{"id":32356,"date":"2026-09-22T16:00:57","date_gmt":"2026-09-22T14:00:57","guid":{"rendered":"https:\/\/monde25.info\/index.php\/2026\/09\/22\/lorange-bleue-732-385-fiches-dadherents-et-440-326-iban-dans-une-fuite-revendiquee-par-venus1337\/"},"modified":"2026-09-22T16:00:57","modified_gmt":"2026-09-22T14:00:57","slug":"lorange-bleue-732-385-fiches-dadherents-et-440-326-iban-dans-une-fuite-revendiquee-par-venus1337","status":"publish","type":"post","link":"https:\/\/monde25.info\/index.php\/2026\/09\/22\/lorange-bleue-732-385-fiches-dadherents-et-440-326-iban-dans-une-fuite-revendiquee-par-venus1337\/","title":{"rendered":"L\u2019Orange bleue : 732 385 fiches d\u2019adh\u00e9rents et 440 326 IBAN dans une fuite revendiqu\u00e9e par Venus1337"},"content":{"rendered":"
\n
\n\"\ud83d\udd12\" VIE PRIV\u00c9E<\/span>
\n19 septembre 2026<\/span>\n<\/div>\n
\n\"\u26a0\" En bref :<\/strong> Un pirate signant Venus1337<\/strong> a publi\u00e9 le 17 septembre 2026<\/strong> sur un forum cybercriminel la revendication d’une fuite massive visant L’Orange bleue<\/strong>, r\u00e9seau fran\u00e7ais de salles de sport en franchise pr\u00e9sent aussi en Espagne. Il affirme d\u00e9tenir 732 385<\/strong> fiches d’adh\u00e9rents et 440 326<\/strong> IBAN, obtenus via un acc\u00e8s administratif \u00e0 un club. L’entreprise n’a formul\u00e9, \u00e0 la date de publication, aucune confirmation publique.<\/strong>\n<\/div>\n
\n\"\ud83d\udccb\" Sommaire<\/strong><\/p>\n
    \n
  1. Ce que r\u00e9v\u00e8le la revendication<\/a><\/li>\n
  2. Comment l’acc\u00e8s aurait \u00e9t\u00e9 obtenu<\/a><\/li>\n
  3. Quelles donn\u00e9es sont concern\u00e9es<\/a><\/li>\n
  4. Pourquoi 440 326 IBAN changent la donne<\/a><\/li>\n
  5. L’Orange bleue, un r\u00e9seau franco-espagnol<\/a><\/li>\n
  6. Le silence de L’Orange bleue<\/a><\/li>\n
  7. Venus1337 n’est pas ZeroBytes<\/a><\/li>\n
  8. Une vague de fuites qui ne faiblit pas<\/a><\/li>\n
  9. Ce que risquent les adh\u00e9rents<\/a><\/li>\n
  10. Questions fr\u00e9quentes<\/a><\/li>\n<\/ol>\n<\/div>\n
    \nApr\u00e8s l’\u00c9ducation nationale, la DGFiP ou encore SFR, c’est au tour d’un r\u00e9seau de salles de sport de se retrouver au c\u0153ur d’une revendication de piratage. Le pseudonyme cette fois n’est pas celui d\u00e9j\u00e0 connu de la r\u00e9daction : Venus1337<\/strong> affirme avoir siphonn\u00e9 pr\u00e8s de 732 385<\/strong> fiches d’adh\u00e9rents de L’Orange bleue, IBAN compris, en exploitant un acc\u00e8s administratif obtenu dans un seul club. Le chiffre reste, \u00e0 ce stade, une revendication \u2014 non une confirmation de l’entreprise.\n<\/div>\n

    \"\ud83d\udccc\" Ce que r\u00e9v\u00e8le la revendication Venus1337<\/h2>\n

    Un pirate signant Venus1337 revendique, depuis le 17 septembre 2026 sur un forum cybercriminel, le vol de 732 385 fiches d’adh\u00e9rents et 440 326 IBAN appartenant \u00e0 L’Orange bleue<\/strong>, r\u00e9seau fran\u00e7ais de salles de sport en franchise \u00e9galement implant\u00e9 en Espagne. L’acteur affirme avoir obtenu l’acc\u00e8s en compromettant le panneau d’administration d’un club, avant d’exploiter une faille technique pour aspirer la base enti\u00e8re. La base compl\u00e8te, photos de profil des adh\u00e9rents comprises, est propos\u00e9e \u00e0 la vente sur le forum.<\/p>\n

