Fuite de données chez Glofox

Les catégories de données vérifiées sont les dates de naissance, les adresses e-mail, le genre, les noms, les mots de passe et les numéros de téléphone. Les adresses e-mail et les noms peuvent servir à créer de fausses alertes de connexion, des messages de renouvellement d’adhésion, des notifications de réservation ou des pièges liés à la réinitialisation des mots de passe. Les numéros de téléphone ouvrent un canal supplémentaire pour les fraudes par SMS et les faux appels d’assistance. Les dates de naissance et le genre aident l’attaquant à donner au message un caractère plus personnel. Cette combinaison présente un risque d’ingénierie sociale plus élevé qu’une fuite d’adresses e-mail seule.

Le champ des mots de passe exige une attention particulière. Les empreintes MD5 sans sel sont considérées comme peu sûres au regard des normes de sécurité actuelles; les mots de passe faibles peuvent être devinés rapidement ou comparés à ceux de fuites antérieures. Si vous avez réutilisé le même mot de passe pour votre messagerie, vos comptes de salle de sport, vos réseaux sociaux ou d’autres services en ligne, le risque dépasse le seul compte Glofox. Même si la présence du mot de passe en clair n’a pas été vérifiée, le changement de mot de passe et l’abandon de sa réutilisation doivent être considérés comme des mesures urgentes en raison de la faiblesse de ce type de hachage.

La date vérifiée de l’incident repose sur des données archivées du 27 mars 2020, et la date de référencement est indiquée comme étant le 10 janvier 2021. Il serait donc incorrect d’interpréter un résultat Glofox dans une recherche utilisateur comme une nouvelle violation de données datant de 2025. Des dates ultérieures peuvent correspondre à la réapparition des données dans différentes listes, à leur vérification ou à leur ajout dans des systèmes; l’incident lui-même remonte à mars 2020.

Il n’a pas été confirmé que des informations financières, des données de cartes bancaires ou de moyens de paiement ont été exposées. Les notifications soulignent l’absence de mots de passe en clair; la divulgation n’est donc pas présentée comme une fuite de mots de passe en clair. Toutefois, le fait que les empreintes des mots de passe soient protégées par une méthode faible ne change pas la nécessité d’agir. Le rapport doit éviter les affirmations exagérées et expliquer clairement le risque résultant de la combinaison des numéros de téléphone, des dates de naissance et des empreintes de mots de passe.

Les utilisateurs les plus exposés sont ceux qui ont une adhésion à une salle de sport ou à un studio de fitness via Glofox et qui réutilisent le même mot de passe sur d’autres comptes. Pour ces personnes, un attaquant peut lancer des tentatives de connexion à d’autres services en utilisant leur adresse e-mail et l’empreinte de leur mot de passe. Le deuxième groupe comprend les membres qui ont communiqué leur numéro de téléphone et leur date de naissance. Ces informations peuvent être utilisées dans des messages qui semblent personnels, tels que de faux renouvellements d’adhésion, de fausses réservations de cours, de fausses alertes de paiement ou des notifications de sécurité des comptes.

Le troisième groupe à risque comprend les personnes qui utilisent la même adresse e-mail pour leurs comptes professionnels, de salle de sport, de santé, de réseaux sociaux et de services financiers. Une adhésion à une salle de sport ne doit pas être directement classée comme une donnée de santé; toutefois, lorsqu’elle est associée à des informations sur les habitudes personnelles, le mode de vie et les coordonnées dans le contexte de la salle de sport, elle accroît le risque pour la vie privée. Si un résultat Glofox correspond à vos données, vous devez donc examiner non seulement votre compte de salle de sport, mais aussi tous les comptes importants associés aux mêmes identifiants.

La première étape consiste à remplacer le mot de passe de votre compte Glofox ou de la salle de sport affiliée par un mot de passe unique et robuste. Si vous avez utilisé le même mot de passe, ou un mot de passe similaire, sur d’autres comptes, choisissez un nouveau mot de passe distinct pour chacun d’eux. Protégez également votre compte de messagerie, car les liens de réinitialisation des mots de passe sont souvent envoyés par e-mail. Activez l’authentification multifacteur sur vos comptes importants et, si possible, privilégiez une application générant des codes à usage unique ou une clé de sécurité.

Ne cliquez pas directement sur les liens relatifs à Glofox dans les e-mails et les SMS qui évoquent une salle de sport ou une réservation. Lorsque vous recevez un avis de renouvellement d’adhésion, de réservation de cours, de problème de paiement ou une alerte de sécurité concernant votre compte, saisissez vous-même l’adresse du site pour vérifier l’information. Ne communiquez pas de mots de passe, de codes de vérification ou d’informations de paiement lors d’appels téléphoniques. La date de naissance et le numéro de téléphone ayant pu être divulgués, ces informations ne doivent pas, à elles seules, être considérées comme une preuve d’identité dans les questions d’authentification.

À long terme, utilisez des mots de passe distincts pour vos comptes de salle de sport, de commerce en ligne et de réseaux sociaux, générez des mots de passe robustes à l’aide d’un gestionnaire de mots de passe et limitez les données personnelles inutiles conservées sur vos anciens comptes. Les informations durables, comme les numéros de téléphone et les dates de naissance, sont difficiles à modifier; elles peuvent donc réapparaître dans des messages frauduleux, même des années après une fuite. Si vous n’utilisez plus votre ancien compte de fitness, revoyez les paramètres du compte, limitez les communications et supprimez les informations de profil inutiles.

La fuite de données de Glofox montre que, dans les systèmes de gestion des adhésions, la sécurité des mots de passe et les données de profil personnel doivent être protégées ensemble. Une protection faible des mots de passe hachés, combinée aux numéros de téléphone et aux dates de naissance, crée des risques à long terme. Une bonne hygiène des mots de passe au quotidien, la sécurité de la messagerie, la vigilance face aux fraudes par SMS et la protection des moyens de récupération des comptes réduisent la probabilité que les données issues de ces anciennes fuites soient réutilisées.

Si vos données correspondent à un résultat Glofox sur LeakData, vous devez le considérer comme l’incident du 27 mars 2020 concernant les données d’adhésion à une salle de sport et les données de compte. Une correspondance ne signifie pas nécessairement que des données de cartes bancaires ou de moyens de paiement ont effectivement été divulguées; toutefois, la présence des adresses e-mail, des numéros de téléphone, des dates de naissance, du genre, des noms et des empreintes de mots de passe crée un risque pour la sécurité des comptes et expose à des messages ciblés. Vos actions doivent se concentrer sur le changement des mots de passe, le renforcement de la sécurité de votre messagerie et la vérification des fausses notifications reçues par téléphone.

L’approche la plus adaptée à cet incident consiste à reprendre le contrôle de vos comptes et à réduire le risque d’ingénierie sociale, sans susciter de panique au sujet des cartes bancaires. Changez votre mot de passe Glofox, faites le nécessaire sur tous les comptes utilisant le même mot de passe, activez l’authentification multifacteur et vérifiez les messages évoquant une salle de sport ou une réservation en passant par les canaux de connexion officiels. Ces mesures réduisent sensiblement la probabilité que les données archivées d’une ancienne fuite soient utilisées dans de nouvelles tentatives de fraude.