Para: socios y antiguos socios de Basic-Fit en España (y en los demás países afectados) que han recibido la comunicación del incidente, y para cualquiera que reciba un aviso de «tu cuota no se ha podido cobrar». Este artículo se basa en el comunicado oficial de Basic-Fit, su declaración de privacidad y las indicaciones del Banco de España, INCIBE y la AEPD. No trata cómo se produjo el acceso.
Qué hacer hoy si eres socio
Lee la comunicación y, si quieres saber qué datos tuyos hay, pídelo
Basic-Fit afirma que ya informó a los socios cuyos datos se vieron afectados. Si quieres saber exactamente qué datos tuyos guarda, puedes ejercer el derecho de acceso: la declaración de privacidad de Basic-Fit indica el correo requestprivacy@basic-fit.com y un plazo de respuesta de hasta 4 semanas.
Según la AEPD, el derecho de acceso es gratuito y la empresa debe responder en un mes (prorrogable dos meses más en casos complejos). Escribe tú a esa dirección; no respondas a un mensaje que te llegue «de Basic-Fit».
Ante un aviso de «pago fallido», no pulses: abre tú la app
Según su declaración de privacidad, cuando una cuota no se paga, Basic-Fit envía primero recordatorios por correo y luego por SMS. Es decir, el mensaje de «pago fallido» es real a veces, y por eso cuesta distinguir uno falso.
Basic-Fit advierte en su web de que los mensajes fraudulentos suelen ser un «recordatorio de pago» con tono alarmista, con enlaces que no llevan a www.basic-fit.com, y de que nunca te pedirá información financiera por correo, SMS o WhatsApp. Comprueba el estado de tu cuota entrando tú en la app o en My Basic-Fit (ver qué es el phishing).
Revisa los adeudos de acreedores que no reconozcas
En cada adeudo domiciliado de tu extracto aparece el acreedor que lo emite. Busca los que no reconozcas. Según el Banco de España, el Real Decreto-ley 19/2018 recoge tu derecho a devolverlos: si no diste autorización, el plazo es de 13 meses; si la diste, 8 semanas en las condiciones que fija la norma. Pide la devolución a tu banco.
No devuelvas la cuota legítima del gimnasio «por si acaso»
El riesgo del IBAN está en los recibos de otros acreedores, no en el de Basic-Fit. Según su declaración de privacidad, las cuotas impagadas generan recordatorios y, si no se regularizan, el caso pasa a una agencia de cobro. Si lo que quieres es dejar de ser socio, date de baja por los canales oficiales de Basic-Fit.
Desconfía de quien use tu club o tus horarios para parecer legítimo
Según informó la radiotelevisión pública neerlandesa NOS, la información de la suscripción incluía el estado de pago y en qué clubes había estado el socio la semana anterior. Que alguien sepa a qué club vas no demuestra que llame de Basic-Fit. Nunca uses el teléfono o el enlace de un mensaje para comprobar si ese mensaje es real.
Pide ayuda y, si hay fraude, denuncia
La línea 017 de INCIBE es gratuita y confidencial, de 8:00 a 23:00 todos los días (también por WhatsApp en el 900 116 117).
Si detectas un uso fraudulento, avisa a tu banco y presenta denuncia en la Policía Nacional o la Guardia Civil (la Policía Nacional permite iniciarla en su Oficina Virtual de Denuncias). Tus contraseñas no se vieron afectadas según Basic-Fit, pero si reutilizabas la de Basic-Fit en otros sitios, un gestor de contraseñas te ayuda a cambiarla.
Correo + teléfono + tipo de suscripción
→ «No hemos podido cobrar tu cuota, actualiza tu pago aquí»
Comprueba: tu cuota en la app o My Basic-Fit, nunca desde el enlace
IBAN + nombre + dirección
→ Recibos domiciliados de acreedores que no conoces
Comprueba: adeudos del extracto (devolución hasta 13 meses)
Club y visitas recientes
→ Mensaje o llamada que menciona el club donde entrenas
Comprueba: saber tu club no prueba nada; contacta tú por la app
Contraseñas y documentos de identidad: no afectados (según Basic-Fit)
Qué ocurrió (según Basic-Fit)
Lo siguiente procede del comunicado de Basic-Fit del 13 de abril de 2026 y de lo que la empresa y su portavoz declararon a Reuters y The Register. Basic-Fit no ha publicado una cifra de afectados para España.
Antes del 13 de abril de 2026
Los procesos de monitorización de Basic-Fit detectan un acceso no autorizado al sistema que registra las visitas de los socios a los clubes. Según la empresa, se detuvo a los pocos minutos de descubrirse. Basic-Fit no ha precisado la fecha en su comunicado.Investigación
Expertos de seguridad externos concluyen que se descargó parte de los datos del sistema, relativos a socios activos de varios países.13 de abril de 2026
Basic-Fit publica el comunicado, informa de que ha notificado a la autoridad de protección de datos competente y de que los socios afectados ya han sido informados. Indica a Reuters que el total ronda 1 millón de socios.Después
Según Basic-Fit, la investigación no ha mostrado hasta ahora que los datos estén disponibles en ningún sitio ni que se hayan usado de forma indebida. La empresa sigue vigilando la cuestión con especialistas externos.