    Trois sources sp\u00e9cialis\u00e9es ind\u00e9pendantes \u2014 Cyberattaque.org<\/a>, Fuites Infos<\/a> et FrenchBreaches<\/a> \u2014 rapportent les deux m\u00eames chiffres (732 385<\/strong> fiches, 440 326<\/strong> IBAN), ce qui constitue un recoupement solide sur les volumes annonc\u00e9s. Aucune de ces sources n’a toutefois pu confronter directement l’\u00e9chantillon \u00e0 une base authentifi\u00e9e par L’Orange bleue elle-m\u00eame.<\/p>\n

    \n

    \"\ud83d\udd13\" Comment l’acc\u00e8s aurait \u00e9t\u00e9 obtenu : panneau d’administration et faille IDOR<\/h2>\n

    Selon le r\u00e9cit publi\u00e9 par Venus1337, l’intrusion n’a pas commenc\u00e9 par une attaque frontale contre l’infrastructure centrale de L’Orange bleue, mais par la compromission du panneau d’administration d’un seul club<\/strong> du r\u00e9seau. Une fois cet acc\u00e8s obtenu, le pirate affirme avoir d\u00e9couvert une vuln\u00e9rabilit\u00e9 de type IDOR<\/strong> (Insecure Direct Object Reference<\/em>, ou \u00ab r\u00e9f\u00e9rence directe non s\u00e9curis\u00e9e \u00e0 un objet \u00bb) dans une fonction d’export de donn\u00e9es \u2014 un d\u00e9faut classique qui permet, en modifiant simplement un identifiant dans une requ\u00eate, d’acc\u00e9der \u00e0 des donn\u00e9es appartenant \u00e0 d’autres comptes ou d’autres clubs que celui auquel l’utilisateur est cens\u00e9 \u00eatre limit\u00e9.<\/p>\n

    Le point le plus pr\u00e9occupant de la revendication concerne l’absence de protection contre l’automatisation : Venus1337 affirme avoir pu envoyer jusqu’\u00e0 200 requ\u00eates par seconde<\/strong> vers cette fonction d’export sans qu’aucun blocage ni limitation de d\u00e9bit (rate limiting<\/em>) ne se d\u00e9clenche. Si ce point se confirme, il sugg\u00e8re qu’un outil cens\u00e9 ne servir qu’\u00e0 un usage interne et ponctuel a pu \u00eatre d\u00e9tourn\u00e9 \u00e0 l’\u00e9chelle industrielle, club apr\u00e8s club, sans d\u00e9clencher d’alerte de s\u00e9curit\u00e9 pendant la dur\u00e9e de l’extraction.<\/p>\n

    \n\"\ud83d\udd14\" \u00c0 noter :<\/strong> Une faille IDOR ne n\u00e9cessite ni logiciel malveillant ni ing\u00e9nierie sociale complexe une fois le premier acc\u00e8s obtenu \u2014 c’est un d\u00e9faut de conception de l’application elle-m\u00eame, qui ne v\u00e9rifie pas si l’utilisateur a r\u00e9ellement le droit de consulter la donn\u00e9e demand\u00e9e. C’est l’une des vuln\u00e9rabilit\u00e9s web les plus fr\u00e9quemment recens\u00e9es dans le classement OWASP des risques applicatifs.\n<\/div>\n
    \n

    \"\ud83d\uddc2\" Quelles donn\u00e9es sont concern\u00e9es<\/h2>\n

    D’apr\u00e8s les \u00e9l\u00e9ments recoup\u00e9s par les trois sources sp\u00e9cialis\u00e9es, les cat\u00e9gories de donn\u00e9es revendiqu\u00e9es comme vol\u00e9es incluent :<\/p>\n