Para: membros atuais e antigos da Basic-Fit nos Países Baixos, Bélgica, Luxemburgo, França, Espanha e Alemanha que receberam o aviso do incidente, e qualquer pessoa que receba a mensagem “não conseguimos cobrar sua mensalidade”. Este artigo se baseia no comunicado oficial de imprensa da Basic-Fit, em sua declaração de privacidade e em orientações de autoridades da UE e nacionais. Ele não trata de como o acesso aconteceu.
O que os membros devem fazer hoje
Leia o aviso e peça seus dados se quiser saber exatamente o que está guardado
A Basic-Fit diz que já informou os membros cujos dados foram envolvidos. Para descobrir exatamente o que ela tem sobre você, faça um pedido de acesso aos dados: a declaração de privacidade da Basic-Fit informa o endereço requestprivacy@basic-fit.com e diz que os pedidos são atendidos em até 4 semanas. Escreva você mesmo para esse endereço; não responda a uma mensagem que chegue “da Basic-Fit”.
Se receber uma mensagem de 'pagamento recusado', não toque: abra o aplicativo por conta própria
Segundo a declaração de privacidade, quando uma mensalidade não é paga, a Basic-Fit envia lembretes de pagamento primeiro por e-mail e depois por mensagem de texto. Por isso, uma mensagem de “pagamento recusado” às vezes é real, o que dificulta distinguir uma falsa.
A página de alerta da Basic-Fit diz que mensagens falsas costumam pedir um pagamento, usar links que não levam a www.basic-fit.com, e que a Basic-Fit nunca pede dados bancários ou pessoais por e-mail ou mensagem não solicitada. Verifique sua situação de mensalidade abrindo o aplicativo ou o My Basic-Fit por conta própria (veja o que é phishing?).
Verifique seus extratos em busca de credores que você não reconhece
Cada débito direto no seu extrato mostra o nome do credor que o está cobrando. Procure os que você não reconhece.
O portal Your Europe da UE diz que você tem direito a que um débito direto feito por engano seja reembolsado em até 8 semanas. Na Espanha, o Banco de España explica que, se você nunca autorizou o débito, o prazo é de 13 meses. Pergunte ao seu banco como solicitar o reembolso no seu país.
Não estorne a mensalidade legítima da academia 'por precaução'
O risco do IBAN são débitos de outros credores, não da própria Basic-Fit. A declaração de privacidade da Basic-Fit diz que mensalidades não pagas geram lembretes e, se não forem resolvidas, o caso é encaminhado a uma agência de cobrança. Se quiser sair, cancele pelos canais oficiais da Basic-Fit.
Não confie em uma mensagem só porque ela conhece a sua academia ou horário
Segundo o radiodifusor público holandês NOS, as informações de associação incluíam a situação de pagamento e em quais academias o membro esteve na semana anterior. Saber qual é a sua academia não prova que quem escreve é da Basic-Fit. Nunca use o telefone ou o link de uma mensagem para verificar se ela é real.
Denuncie fraudes e não reutilize senhas
Se identificar uso fraudulento, avise seu banco e registre a ocorrência na polícia do seu país. Na Espanha, a linha gratuita e confidencial 017 do INCIBE atende todos os dias, das 8h às 23h. A Basic-Fit diz que as senhas não foram acessadas, mas se você usou a senha da Basic-Fit em outros serviços, um gerenciador de senhas facilita trocá-la.
E-mail + telefone + tipo de associação
→ “Não conseguimos cobrar sua mensalidade, atualize seu pagamento aqui”
Verifique: sua mensalidade no aplicativo ou no My Basic-Fit, nunca pelo link
IBAN + nome + endereço
→ Débitos diretos de credores que você não conhece
Verifique: débitos no extrato; peça reembolso ao seu banco
Academia e visitas recentes
→ Mensagem ou ligação que cita a academia onde você treina
Verifique: saber sua academia não prova nada; entre em contato pelo aplicativo
Senhas e documentos de identidade: não afetados (segundo a Basic-Fit)
O que aconteceu (segundo a Basic-Fit)
As informações a seguir vêm do comunicado de imprensa da Basic-Fit de 13 de abril de 2026 e do que a empresa e seu porta-voz disseram à Reuters e ao The Register.
Antes de 13 de abril de 2026
O monitoramento de sistemas da Basic-Fit detectou acesso não autorizado ao sistema que registra as visitas dos membros às suas academias. A empresa diz que ele foi interrompido em minutos após a descoberta. O comunicado de imprensa não informa a data.Investigação
Especialistas externos em segurança constataram que parte dos dados armazenados no sistema foi baixada, referente a membros ativos em vários países.13 de abril de 2026
A Basic-Fit publica seu comunicado de imprensa, diz que notificou a autoridade de proteção de dados competente e que os membros envolvidos foram informados. Ela informou à Reuters que o total é de cerca de 1 milhão de membros.Desde então
A Basic-Fit diz que a investigação até agora não mostrou que os dados estejam disponíveis em algum lugar ou tenham sido usados indevidamente, e que continua monitorando o caso com especialistas externos.
