Le 23 avril 2026, Cyberattaque.org a documenté une mise en vente revendiquée d’une base attribuée à Bodyhit. Le vendeur annonçait plus de 218 000 clients et plus de 42 000 informations bancaires, dont des IBAN et des BIC. Ces chiffres décrivent sa revendication : le média précise ne pas disposer de confirmation officielle de l’authenticité de la base ni de l’origine des données.
Cette distinction permet d’agir sans présenter l’allégation comme un fait établi. Les risques et conseils ci-dessous sur les IBAN s’appuient sur la CNIL ; ils ne démontrent pas qu’une fraude bancaire ait eu lieu chez Bodyhit.
Ce que le signalement permet d’établir
La publication ciblée de Cyberattaque.org donne une date, un contexte et le contenu de la revendication. Elle mentionne notamment des coordonnées de clients et des informations bancaires. Elle ne permet pas de conclure que tous les adhérents sont concernés, ni que des mots de passe ont été volés.
Pour connaître votre situation, interrogez Bodyhit par un canal officiel trouvé séparément du message d’alerte. La CNIL rappelle que l’organisme responsable peut vous renseigner, et déconseille les sites qui demandent des données personnelles pour prétendre vérifier votre présence dans une fuite.
Ce qu’un IBAN permet réellement
Un IBAN identifie un compte pour les opérations bancaires; ce n’est pas un identifiant de connexion à l’espace bancaire. La CNIL précise qu’il peut néanmoins être utilisé pour tenter des prélèvements illégitimes ou usurper l’IBAN d’une autre personne lors de la création d’un mandat. Un fraudeur peut aussi se servir de données personnelles pour rendre crédible un faux appel ou un hameçonnage.
La CNIL recommande de surveiller les opérations, de vérifier la liste des créanciers autorisés dans l’espace bancaire et de contacter sa banque en cas de doute. La fiche actualisée de Cybermalveillance.gouv.fr sur les fuites de données, mise à jour le 1er octobre 2026, recommande aussi d’informer sa banque si un IBAN figure dans une fuite, de surveiller le compte et de signaler tout prélèvement non autorisé. Ces risques généraux ne démontrent pas qu’ils se soient produits dans le cas Bodyhit.
Le risque ajouté par les mots de passe réutilisés
L’IBAN ne permet pas de tenter une connexion, mais l’adresse e-mail utilisée pour l’abonnement peut être testée avec un mot de passe retrouvé dans une autre fuite. C’est le mécanisme d’effet domino : un secret réutilisé sur un service de sport, une messagerie et un compte marchand transforme trois incidents séparés en une seule chaîne d’accès.
Les priorités ne sont pas les mêmes pour tout le monde. Une personne qui réutilise le même secret doit commencer par sa messagerie, ses comptes financiers et ses services de récupération. Une personne qui utilise déjà des secrets uniques doit surtout surveiller les paiements et les messages qui reprennent des informations exactes sur son abonnement.
Les exemples de demandes à vérifier sont :
- un faux conseiller bancaire qui demande de valider une opération « pour l’annuler » ;
- un faux remboursement d’abonnement qui redirige vers une page de connexion ;
- une demande de mise à jour de RIB accompagnée d’un lien ou d’un document ;
- un SMS qui utilise le nom de Bodyhit pour demander un code ou une confirmation urgente.
Ces scénarios sont des exemples de fraude possibles après une fuite de données, pas des attaques attribuées à Bodyhit par une source vérifiée. Le réflexe recommandé par la CNIL est de ne pas cliquer sur les liens reçus et de saisir soi-même l’adresse du site officiel; en cas d’appel suspect, rappelez votre banque au numéro indiqué sur un relevé. Pour comparer avec un incident documenté touchant des comptes clients, lisez aussi notre article sur les comptes fidélité Magasins U et le guide pour vérifier une alerte de fuite et choisir les mots de passe à changer en premier.
Plan d’action pour un adhérent
- Vérifier le compte bancaire et les prélèvements des dernières semaines.
- Contacter la banque si une notification vérifiée mentionne votre IBAN ou si une opération est inconnue.
- Changer tout mot de passe réutilisé, en commençant par la messagerie et les comptes financiers.
- Activer la double authentification et fermer les sessions inconnues.
- Conserver les SMS, e-mails, numéros appelants et adresses de sites suspects.
- Signaler une opération non autorisée et déposer plainte si les données sont utilisées.
Il n’est pas nécessaire de transmettre son RIB, une pièce d’identité ou une capture complète à un interlocuteur qui contacte spontanément. Le signalement doit contenir le minimum nécessaire et passer par le canal officiel de l’organisme.
Pour les équipes et les franchisés
Les équipes qui gèrent des abonnements doivent préparer une règle simple : aucune modification de coordonnées bancaires sur la seule base d’un e-mail. Une confirmation via l’espace officiel ou un second canal réduit le risque de fraude au changement de RIB.
Il faut aussi éviter de renvoyer vers une page d’assistance dont le domaine n’a pas été vérifié. Un coffre organisé aide à retrouver les accès utilisés par les équipes, mais la protection dépend également de la fermeture des sessions et du contrôle des comptes de récupération.
Le lien avec Soclyde
Soclyde ne surveille pas le compte bancaire et ne remplace pas Bodyhit ou la banque dans la gestion de l’incident. Son utilité est en amont et dans la remédiation : créer un secret unique pour chaque service, organiser les accès et les conserver dans un coffre chiffré local. Une rotation ciblée devient ainsi possible sans noter les nouveaux secrets dans un document ou un e-mail.
À retenir
Un IBAN exposé est une information bancaire à surveiller, pas une clé de connexion. Le danger augmente lorsque cette donnée est associée à un e-mail et à un mot de passe réutilisé. Vérifiez les prélèvements, contactez les organismes par leurs coordonnées officielles et traitez la réutilisation des mots de passe comme une priorité.
Pour aller plus loin : créer des mots de passe forts et uniques ou échanger avec Soclyde.
