대상: 사고 통지를 받은 네덜란드, 벨기에, 룩셈부르크, 프랑스, 스페인, 독일의 현재 및 전 Basic-Fit 회원과, "회원 요금을 청구하지 못했습니다"라는 메시지를 받은 모든 사람. 이 글은 Basic-Fit의 공식 보도자료, 개인정보 처리방침, 그리고 EU 및 각국 당국의 안내를 바탕으로 합니다. 침입이 어떻게 일어났는지는 다루지 않습니다.
회원이 오늘 해야 할 일
알림을 읽고, 보유 데이터를 정확히 알고 싶다면 열람을 요청하십시오
Basic-Fit는 영향을 받은 회원에게 이미 알렸다고 말합니다. Basic-Fit가 본인에 대해 보유한 정보를 확인하려면 열람 요청을 하십시오. Basic-Fit의 개인정보 처리방침은 requestprivacy@basic-fit.com 주소를 안내하며 요청을 4주 이내에 처리한다고 밝힙니다. "Basic-Fit에서 온" 메시지에 답장하지 말고 직접 이 주소로 보내십시오.
'결제 실패' 메시지를 받았다면 누르지 말고 앱을 직접 여십시오
개인정보 처리방침에 따르면 요금이 미납되면 Basic-Fit는 먼저 이메일로, 그다음 문자 메시지로 결제 알림을 보냅니다. 따라서 '결제 실패' 메시지가 때때로 진짜이기 때문에 가짜를 구별하기 어렵습니다.
Basic-Fit의 경고 페이지는 가짜 메시지가 흔히 결제를 재촉하고, www.basic-fit.com으로 연결되지 않는 링크를 사용하며, Basic-Fit는 이메일이나 요청하지 않은 메시지로 은행 또는 개인 정보를 요구하지 않는다고 말합니다. 앱이나 My Basic-Fit을 직접 열어 요금 상태를 확인하십시오(피싱이란 무엇인가요? 참고).
거래 내역에서 알지 못하는 청구처가 있는지 확인하십시오
거래 내역의 모든 자동이체에는 요금을 청구하는 업체 이름이 표시됩니다. 알지 못하는 이름이 있는지 살펴보십시오.
EU의 Your Europe 포털은 실수로 출금된 자동이체를 8주 이내 환불받을 권리가 있다고 설명합니다. 스페인의 Banco de España는 승인하지 않은 이체라면 기한이 13개월이라고 설명합니다. 자국에서 환불을 요청하는 방법은 은행에 문의하십시오.
'혹시 몰라' 정상적인 헬스장 요금을 취소하지 마십시오
IBAN으로 생기는 위험은 Basic-Fit가 아닌 다른 청구처의 자동이체입니다. Basic-Fit의 개인정보 처리방침은 미납 요금이 알림으로 이어지고, 해결되지 않으면 사건이 추심 업체에 넘겨진다고 밝힙니다. 탈퇴하려면 Basic-Fit의 공식 채널을 통해 해지하십시오.
클럽이나 일정을 안다는 이유만으로 메시지를 믿지 마십시오
네덜란드 공영방송 NOS에 따르면 회원 정보에는 결제 상태와 회원이 지난주에 방문한 클럽이 포함되었습니다. 발신자가 내 클럽을 안다고 해서 Basic-Fit 직원이라는 증거는 아닙니다. 메시지의 전화번호나 링크로 그 메시지가 진짜인지 확인하지 마십시오.
사기 사용을 발견하면 신고하고, 비밀번호를 재사용하지 마십시오
부정 사용을 발견하면 은행에 알리고 자국 경찰에 신고하십시오. 스페인에서는 INCIBE의 무료 비밀 상담 번호 017이 매일 오전 8시부터 오후 11시까지 응답합니다. Basic-Fit는 비밀번호에 접근되지 않았다고 말하지만, 다른 곳에서 Basic-Fit 비밀번호를 재사용했다면 비밀번호 관리자를 이용하면 쉽게 바꿀 수 있습니다.
