club de rattachement et identifiants internes ; des photos de profil seraient également présentes pour certains comptes. L’attaquant affirme avoir obtenu un accès à un outil d’administration utilisé par les clubs, puis exploité une faiblesse de contrôle d’accès de type IDOR permettant d’exporter successivement des données qui ne lui étaient pas destinées. Ce scénario technique, les volumes et le nombre d’IBAN reposent sur la revendication et n’étaient pas officiellement confirmés par L’Orange Bleue au moment de l’alerte. La présence combinée de coordonnées personnelles et bancaires, si elle est authentique, rendrait toutefois l’ensemble particulièrement sensible.