跳至主要內容
ITD網站資安平台
ITD
搜尋

資安指南

#資料外洩#網路釣魚#直接扣款#事件應變#全球

Basic-Fit資料外洩（2026）：IBAN外洩與會員因應方式

Basic-Fit 於 2026 年 4 月 13 日揭露未經授權存取，會員的聯絡資料、出生日期與銀行帳戶資料遭波及。直接扣款、假付款通知郵件。

發布於 2026-09-30 更新於 2026-10-23 最後核實 2026-09-30 閱讀時間 4 分鐘
本頁內容

適用對象：在荷蘭、比利時、盧森堡、法國、西班牙與德國的現任及前任 Basic-Fit 會員（曾收到事件通知者），以及任何收到「我們無法收取您的會費」訊息的人。本文根據 Basic-Fit 的官方新聞稿、其隱私權聲明，以及歐盟與各國主管機關的指引撰寫。本文不涵蓋存取行為如何發生。

會員今天應該做什麼

1

閱讀通知，若想了解您的資料被持有的細節，請申請資料

Basic-Fit 表示，已通知資料受影響的會員。若要了解其持有您的哪些資料，請提出查閱權請求：Basic-Fit 的隱私權聲明提供 requestprivacy@basic-fit.com 這個地址，並表示會在 4 週內處理請求。請自行寫信至該地址；不要回覆一封聲稱「來自 Basic-Fit」的訊息。

2

若收到「付款失敗」訊息，請勿點擊：自行開啟 App

根據其隱私權聲明，會費未付時，Basic-Fit 會先以電子郵件、再以簡訊發送付款提醒。因此「付款失敗」訊息有時是真的，這使得假訊息難以分辨。

Basic-Fit 的警示頁面表示，假訊息常催促您付款、使用不會連到 www.basic-fit.com 的連結，且 Basic-Fit 絕不會以電子郵件或未經請求的訊息索取銀行或個人資料。請自行開啟 App 或 My Basic-Fit 查看您的會費狀態（參見什麼是網路釣魚？）。

3

檢查對帳單，留意您不認識的債權人

對帳單上的每一筆直接扣款都會顯示收款的債權人名稱。請留意您不認識的名稱。

歐盟的 Your Europe 入口網站表示，誤扣的直接扣款您有權申請在 8 週內退款。在西班牙，西班牙銀行說明，若您從未授權該扣款，期限為 13 個月。請向您的銀行詢問所在國如何申請退款。

4

不要為了「以防萬一」而撤銷正當的健身費用

IBAN 的風險在於其他債權人的扣款，而非 Basic-Fit 本身的扣款。Basic-Fit 的隱私權聲明指出，未付費用會導致提醒，若仍未解決，案件會轉交給催收機構。若您想離開，請透過 Basic-Fit 官方管道取消。

5

不要因為訊息知道您的健身館或時間表就信以為真

根據荷蘭公共廣播公司 NOS 的報導，會員資訊包括付款狀態，以及會員前一週造訪過的健身館。對方知道您的健身館，並不能證明他們來自 Basic-Fit。請勿使用訊息中的電話號碼或連結來確認訊息是否為真。

6

通報詐騙，且不要重複使用密碼

若發現有詐欺性使用，請通知您的銀行，並向所在國的警方通報。在西班牙，INCIBE 提供免費且保密的 017 求助專線，每天上午 8 點至晚上 11 點接聽。Basic-Fit 表示密碼未遭存取，但若您在其他地方重複使用了 Basic-Fit 的密碼，密碼管理工具可協助您輕鬆更換密碼。

電子郵件 + 電話 + 會員類型

→ 「我們無法收取您的會費，請在此更新付款資料」

檢查：在 App 或 My Basic-Fit 查看您的會費，切勿透過連結

IBAN + 姓名 + 地址

→ 來自您不認識之債權人的直接扣款

檢查：對帳單上的扣款；向您的銀行申請退款

健身館與近期到館紀錄

→ 提到您訓練所在健身館的訊息或電話

檢查：知道您的健身館並不能證明什麼；請透過 App 聯絡他們

密碼與身分證明文件：未受影響（依 Basic-Fit 說法）

為什麼健身房不同：會費依合約屬於定期付款，而受影響的系統會記錄您的到館紀錄。每個資料欄位都對應不同的詐騙手法，且各有特定的檢查方式（本站綜整 Basic-Fit 新聞稿、隱私權聲明及主管機關指引）。