이메일 + 전화번호 + 회원 유형
→ "요금을 청구하지 못했습니다. 여기서 결제 정보를 업데이트하십시오"
확인: 앱 또는 My Basic-Fit에서 요금 확인, 링크로는 확인하지 않음
IBAN + 이름 + 주소
→ 알지 못하는 청구처의 자동이체
확인: 거래 내역의 자동이체 확인, 은행에 환불 요청
클럽과 최근 방문
→ 운동하는 클럽을 언급하는 메시지나 전화
확인: 클럽을 안다고 증명되지 않음, 앱을 통해 연락
비밀번호와 신분증: 영향 없음(Basic-Fit 기준)
무슨 일이 있었나 (Basic-Fit 기준)
다음 내용은 Basic-Fit의 2026년 4월 13일 보도자료와, 회사와 대변인이 로이터 및 The Register에 밝힌 내용을 바탕으로 합니다.
2026년 4월 13일 이전
Basic-Fit의 시스템 모니터링이 회원의 클럽 방문 기록을 저장하는 시스템에 대한 무단 접근을 발견했습니다. 회사는 발견 후 몇 분 안에 차단했다고 밝힙니다. 보도자료에는 날짜가 나와 있지 않습니다.조사
외부 보안 전문가들은 시스템에 저장된 일부 데이터가 다운로드된 것을 확인했으며, 여러 국가의 활성 회원과 관련되어 있습니다.2026년 4월 13일
Basic-Fit는 보도자료를 발표하고, 관련 개인정보 보호 기관에 통지했으며 관련 회원에게 알렸다고 말합니다. 로이터에는 전체 규모가 약 100만 명의 회원이라고 밝혔습니다.이후
Basic-Fit는 지금까지의 조사에서 데이터가 어디에서든 이용 가능하거나 악용된 것으로 나타나지 않았으며, 외부 전문가와 함께 문제를 계속 모니터링하고 있다고 말합니다.
- 시스템
- Basic-Fit 클럽 방문 기록을 저장하는 시스템
- 다운로드됨
- 회원십 정보, 이름과 주소 정보, 이메일 주소, 전화번호, 생년월일, 은행 계좌 정보
- 영향 없음
- 비밀번호(접근되지 않음). Basic-Fit는 회원의 신분증 사본을 보관하지 않는다고 말합니다
- 회원 정보
- NOS에 따르면: 회원 번호와 유형, 결제 상태, 지난주에 방문한 클럽
- 범위
- 활성 회원, 네덜란드에서 약 20만 명. 로이터에 따르면 다른 국가의 프랜차이즈 클럽은 영향을 받지 않은 별도 시스템을 사용
- 당국
- 관련 개인정보 보호 기관에 통지됨. Basic-Fit의 개인정보 처리방침은 네덜란드의 Autoriteit Persoonsgegevens를 주감독기관으로 명시하고 각 국가의 기관을 나열
- 악용
- 보도자료 시점까지 회사에 따르면 발견되지 않음
해석: '조치 필요 없음'이 '위험 없음'을 뜻하지는 않습니다
Basic-Fit는 영향을 받은 회원의 주요 위험이 피싱 시도라고 말했습니다. 또한 비밀번호와 달리 IBAN은 클릭 한 번으로 바꿀 수 없으며, 몇 년 동안 계속 본인 계좌로 남습니다.
Basic-Fit의 개인정보 처리방침에 따르면 회원 데이터는 회원 자격이 끝난 뒤 2년 후 삭제되지만, 이미 다운로드된 데이터는 이 일정을 따르지 않습니다. 따라서 몇 주 동안만이 아니라 습관적으로 자동이체를 계속 확인하십시오.
헬스장이 특별한 이유: 정기 회원 결제와 매주 기록되는 방문
은행 정보가 관련된 대부분의 유출은 일회성 구매와 관련됩니다. 헬스장은 두 가지 점에서 다릅니다.
사기가 그럴듯해 보이는 이유
- 자동이체로 정기 결제하는 회원에게 "결제에 문제가 있다"는 말은 늘 그럴듯해 보입니다
- 요금이 미납되면 Basic-Fit는 실제로 이메일과 문자로 결제 알림을 보냅니다
- 메시지에 회원 유형, 클럽, 최근 방문이 인용될 수 있습니다
- 압박: "오늘 이용이 차단됩니다", "사건이 추심으로 넘어갑니다"
속지 않고 확인하는 방법
- 앱이나 My Basic-Fit을 직접 열어 요금 상태를 확인하십시오
- **www.basic-fit.com**으로 가지 않는 링크는 Basic-Fit가 아닙니다
- Basic-Fit는 이메일이나 요청하지 않은 메시지로 은행 또는 개인 정보를 절대 요구하지 않는다고 말합니다
- 이미 은행 정보를 가지고 있으므로 링크를 통해 다시 입력할 이유가 없습니다
이 사이트의 견해: Basic-Fit 자동이체와 낯선 자동이체를 다르게 다루십시오
스페인의 Endesa 유출 이후 거래 내역의 자동이체를 확인하라고 권고했습니다. 이번 사건은 조금 다릅니다. 거래 내역에 이미 같은 출처의 정상 자동이체, 즉 헬스장 요금이 포함되어 있기 때문입니다. 이는 두 가지 상반된 실수를 부를 수 있습니다.