- Sistema
- O sistema que registra as visitas dos membros às academias da Basic-Fit
- Baixados
- Informações de associação, dados de nome e endereço, e-mails, telefones, datas de nascimento e dados da conta bancária
- Não afetados
- Senhas (não acessadas). A Basic-Fit diz que não guarda documentos de identificação dos membros
- Dados de associação
- Segundo a NOS: número e tipo de associação, situação de pagamento e as academias visitadas na semana anterior
- Alcance
- Membros ativos; cerca de 200.000 nos Países Baixos. Segundo a Reuters, as academias franqueadas em outros países usam um sistema separado que não foi afetado
- Autoridades
- A autoridade de proteção de dados competente foi notificada. A declaração de privacidade da Basic-Fit indica a holandesa Autoriteit Persoonsgegevens como autoridade principal e lista a autoridade de cada país
- Uso indevido
- Nenhum identificado até o comunicado de imprensa, segundo a empresa
Como interpretar: 'nenhuma ação necessária' não significa 'nenhum risco'
A Basic-Fit disse que o principal risco para os membros afetados seriam tentativas de phishing. E, ao contrário de uma senha, um IBAN não pode ser trocado com um clique: ele continua sendo sua conta por anos.
A declaração de privacidade da Basic-Fit diz que os dados dos membros são excluídos 2 anos após o fim da associação; dados já baixados não seguem esse cronograma. Por isso, continue verificando seus débitos como um hábito, e não apenas por algumas semanas.
Por que academia é um caso especial: pagamentos recorrentes de associação e visitas registradas toda semana
A maioria dos vazamentos envolvendo dados bancários se refere a compras únicas. Uma academia se diferencia em dois pontos:
O que torna o golpe crível
- Para membros que fazem pagamentos recorrentes por débito direto, “um problema com seu pagamento” sempre parece plausível
- A Basic-Fit de fato envia lembretes de pagamento por e-mail e mensagem de texto quando uma mensalidade não é paga
- A mensagem pode citar o seu tipo de associação, a sua academia ou as suas visitas recentes
- Pressão: “seu acesso será bloqueado hoje”, “seu caso vai para cobrança”
Como verificar sem cair no golpe
- Abra o aplicativo ou o My Basic-Fit por conta própria e veja sua situação de mensalidade
- Um link que não leva a www.basic-fit.com não é da Basic-Fit
- A Basic-Fit diz que nunca pede dados bancários ou pessoais por e-mail ou mensagem não solicitada
- Ela já tem seus dados bancários: não há motivo para inseri-los novamente por um link
Visão deste site: trate o débito da Basic-Fit e os débitos desconhecidos de forma diferente
Depois do vazamento da Endesa na Espanha, recomendamos verificar os débitos diretos no extrato. Este caso é um pouco diferente: seu extrato já contém um débito legítimo da mesma origem, a mensalidade da academia. Isso gera dois erros opostos:
- Pagar a um golpista que se passa pela Basic-Fit
- Estornar a mensalidade real por medo e acabar em atraso
Nossa regra é simples: trate o débito da Basic-Fit dentro do aplicativo; envie os débitos de credores que você não conhece de volta ao seu banco. Se o aplicativo do seu banco puder avisar sobre cada débito, ative a opção: você verá um débito estranho no mesmo dia.
Para empresas que guardam IBANs junto com dados de atividade, a lição é limitar qual sistema guarda os dois: um registro de visitas não precisa de número de conta para liberar uma catraca. Veja a base mínima de segurança para organizações e, para o quadro legal, o que é o GDPR?
A mesma suposição arriscada, “meus dados estão corretos, então a mensagem deve ser real”, apareceu no vazamento de dados de reservas da Booking.com. Se seus alertas bancários e códigos de login chegam ao celular, revise também os fundamentos de segurança do smartphone.
Fontes (registro público)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Não são usadas alegações de atacantes nem números não publicados pela Basic-Fit.
- Basic-Fit, “Basic-Fit informs members on an unauthorised data access” (comunicado de imprensa, 13 de abril de 2026) — corporate.basic-fit.com (PDF)
- Basic-Fit, declaração de privacidade (registro de visitas, problemas de pagamento, retenção, autoridades; versão em espanhol) — basic-fit.com
- Basic-Fit, “Careful with Fake Promotions” — basic-fit.com
- Reuters (via Yahoo Finance), “Basic-Fit data breach exposes details of a million gym members” (13 de abril de 2026; número total, sistema das franquias, risco de phishing) — finance.yahoo.com
- The Register (13 de abril de 2026; países citados pelo porta-voz da Basic-Fit) — theregister.com
- NOS (13 de abril de 2026, em holandês; detalhes das informações de associação) — nos.nl
- União Europeia, Your Europe, “Payments, transfers and cheques” (reembolsos de débito direto) — europa.eu
- Banco de España (Portal del Cliente Bancario), “Adeudos domiciliados” (em espanhol) — clientebancario.bde.es
- INCIBE, Tu Ayuda en Ciberseguridad (017, em espanhol) — incibe.es
Histórico de atualizações
2026-10-19: Corrigida a suposição de débitos mensais para todos os membros, substituída por pagamentos recorrentes previstos no contrato, e orientação condicional para usuários de débito direto. Também foram verificadas as condições atuais na Espanha para novos contratos a partir de 9 de setembro de 2026, sem aplicá-las a todos os contratos na época do incidente. Basic-Fit — condiciones generales (España).
2026-09-30: Primeira versão, com base no comunicado de imprensa da Basic-Fit de 13 de abril de 2026, em sua declaração de privacidade e página de alerta (consultadas em 30 de setembro de 2026), nas declarações divulgadas pela Reuters e pelo The Register, e nas orientações das autoridades da UE e da Espanha.
Leia em seguida
- Outro vazamento europeu com IBANs: Endesa (Espanha: números de identificação e IBANs) / Odido (Países Baixos)
- Dados corretos, mensagem falsa: O vazamento de dados de reservas da Booking.com
- Golpes que seguem um vazamento: O que é phishing? / Como escolher um gerenciador de senhas
- Outros incidentes de 2026: Lista de vazamentos e ciberataques (Japão e mundo)
- Para operadores: A base mínima de segurança para organizações