Для: нынешних и бывших участников Basic-Fit в Нидерландах, Бельгии, Люксембурге, Франции, Испании и Германии, которые получили уведомление об инциденте, а также для всех, кто получает сообщение «мы не смогли списать оплату за членство». Статья основана на официальном пресс-релизе Basic-Fit, её политике конфиденциальности и рекомендациях органов ЕС и национальных властей. Она не описывает, как произошёл доступ.
Что участникам делать сегодня
Прочитайте уведомление и запросите свои данные, если хотите знать, что именно хранится
Basic-Fit говорит, что уже проинформировала участников, чьи данные были затронуты. Чтобы узнать, что именно хранится о вас, направьте запрос на доступ к данным: в политике конфиденциальности Basic-Fit указан адрес requestprivacy@basic-fit.com и сказано, что запросы обрабатываются в течение 4 недель. Пишите на этот адрес сами; не отвечайте на сообщение, которое пришло «от Basic-Fit».
Если вы получили сообщение «платёж не прошёл», не переходите по ссылке: откройте приложение сами
Согласно политике конфиденциальности, при неоплате взноса Basic-Fit сначала отправляет напоминания по электронной почте, а затем по SMS. Поэтому сообщение «платёж не прошёл» иногда бывает настоящим, и поддельное трудно отличить.
На странице предупреждений Basic-Fit сказано, что поддельные сообщения часто призывают произвести оплату, используют ссылки, которые не ведут на www.basic-fit.com, и что Basic-Fit никогда не запрашивает банковские или личные данные по электронной почте или в непрошеных сообщениях. Проверьте статус оплаты, открыв приложение или My Basic-Fit самостоятельно (см. что такое фишинг?).
Проверьте выписки на наличие незнакомых получателей платежей
В каждом списании по прямому дебету указано имя получателя. Ищите тех, кого не знаете.
Портал Your Europe Европейского союза сообщает, что списание по прямому дебету, произведённое по ошибке, можно вернуть в течение 8 недель. В Испании Банк Испании разъясняет, что если вы не давали разрешения на списание, срок составляет 13 месяцев. Уточните у своего банка, как запросить возврат в вашей стране.
Не отменяйте законное списание за абонемент «на всякий случай»
Риск связан со списаниями от других получателей, а не от самой Basic-Fit. В политике конфиденциальности Basic-Fit сказано, что неоплаченные взносы ведут к напоминаниям и, если вопрос не решён, дело передаётся в агентство по взысканию задолженностей. Если вы хотите выйти, отмените членство через официальные каналы Basic-Fit.
Не доверяйте сообщению только потому, что в нём знают ваш клуб или расписание
По данным нидерландской государственной телерадиокомпании NOS, информация о членстве включала статус оплаты и клубы, которые участник посещал на прошлой неделе. То, что отправитель знает ваш клуб, не доказывает, что он из Basic-Fit. Никогда не используйте номер телефона или ссылку из сообщения, чтобы проверить, настоящее ли оно.
Сообщайте о мошенничестве и не используйте пароли повторно
Если вы обнаружили мошенническое использование, сообщите в свой банк и в полицию вашей страны. В Испании бесплатная и конфиденциальная линия помощи INCIBE 017 работает ежедневно с 8:00 до 23:00. Basic-Fit сообщает, что пароли не были получены, но если вы использовали пароль Basic-Fit и в других местах, менеджер паролей упростит его смену.
Email + телефон + тип членства
→ «Мы не смогли списать оплату, обновите платёжные данные здесь»
Проверка: оплата в приложении или My Basic-Fit, не по ссылке
IBAN + имя + адрес
→ Списания от незнакомых получателей
Проверка: списания в выписке; запросите возврат в банке
Клуб и недавние посещения
→ Сообщение или звонок с упоминанием клуба, где вы тренируетесь
Проверка: знание клуба ничего не доказывает; свяжитесь через приложение
Пароли и удостоверяющие личность документы: не затронуты (по данным Basic-Fit)
Что произошло (по данным Basic-Fit)
Ниже приведено по пресс-релизу Basic-Fit от 13 апреля 2026 года и по тому, что компания и её представитель сообщили Reuters и The Register.
До 13 апреля 2026 года
Системный мониторинг Basic-Fit обнаружил несанкционированный доступ к системе, которая фиксирует посещения участниками её клубов. Компания говорит, что доступ был прекращён в течение нескольких минут после обнаружения. В пресс-релизе дата не указана.Расследование
Внешние специалисты по безопасности установили, что часть данных, хранящихся в системе, была загружена; речь идёт об активных участниках в нескольких странах.13 апреля 2026 года
Basic-Fit опубликовала пресс-релиз, сообщила, что уведомила соответствующий орган по защите данных и что затронутые участники проинформированы. Компания сообщила Reuters, что общее число составляет около 1 миллиона участников.С тех пор
Basic-Fit заявляет, что расследование пока не показало, что данные были где-либо доступны или использованы, и что компания продолжает наблюдение за ситуацией вместе с внешними специалистами.