- Basic-Fit를 사칭한 사기범에게 결제하는 것
- 두려움에 정상 요금을 취소하여 연체 상태에 빠지는 것
우리의 원칙은 간단합니다. Basic-Fit 자동이체는 앱 안에서 처리하고, 모르는 청구처의 자동이체는 은행을 통해 거부하십시오. 은행 앱이 모든 자동이체를 알려 주는 기능이 있다면 켜 두십시오. 같은 날 이상한 이체를 발견할 수 있습니다.
IBAN과 활동 데이터를 함께 보관하는 기업에게 교훈은, 두 정보를 함께 보관하는 시스템을 제한하라는 것입니다. 방문 기록은 출입 게이트를 여는 데 계좌 번호가 필요하지 않습니다. 조직을 위한 최소 보안 기준을 참고하고, 법적 틀은 GDPR이란 무엇인가요?를 참고하십시오.
같은 위험한 가정, "내 정보가 맞으니 메시지도 진짜일 것이다"는 Booking.com 예약 데이터 유출에서도 나타났습니다. 은행 알림과 로그인 코드가 휴대폰으로 온다면 스마트폰 보안 기초도 함께 확인하십시오.
출처 (공개 기록)
이 글의 사실은 아래 공개 정보를 바탕으로 합니다. Basic-Fit가 공개하지 않은 공격자 주장이나 수치는 사용하지 않았습니다.
- Basic-Fit, "Basic-Fit informs members on an unauthorised data access"(보도자료, 2026년 4월 13일) — corporate.basic-fit.com (PDF)
- Basic-Fit, 개인정보 처리방침(방문 등록, 결제 문제, 보관, 당국; 스페인어판) — basic-fit.com
- Basic-Fit, "Careful with Fake Promotions" — basic-fit.com
- 로이터(Yahoo Finance 경유), "Basic-Fit data breach exposes details of a million gym members"(2026년 4월 13일; 전체 수치, 프랜차이즈 시스템, 피싱 위험) — finance.yahoo.com
- The Register(2026년 4월 13일; Basic-Fit 대변인이 밝힌 국가) — theregister.com
- NOS(2026년 4월 13일, 네덜란드어; 회원 정보 세부 내용) — nos.nl
- 유럽연합, Your Europe, "Payments, transfers and cheques"(자동이체 환불) — europa.eu
- Banco de España(Portal del Cliente Bancario), "Adeudos domiciliados"(스페인어) — clientebancario.bde.es
- INCIBE, Tu Ayuda en Ciberseguridad(017, 스페인어) — incibe.es
업데이트 기록
2026-10-19: 모든 회원이 월 자동이체를 한다는 가정을 계약에 따른 정기 결제로 수정하고, 자동이체 사용자를 위한 조건부 안내를 추가했습니다. 또한 2026년 9월 9일부터 적용되는 신규 계약의 현행 스페인 약관을 확인했으나, 사고 당시 모든 계약에 적용하지는 않았습니다. Basic-Fit — condiciones generales (España).
2026-09-30: 최초 버전. Basic-Fit의 2026년 4월 13일 보도자료, 개인정보 처리방침과 경고 페이지(2026년 9월 30일 확인), 로이터와 The Register가 보도한 내용, EU 및 스페인 당국의 안내를 바탕으로 작성했습니다.
다음으로 읽기
- IBAN이 포함된 다른 유럽 유출: Endesa(스페인: 신분증 번호와 IBAN) / Odido(네덜란드)
- 정확한 정보, 가짜 메시지: Booking.com 예약 데이터 유출
- 유출 뒤에 따르는 사기: 피싱이란 무엇인가요? / 비밀번호 관리자 선택하기
- 2026년 다른 사고: 유출 및 사이버 공격 목록(일본 및 전 세계)
- 운영자용: 조직을 위한 최소 보안 기준