事件經過（依 Basic-Fit 說法）

以下內容來自 Basic-Fit 2026 年 4 月 13 日的新聞稿，以及該公司及其發言人向路透社和 The Register 所表示的內容。

  1. 2026 年 4 月 13 日之前

    Basic-Fit 的系統監控偵測到有未經授權存取其記錄會員到館紀錄之系統的情況。該公司表示，此行為在發現後數分鐘內即被阻止。新聞稿未提供發生日期。

  2. 調查

    外部資安專家發現，系統中儲存的部分資料遭下載，涉及多個國家的現役會員。

  3. 2026 年 4 月 13 日

    Basic-Fit 發布新聞稿，表示已通知相關資料保護主管機關，且相關會員已獲告知。其向路透社表示，受影響總數約為100 萬名會員。

  4. 之後

    Basic-Fit 表示，迄今調查並未顯示資料已在任何地方公開或遭濫用，並且該公司正與外部專家持續監控此事。
約 100 萬
受影響會員總數（Basic-Fit 向路透社表示）
約 20 萬
其中荷蘭的人數（Basic-Fit 新聞稿）
6
國家：荷蘭、比利時、盧森堡、法國、西班牙與德國
8 週
誤扣直接扣款的退款期限（Your Europe）
哪些資料受影響、哪些未受影響（依 Basic-Fit 說法）
系統
記錄會員造訪 Basic-Fit 健身館紀錄的系統
遭下載
會員資訊、姓名與地址資料、電子郵件地址、電話號碼、出生日期及銀行帳戶資料
未受影響
密碼（未遭存取）。Basic-Fit 表示其並未保存會員的身分證明文件
會員資料細節
依 NOS 報導：會員編號與類型、付款狀態，以及前一週造訪的健身館
範圍
現役會員；荷蘭約 20 萬人。依路透社報導，其他國家的加盟健身房使用另一套不受影響的系統
主管機關
已通知相關資料保護主管機關。Basic-Fit 的隱私權聲明指定荷蘭的 Autoriteit Persoonsgegevens 為主要監管機關，並列出各國的主管機關
濫用情形
根據該公司說法，截至新聞稿發布時未發現濫用

如何解讀：「無需採取行動」不等於「沒有風險」

Basic-Fit 表示，受影響會員的主要風險是網路釣魚攻擊。而且不同於密碼，IBAN 無法只靠點擊就更改：它會在多年間持續作為您的帳戶。

Basic-Fit 的隱私權聲明指出，會員資料會在會籍結束後 2 年刪除；但已被下載的資料不會依此時程處理。因此請把檢查扣款當成習慣持續進行，而不只是幾週內的事。

為什麼健身房是特殊案例：定期會費付款，以及每週記錄的到館紀錄

多數涉及銀行帳戶資料的外洩，與一次性購買有關。健身房有兩個不同之處：

讓詐騙顯得可信的原因

  • 對於以直接扣款定期付費的會員，「您的付款出了問題」似乎總是合理的
  • 未付會費時，Basic-Fit 確實會以電子郵件和簡訊發送付款提醒
  • 訊息可以引用您的會員類型、健身館或近期到館紀錄
  • 施壓話術：「您的使用權限今天將被停用」、「您的案件即將移交催收」

如何在不受騙的情況下進行確認

  • 自行開啟 App 或 My Basic-Fit，查看您的會費狀態
  • 連結若不是連到 **www.basic-fit.com**，就不是 Basic-Fit
  • Basic-Fit 表示其絕不會以電子郵件或未經請求的訊息索取銀行或個人資料
  • 它本來就已持有您的銀行資料：沒有理由透過連結再次輸入

本站看法：Basic-Fit 的扣款與不熟悉的扣款應分開處理

在西班牙的 Endesa 外洩事件之後，我們建議檢查對帳單上的直接扣款。本案情況略有不同：您的對帳單上本來就有來自同一來源的正當扣款，也就是健身費用。這會導致兩種相反的錯誤：

  • 向冒充 Basic-Fit 的詐騙者付款
  • 因害怕而撤銷真正的費用，結果產生欠費

我們的原則很簡單：在 App 內處理 Basic-Fit 的扣款；將您不認識之債權人的扣款交由銀行處理。若您的銀行 App 可以對每筆扣款發出通知，請開啟此功能：當天就能發現異常的扣款。

對於同時持有 IBAN 與活動資料的企業而言，教訓是限制哪一個系統同時保存兩者：到館紀錄系統不需要帳號也能開啟閘門。請參閱組織的最低安全基準，以及有關法律架構的什麼是 GDPR？

同樣的風險假設「您的資料正確，所以訊息一定是真的」，也出現在 Booking.com 訂房資料外洩事件中。若您的銀行通知與登入驗證碼會傳到手機，也請複習智慧型手機安全基本概念。

