Un pirate affirme détenir les données de 151 000 clients du réseau français de salles d’escalade Climb Up. Selon l’analyse d’un échantillon diffusé par le pirate, le fichier contiendrait également des informations concernant des enfants et leurs familles.
Les données personnelles enregistrées par les salles de sport peuvent intéresser les cybercriminels, et celles de Climb Up pourraient bien être tombées entre de mauvaises mains. Mercredi 14 octobre, un individu utilisant le pseudonyme Alduin a publié sur un forum spécialisé dans la revente de données volées une annonce concernant le réseau français de salles d’escalade. Il affirme posséder quelque 151 000 fiches clients provenant de 29 établissements. Une revendication qui n’a pas encore été confirmée par l’enseigne, mais dont les premiers éléments examinés révèlent des informations personnelles détaillées, y compris sur des personnes mineures.
Des coordonnées personnelles issues de plusieurs salles d’escalade
Repérée par le site spécialisé FrenchBreaches, l’annonce porte sur un fichier d’environ 93,5 Mo, dont les données s’étendraient de janvier 2016 à mars 2026. Le pirate propose cette base à deux acheteurs au maximum et fournit un échantillon pour en montrer le contenu. On ignore toutefois si la base complète a déjà trouvé preneur.
Le site Cyberattaque.org indique avoir examiné 1 001 enregistrements issus de cet échantillon. Les fiches concernent 13 établissements différents, parmi lesquels figurent plusieurs salles Climb Up à Lyon, Dijon, Limoges ou encore en région parisienne, mais aussi des structures MROC, une enseigne fondée conjointement par Climb Up et Arkose, et SOLO Escalade. Une répartition qui laisse penser que les informations pourraient provenir d’un outil de gestion commun à plusieurs établissements, plutôt que d’une intrusion visant une seule salle.
Les données sont particulièrement détaillées. Sur les 1 001 fiches analysées, 991 contiennent une adresse électronique, 979 au moins un numéro de téléphone et 485 une adresse postale. On y trouve également les noms, dates de naissance, identifiants clients, établissements fréquentés et dates de dernière activité. Aucun mot de passe ni numéro de carte bancaire n’a en revanche été identifié dans cet échantillon.
Des informations sur des enfants et leurs parents également exposées
Plus préoccupant, les fichiers permettent aussi de retrouver les liens familiaux entre les personnes enregistrées. Cyberattaque.org a identifié 280 profils comportant au moins une relation avec un autre compte, pour un total de 517 liens recensés. Parents, enfants, frères et sœurs peuvent ainsi être associés dans les données.
L’analyse a également permis de relever 259 identifiants distincts correspondant à des mineurs dans ces relations familiales, dont des enfants âgés de seulement deux ans. Ce chiffre ne signifie pas que 259 dossiers complets de mineurs ont été exposés, mais confirme que des informations les concernant figurent dans l’échantillon.
De quoi alimenter des tentatives d’hameçonnage particulièrement ciblées. Avec le nom d’un parent, celui de son enfant, leur salle d’escalade et leurs coordonnées, un escroc pourrait se faire passer pour l’établissement et envoyer un faux message concernant une inscription, un stage ou un paiement en attente.
L’origine de cette fuite présumée demeure inconnue. FrenchBreaches évoque la possible compromission d'un compte utilisateur, sans confirmation officielle. Quant aux 151 000 fiches annoncées, rien ne permet pour le moment de vérifier qu’elles correspondent à autant de personnes distinctes, ni que la totalité des données proposées à la vente est authentique.
En attendant d’éventuelles précisions de Climb Up, les clients du réseau ont donc intérêt à se méfier des messages inattendus évoquant leur abonnement ou les activités de leurs enfants, en privilégiant les canaux officiels de leur salle pour vérifier toute demande de paiement ou de renseignements personnels.
