Climb Up (salles d'escalade) : fuite confirmée par l'enseigne, environ 151 000 profils revendiqués avec des liens familiaux et des données d'enfants

Le 14 octobre 2026, Cyberattaque.org a signalé la mise en vente, par un pirate se faisant appeler Alduin, d’un fichier présenté comme issu des clients du réseau de salles d’escalade Climb Up. Le même jour, selon la page d’information publiée par l’enseigne, celle-ci a appris la fuite ; le 15 octobre, Climb Up a écrit à ses clients un courriel intitulé « Information sur la protection de vos données personnelles », dans lequel elle reconnaît « une fuite de données personnelles ayant touché Climb Up », indique avoir notifié la CNIL et engagé une plainte auprès du procureur de la République, et affirme avoir identifié et corrigé la faille de sécurité. Les données concernées sont des données clients enregistrées entre 2016 et mars 2026. Le pseudonyme du pirate ne figure que dans l’article de Cyberattaque.org, seule source consultée à le citer.

Sur l’ampleur, deux ordres de grandeur coexistent sans se recouper. Le pirate revendique environ 151 000 profils dans un fichier JSONL de près de 94 Mo, couvrant selon lui 29 structures françaises, et Climb Up ne confirme ni ce volume ni ce périmètre. L’enseigne indique de son côté que la fuite « concerne 10% des données personnelles de ce dossier client », sans dire si ce pourcentage porte sur les fiches, sur les personnes ou sur les champs, et sans donner de nombre de personnes. Cyberattaque.org, seule source sur ces détails, a examiné un échantillon de 1 001 fiches réparties entre 13 structures : des salles Climb Up (Lyon Gerland, Aix Bouc-Bel-Air, Dijon, Limoges, Paris Porte d’Italie, entre autres) mais aussi des établissements nommés MROC (Villeurbanne, Laennec, Part-Dieu) et SOLO Escalade Toulouse. La page de Climb Up ne mentionne pas ces deux enseignes et aucune source consultée n’explique leur lien avec Climb Up ; le périmètre exact de la fuite reste donc à établir. Les 151 000 lignes ne peuvent pas être assimilées à 151 000 personnes, l’échantillon contenant déjà des doublons et une même personne pouvant avoir plusieurs profils au fil de dix ans.

Les données exposées sont, d’après Climb Up, les noms et prénoms, dates de naissance et âges, adresses postales (pas toujours renseignées), numéros de téléphone, adresses e-mail, salle fréquentée, numéro de fiche et dates d’activité, le compte client en ligne associé, ainsi que les personnes liées à la fiche (enfants, parents, frères et sœurs, conjoint, proches) avec leur nom et leur date de naissance. L’enseigne indique que ni les mots de passe ni les coordonnées bancaires ne sont concernés, ces dernières n’étant pas stockées dans son système d’information, et Cyberattaque.org n’a observé dans l’échantillon aucun champ de mot de passe, aucune donnée bancaire et un champ de cartes systématiquement vide. Les mineurs sont présents par le biais de ces liens familiaux : Cyberattaque.org a compté 259 identifiants distincts de mineurs dans les relations de 1 001 profils (dont certains âgés de 2 ans), 280 profils comportant au moins une relation et 517 liens au total, auxquels s’ajoutent quelques profils de mineurs parmi les fiches principales, une proportion qui ne peut pas être extrapolée à l’ensemble du fichier. Un parent identifié avec les noms, les âges et les coordonnées du foyer de ses enfants permet à un fraudeur d’imiter une salle à propos d’un abonnement, d’un stage ou d’une autorisation parentale, sans qu’aucun message frauduleux n’ait été signalé à ce stade. La gravité est retenue à « élevée » ; elle serait à relever si l’enseigne confirmait un volume important de données de mineurs.

Climb Up a corrigé la faille selon ses dires, notifié la CNIL, engagé une plainte et indique informer progressivement les personnes concernées, qui doivent recevoir un courriel individuel ; elle invite à s’adresser à son délégué à la protection des données pour toute question. La nature de la faille, la date de l’intrusion et le nombre de personnes touchées ne sont pas précisés, et aucun éditeur de logiciel de gestion n’est désigné par l’enseigne ni par les médias consultés.

Les clients, et les parents de jeunes grimpeurs en particulier, peuvent se montrer prudents face à tout message évoquant un abonnement, une réservation, un remboursement ou un stage, ne communiquer ni mot de passe ni code de validation, et vérifier toute demande de paiement en appelant la salle avec les coordonnées de son site officiel plutôt que celles du message reçu. Les courriels suspects peuvent être signalés à Signal Spam, les SMS et appels frauduleux au 33700, et cybermalveillance.gouv.fr propose une assistance en cas de fraude avérée.