資料來源（公開紀錄）

本文的事實根據以下公開資訊。未使用 Basic-Fit 未公布的攻擊者宣稱或數據。

  • Basic-Fit，〈Basic-Fit informs members on an unauthorised data access〉（新聞稿，2026 年 4 月 13 日）— corporate.basic-fit.com（PDF）
  • Basic-Fit，隱私權聲明（到館登記、付款問題、保存期限、主管機關；西班牙文版本）— basic-fit.com
  • Basic-Fit，〈Careful with Fake Promotions〉— basic-fit.com
  • 路透社（透過 Yahoo Finance），〈Basic-Fit data breach exposes details of a million gym members〉（2026 年 4 月 13 日；總數、加盟系統、網路釣魚風險）— finance.yahoo.com
  • The Register（2026 年 4 月 13 日；由 Basic-Fit 發言人列出的國家）— theregister.com
  • NOS（2026 年 4 月 13 日，荷蘭文；會員資訊細節）— nos.nl
  • 歐盟，Your Europe，〈Payments, transfers and cheques〉（直接扣款退款）— europa.eu
  • 西班牙銀行（Portal del Cliente Bancario），〈Adeudos domiciliados〉（西班牙文）— clientebancario.bde.es
  • INCIBE，Tu Ayuda en Ciberseguridad（017，西班牙文）— incibe.es

更新紀錄

2026-10-19：將「所有會員每月直接扣款」的假設更正為依合約的定期付款，並為直接扣款使用者提供有條件的指引。另已查核 2026 年 9 月 9 日起新合約適用的西班牙現行條款，但並未將其套用於事件發生時的每一份合約。Basic-Fit — 一般條款及條件（西班牙）。

2026-09-30：首次發布，根據 Basic-Fit 2026 年 4 月 13 日的新聞稿、其隱私權聲明及警示頁面（2026 年 9 月 30 日查核）、路透社與 The Register 報導的聲明，以及歐盟與西班牙主管機關的指引。

延伸閱讀

FAQ

QBasic-Fit 此次外洩了哪些資料？
A

根據 Basic-Fit 2026 年 4 月 13 日的新聞稿，記錄會員到館紀錄之系統中的資料遭下載，包括會員資訊、姓名與地址資料、電子郵件地址、電話號碼、出生日期及銀行帳戶資料。Basic-Fit 表示，其並未保存會員的身分證明文件，且密碼未遭存取。

Q有多少會員受影響？分布在哪些國家？
A

新聞稿提到多個國家的現役會員，並指出荷蘭約有 20 萬人。Basic-Fit 向路透社表示，受影響會員總數約為 100 萬人；其發言人向 The Register 列出六個國家：荷蘭、比利時、盧森堡、法國、西班牙與德國。根據路透社報導，其他國家的加盟健身房使用另一套不受影響的系統。

Q有人能用我的 IBAN 設定直接扣款嗎？
A

IBAN 不會讓任何人進入您的網路銀行，但它可能出現在您從未授權的直接扣款中。歐盟的 Your Europe 入口網站表示，若直接扣款是誤扣，您有權在 8 週內申請退款。在西班牙，西班牙銀行（Banco de España）說明，若您從未授權該扣款，期限為 13 個月。請檢查對帳單中是否有您不認識的債權人，並向您的銀行詢問所在國的程序。

Q我收到訊息說會費付款失敗，這是真的嗎？
A

有可能是真的：Basic-Fit 的隱私權聲明指出，會員未付款時，會先以電子郵件、再以簡訊發出付款提醒。這正是假的「付款失敗」訊息如此具說服力的原因。Basic-Fit 自己的警示頁面表示，假訊息常催促您付款、使用不會連到 www.basic-fit.com 的連結，且 Basic-Fit 絕不會以電子郵件或未經請求的訊息索取銀行或個人資料。請勿點擊連結；自行開啟 App 或 My Basic-Fit 查看。

Q我是否應該為了預防而撤銷 Basic-Fit 的直接扣款？
A

請勿為了預防而撤銷正當的健身費用扣款。風險在於您不認識的債權人所發出的扣款。Basic-Fit 的隱私權聲明指出，未付費用會導致提醒，若仍未解決，案件會轉交給催收機構。若您想離開，請透過 Basic-Fit 官方管道取消。

Q我可以向哪裡投訴或詢問我的資料？
A

您可以寫信至 requestprivacy@basic-fit.com，詢問 Basic-Fit 持有您哪些資料（查閱權請求）；其隱私權聲明表示，會在 4 週內處理此類請求。同一份聲明指出，其主要監管機關為荷蘭的 Autoriteit Persoonsgegevens，並列出各國的主管機關（例如法國的 CNIL 與西班牙的 AEPD）。