Fuite de données personnelles chez Climb Up, chaîne française de salles d'escalade

Le 15 octobre 2026, Climb Up — l'une des principales chaînes françaises de salles d'escalade indoor — a publié un avis d'information révélant qu'un tiers non autorisé avait obtenu des données personnelles issues de ses fichiers clients. Signé par son directeur informatique et délégué à la protection des données, l'avis indique que l'entreprise a eu connaissance de la fuite le 14 octobre 2026 et qu'une faille de sécurité, depuis identifiée et corrigée immédiatement, en était à l'origine.

Les données exposées, correspondant à des fiches créées entre 2016 et mars 2026, comprennent les nom et prénom, la date de naissance et l'âge, l'adresse postale (pas toujours renseignée), le numéro de téléphone et l'adresse électronique, le numéro de salle et de fiche client, ainsi que les dates de création, de dernière modification et de dernière activité du dossier. L'avis précise également que les informations d'un compte en ligne associé (nom, date de naissance, e-mail) et celles de personnes rattachées à la fiche — enfants, parents, frères et sœurs, conjoint ou proches, avec leurs nom et date de naissance — figurent parmi les données concernées. Climb Up souligne en revanche que ni les mots de passe, ni les coordonnées ou numéros de carte bancaires n'ont été exposés.

Réponse et notification

L'entreprise indique avoir corrigé la vulnérabilité dès sa découverte, notifié la CNIL et engagé une plainte auprès du procureur de la République. Elle a annoncé qu'un courrier électronique personnel serait adressé à chaque personne directement concernée. L'avis ne communique pas de nombre de personnes touchées, n'évoque pas de rançongiciel et ne précise pas si l'accès s'est produit chez un prestataire ou au sein des systèmes de Climb Up.

Contexte

La divulgation s'inscrit dans une série continue de fuites de données visant des organisations françaises de loisirs et de sport en 2026, où des fichiers clients riches en données personnelles — y compris sur des mineurs et des proches — se retrouvent exposés. L'absence de mots de passe et de données bancaires limite le risque de fraude financière directe, mais la combinaison d'identités, de coordonnées et de liens familiaux demeure exploitable à des fins d'hameçonnage ciblé.