- Sistema
- El sistema que registra las visitas de los socios a los clubes Basic-Fit
- Descargado
- Información de la suscripción, nombre y dirección, correo electrónico, teléfono, fecha de nacimiento y datos de la cuenta bancaria
- No afectado
- Contraseñas (no se accedió a ellas). Basic-Fit afirma que no guarda documentos de identidad de los socios
- Detalle de la suscripción
- Según NOS: número y tipo de suscripción, estado de pago y los clubes visitados la semana anterior
- Alcance
- Socios activos; unos 200.000 en los Países Bajos. Según Reuters, los clubes franquiciados de otros países usan un sistema separado que no se vio afectado
- Autoridades
- Notificado a la autoridad de protección de datos competente. La declaración de privacidad de Basic-Fit sitúa su autoridad principal en los Países Bajos y enumera la AEPD para España
- Uso indebido
- No detectado hasta la fecha del comunicado, según la empresa
Cómo leerlo: «no hace falta hacer nada» no significa «no hay riesgo»
Basic-Fit indicó que el principal riesgo para los socios son los intentos de phishing. Y un IBAN, a diferencia de una contraseña, no se cambia con un clic: sigue siendo tu cuenta durante años.
La declaración de privacidad de Basic-Fit indica que los datos se borran 2 años después de terminar la suscripción; los que ya se descargaron no siguen ese calendario. Por eso conviene revisar los recibos como un hábito, no solo durante unas semanas.
Por qué el gimnasio es un caso especial: hay pagos periódicos de la cuota y las visitas se registran cada semana
La mayoría de las brechas de datos bancarios afectan a compras puntuales. Un gimnasio es distinto en dos cosas:
Lo que hace creíble el engaño
- Si pagas la cuota periódicamente por domiciliación, un «problema con tu pago» siempre parece posible
- Basic-Fit sí envía recordatorios de pago por correo y SMS cuando una cuota queda impagada
- El mensaje puede citar tu tipo de suscripción, tu club o tus visitas recientes
- Prisa: «tu acceso se bloqueará hoy», «tu caso pasará a cobro»
Cómo comprobarlo sin caer
- Abre tú la app o My Basic-Fit y mira el estado de tu cuota
- Un enlace que no lleva a www.basic-fit.com no es de Basic-Fit
- Basic-Fit dice que nunca te pedirá información financiera por correo, SMS o WhatsApp
- Tus datos bancarios ya los tiene: no hay motivo para volver a introducirlos desde un enlace
El punto de vista de este sitio: trata por separado el recibo de Basic-Fit y los recibos que no reconoces
Tras la brecha de Endesa recomendamos revisar los adeudos del extracto. Este caso es algo distinto: en tu extracto ya hay un recibo legítimo del mismo origen, la cuota del gimnasio. Eso crea dos errores opuestos:
- Pagar a un estafador que se hace pasar por Basic-Fit
- Devolver por miedo la cuota real y acabar con un impago
La regla que proponemos es sencilla: el recibo de Basic-Fit se gestiona dentro de la app; los recibos de acreedores que no conoces se devuelven a través del banco. Y si tu banco te permite recibir un aviso por cada cargo, actívalo: verás un adeudo extraño el mismo día.
Para las empresas que guardan IBAN y datos de actividad, la lección es limitar qué sistema tiene ambos a la vez: un registro de visitas no necesita el número de cuenta para abrir un torno. Lo tratamos en el mínimo de seguridad de una organización, y el marco legal en qué es el RGPD.
Si recibes los avisos del banco y los códigos de acceso en el móvil, repasa también la seguridad básica del smartphone y cómo elegir bien la MFA.
Fuentes (registro público)
Los hechos de este artículo se basan en las fuentes públicas siguientes. No se usan afirmaciones de atacantes ni cifras no publicadas por Basic-Fit.
- Basic-Fit, «Basic-Fit informs members on an unauthorised data access» (comunicado de prensa, 13/04/2026, en inglés) — corporate.basic-fit.com (PDF)
- Basic-Fit, «Declaración de privacidad» (registro de visitas, problemas de pago, conservación de datos, autoridades) — basic-fit.com
- Basic-Fit, «Promociones falsas» (señales de mensajes fraudulentos) — basic-fit.com
- Reuters (vía Yahoo Finance), «Basic-Fit data breach exposes details of a million gym members» (13/04/2026, en inglés; cifra total y sistema de franquicias) — finance.yahoo.com
- The Register (13/04/2026, en inglés; países citados por el portavoz de Basic-Fit) — theregister.com
- NOS (13/04/2026, en neerlandés; detalle de la información de la suscripción) — nos.nl
- Banco de España (Portal del Cliente Bancario), «Adeudos domiciliados» — clientebancario.bde.es
- INCIBE, Tu Ayuda en Ciberseguridad (017) — incibe.es
- AEPD, «Ejerce tus derechos» — aepd.es
- Policía Nacional, Oficina Virtual de Denuncias — denuncias.policia.es
Historial de actualizaciones
2026-10-19: Corregida la afirmación de cobros mensuales por domiciliación para todos los socios: los pagos son periódicos según el contrato y la orientación sobre domiciliación es condicional. Se consultaron las condiciones españolas para contratos nuevos desde el 9 de septiembre de 2026, sin aplicarlas a todos los contratos en la fecha del incidente. Basic-Fit — condiciones generales (España).
2026-09-30: Primera versión, basada en el comunicado de Basic-Fit del 13/04/2026, su declaración de privacidad y su página sobre mensajes fraudulentos (consultadas el 30/09/2026), las declaraciones de la empresa recogidas por Reuters y The Register, y las indicaciones del Banco de España, INCIBE y la AEPD.
Leer a continuación
- Otra brecha en España con IBAN: La brecha de datos de Endesa (DNI e IBAN)
- Mensajes falsos: ¿Qué es el phishing?
- Proteger tus cuentas: Gestores de contraseñas: cómo elegir / Elegir bien la MFA
- El teléfono donde llegan tus avisos: Seguridad básica del smartphone
- Para empresas: El mínimo de seguridad de una organización / Qué es el RGPD