- Система
- Система, которая фиксирует посещения участниками клубов Basic-Fit
- Загружено
- Информация о членстве, имя и адрес, адреса электронной почты, номера телефонов, даты рождения и банковские реквизиты
- Не затронуто
- Пароли (доступ не получен). Basic-Fit заявляет, что не хранит удостоверяющие личность документы участников
- Данные о членстве
- По данным NOS: номер и тип членства, статус оплаты и клубы, посещённые на прошлой неделе
- Охват
- Активные участники; около 200 000 в Нидерландах. По данным Reuters, франшизные клубы в других странах используют отдельную систему, которая не пострадала
- Органы власти
- Соответствующий орган по защите данных был уведомлен. В политике конфиденциальности Basic-Fit ведущим органом назван нидерландский Autoriteit Persoonsgegevens, и перечислены органы каждой страны
- Злоупотребления
- Не выявлены на момент пресс-релиза, по словам компании
Как это понимать: «действий не требуется» не означает «риска нет»
Basic-Fit заявила, что главным риском для затронутых участников будут фишинговые атаки. В отличие от пароля, IBAN нельзя изменить одним кликом: он годами остаётся номером вашего счёта.
В политике конфиденциальности Basic-Fit сказано, что данные участника удаляются через 2 года после окончания членства; данные, которые уже были загружены, по этому графику не удаляются. Поэтому проверяйте списания постоянно, а не только в течение нескольких недель.
Почему спортзал — особый случай: регулярные платежи за членство и еженедельно фиксируемые посещения
Большинство утечек с банковскими реквизитами связано с разовыми покупками. Спортзал отличается в двух отношениях:
Что делает мошенничество правдоподобным
- Для участников, которые платят регулярно по прямому дебету, фраза «проблема с вашим платежом» всегда кажется правдоподобной
- Basic-Fit действительно отправляет напоминания об оплате по электронной почте и SMS, если взнос не оплачен
- В сообщении могут быть указаны ваш тип членства, клуб или недавние посещения
- Давление: «доступ будет заблокирован сегодня», «ваше дело передаётся во взыскание»
Как проверить, не попавшись на уловку
- Откройте приложение или My Basic-Fit самостоятельно и посмотрите статус оплаты
- Ссылка, которая не ведёт на www.basic-fit.com, не относится к Basic-Fit
- Basic-Fit заявляет, что она никогда не запрашивает банковские или личные данные по электронной почте или в непрошеных сообщениях
- Банковские реквизиты у неё уже есть: нет причин вводить их снова по ссылке
Позиция этого сайта: по-разному относитесь к списаниям Basic-Fit и незнакомым списаниям
После утечки Endesa в Испании мы рекомендовали проверять списания по прямому дебету в выписке. Этот случай немного другой: в выписке уже есть законное списание от того же источника, а именно оплата абонемента. Это создаёт две противоположные ошибки:
- Заплатить мошеннику, выдающему себя за Basic-Fit
- Отменить реальный взнос из страха и оказаться в задолженности
Наше правило простое: работайте со списанием Basic-Fit в приложении; списания от незнакомых получателей отправляйте на проверку в свой банк. Если банковское приложение может уведомлять о каждом списании, включите это: необычное списание вы увидите в тот же день.
Организациям, которые хранят IBAN вместе с данными об активности, урок такой: ограничивайте, какая система хранит оба типа данных; журналу посещений номер счёта для открытия турникета не нужен. См. минимальную базовую линию безопасности для организаций и, для правовых рамок, что такое GDPR?
То же рискованное допущение, «мои данные верны, значит, сообщение настоящее», появилось и в утечке данных о бронированиях Booking.com. Если уведомления банка и коды для входа приходят на ваш телефон, также изучите основы безопасности смартфона.
Источники (открытые данные)
Факты в этой статье основаны на приведённой ниже открытой информации. Заявления атакующих и цифры, не опубликованные Basic-Fit, не используются.
- Basic-Fit, «Basic-Fit informs members on an unauthorised data access» (пресс-релиз, 13 апреля 2026 года) — corporate.basic-fit.com (PDF)
- Basic-Fit, политика конфиденциальности (регистрация посещений, проблемы с оплатой, хранение, органы власти; испанская версия) — basic-fit.com
- Basic-Fit, «Careful with Fake Promotions» — basic-fit.com
- Reuters (через Yahoo Finance), «Basic-Fit data breach exposes details of a million gym members» (13 апреля 2026 года; общая цифра, франшизная система, риск фишинга) — finance.yahoo.com
- The Register (13 апреля 2026 года; страны, названные представителем Basic-Fit) — theregister.com
- NOS (13 апреля 2026 года, на нидерландском; подробности о данных членства) — nos.nl
- Европейский союз, Your Europe, «Payments, transfers and cheques» (возврат средств по прямому дебету) — europa.eu
- Банк Испании (Portal del Cliente Bancario), «Adeudos domiciliados» (на испанском) — clientebancario.bde.es
- INCIBE, Tu Ayuda en Ciberseguridad (017, на испанском) — incibe.es
История обновлений
2026-10-19: Допущение о ежемесячных прямых дебетах для всех участников заменено на регулярные платежи по договору, а рекомендации для пользователей прямого дебета сделаны условными. Также проверены действующие испанские условия для новых договоров с 9 сентября 2026 года; они не применялись ко всем договорам на момент инцидента. Basic-Fit — condiciones generales (España).
2026-09-30: Первая версия, основанная на пресс-релизе Basic-Fit от 13 апреля 2026 года, её политике конфиденциальности и странице предупреждений (проверено 30 сентября 2026 года), заявлениях, переданных Reuters и The Register, а также рекомендациях органов ЕС и Испании.
Читайте далее
- Другая европейская утечка с IBAN: Endesa (Испания: идентификационные номера и IBAN) / Odido (Нидерланды)
- Верные данные, поддельное сообщение: Утечка данных о бронированиях Booking.com
- Мошенничество после утечки: Что такое фишинг? / Выбор менеджера паролей
- Другие инциденты 2026 года: Список утечек и кибератак (Япония и весь мир)
- Для операторов: Минимальная базовая линия безопасности для организаций