TrainMe (Decathlon) : fuite de données imputée à un prestataire logiciel, avec une donnée de santé possible pour certains clients

Vers le 8 octobre 2026, TrainMe, plateforme française de coaching sportif, a adressé à ses clients un courriel les informant d’un incident de sécurité « lié à l’un de nos prestataires logiciels externes », qui a eu des répercussions sur l’environnement de l’entreprise « en exposant un extrait de nos données », selon la notification dont Bonjour la fuite publie une capture et dont Cyberattaque.org dit s’être procuré une copie. Fuites Infos, Cyberattaque.org et FrenchBreaches ont publié chacun un article le jour même, et Bonjour la fuite a inscrit l’incident à son registre à la même date, mais tous reposent sur cette seule notification, et aucun communiqué public de TrainMe ou de Decathlon n’a été trouvé. Ces médias présentent TrainMe comme une filiale ou un service du groupe Decathlon, ce que l’Annuaire des entreprises rend cohérent : la SAS TrainMe y est présidée par Decathlon Pulse, que Le Journal des Entreprises décrit comme la filiale de Decathlon dédiée aux prises de participation, sans que la part du capital détenue ait été vérifiée. Les dates d’intrusion et de découverte, ainsi que la durée de l’exposition, ne sont pas communiquées. Un mois plus tôt, le 7 septembre 2026, le groupe de rançongiciel DireWolf avait revendiqué sur son site une attaque visant le domaine trainme.co, qui est aussi celui de la plateforme personal.trainme.co citée dans la notification : Dexpose et ransomware.live relaient cette publication sans en préciser le volume, ce qui ne représente qu’une seule source, aucun des articles consultés sur l’incident d’octobre ne la mentionne, et rien n’établit à ce stade qu’elle corresponde à l’incident notifié.

TrainMe ne donne ni le nombre de clients concernés, ni le nom du prestataire, ni la période d’exposition, et la revendication de DireWolf n’avance aucun volume : aucun nombre de personnes n’est donc retenu ici. Le terme « extrait » laisse entendre qu’une partie seulement de la base clients est touchée, sans qu’il soit possible de dire laquelle. Côté vecteur, la notification attribue l’incident à un prestataire logiciel externe chargé de l’analyse statistique (Fuites Infos parle d’un prestataire spécialisé dans le « traitement statistique »), tandis que TrainMe affirme que la plateforme personal.trainme.co n’a fait l’objet d’aucune intrusion : ces deux points reposent sur la seule déclaration de l’entreprise, ils n’ont pas pu être vérifiés de façon indépendante, et ils ne suffisent pas à rattacher l’incident à une campagne connue, aucun lien technique avec d’autres fuites récentes n’étant établi.

Les données exposées comprennent, selon la notification, le nom, le prénom, l’adresse électronique, le numéro de téléphone, la date de naissance, l’adresse postale, l’historique de commandes et l’historique d’activité, auxquels s’ajoute une « Donnée de santé » (« Contrainte à la pratique ») que le client n’a renseignée que s’il l’a souhaité dans son parcours. Les sources ne détaillent pas le contenu de ce champ (blessure, pathologie, contre-indication médicale ou simple préférence), ni la proportion de clients qui l’ont rempli, de sorte qu’aucune autre donnée de santé n’est établie. TrainMe qualifie elle-même ce champ de donnée de santé, une qualification propre à l’entreprise que rien d’autre ne recoupe, et la sévérité retenue reste « élevée » faute d’établir le contenu des saisies comme le nombre de clients concernés. Si le champ révèle une information sur l’état de santé de la personne, il relève de la catégorie particulière de l’article 9 du RGPD, dont le traitement est en principe interdit sauf exception (notamment le consentement explicite) et soumis à des garanties renforcées : la qualification dépend du contenu réel des saisies et de la base légale retenue par TrainMe, qu’aucune source ne précise. Le risque concret est double : l’association de l’identité complète, de la date de naissance, de l’adresse et de l’historique d’activité permet des messages d’hameçonnage très crédibles (faux coach, faux courriel de création de mot de passe, faux message de l’Assurance maladie ou d’une mutuelle), tandis qu’une information de santé, contrairement à un mot de passe, ne se change pas et peut alimenter un ciblage fondé sur la situation personnelle de la victime.

TrainMe indique que ses équipes ont rapidement identifié et maîtrisé l’incident, que l’accès concerné a été coupé et l’environnement isolé, puis que les mots de passe de tous les comptes ont été réinitialisés par précaution, bien qu’elle affirme qu’aucun mot de passe ni aucune donnée bancaire n’est concerné, une assertion qui n’a pas pu être vérifiée de façon indépendante. Selon Cyberattaque.org, seule source sur ce point, l’entreprise a aussi renforcé ses exigences de contrôle et ses mesures de sécurité auprès de ses partenaires tiers. L’information des clients est cohérente avec l’obligation de communication aux personnes de l’article 34 du RGPD en cas de risque élevé, mais aucune des sources consultées ne précise si la CNIL a été saisie ; le prestataire, qui agit vraisemblablement comme sous-traitant, est par ailleurs tenu de signaler toute violation à son client, sans que le déroulé de cette alerte soit connu.

Les clients de TrainMe ont intérêt à se méfier de tout courriel, SMS ou appel se réclamant de TrainMe, d’un coach, de l’Assurance maladie ou d’une mutuelle, et à ne jamais cliquer sur un lien pour créer ou modifier un mot de passe : le nouveau mot de passe se définit en saisissant soi-même l’adresse du site ou en ouvrant l’application, puisque la réinitialisation générale offre un prétexte idéal à de faux messages. TrainMe rappelle qu’elle ne réclame jamais d’identifiants ni de codes bancaires par téléphone, courriel ou message. Un mot de passe identique réutilisé sur un autre service mérite d’être changé, les messages suspects peuvent être signalés à Signal Spam (courriels) et au 33700 (SMS et appels), l’assistance de cybermalveillance.gouv.fr est gratuite en cas d’usurpation, et chaque client peut demander à TrainMe, au titre du droit d’accès, quelles données le concernant ont été exposées, ou saisir la CNIL s’il n’obtient pas de réponse.