Les sportifs amateurs inscrits sur Buddiz pour trouver des partenaires de padel, de foot à cinq, de course ou de randonnée sont concernés par une fuite de données. Le 21 octobre 2026, l'application normande a indiqué qu'une revendication publiée la veille sur un forum cybercriminel était très probablement fondée. Selon Buddiz, les décomptes annoncés correspondent à l'état de sa base de profils début juillet 2026 : 2 307 personnes sont concernées. L'éditeur indique avoir notifié la violation à la CNIL le 20 octobre 2026.
Réponse de Buddiz du 21 octobre 2026.
La revendication du 20 octobre 2026
Le 20 octobre 2026, une annonce publiée sur un forum cybercriminel visait le site padel-normandie.fr. Son auteur affirmait avoir pénétré la base de données du site et en avoir extrait 2 307 comptes d'utilisateurs. L'annonce ne citait pas Buddiz.
Ce domaine redirige pourtant vers la page régionale de l'application. Buddiz est une application lancée en 2026, qui met en relation des sportifs amateurs pour organiser des sessions près de chez eux. Le lendemain, l'éditeur a reconnu que les décomptes publiés correspondaient à sa propre base.
Annonce publiée le 20 octobre 2026.
Une base de profils lisible sans authentification
Buddiz dit n'avoir constaté aucune intrusion dans son infrastructure, contrairement à ce qu'affirmait l'annonce. Selon l'application, une erreur de configuration rendait la table des profils lisible sans authentification, au moyen de la clé publique de son interface de programmation. Buddiz indique avoir corrigé cette erreur le 1er août 2026.
Les données des utilisateurs de Buddiz concernées
Selon Buddiz, les profils concernés portent, selon les cas, le prénom, le nom, l'adresse e-mail, le numéro de téléphone, la date de naissance, le genre, la ville, la position enregistrée sur le profil et les préférences sportives.
Pour 187 comptes, ils portent aussi une empreinte numérique calculée lors de la certification du profil. Buddiz indique avoir effacé toutes ces empreintes le 10 octobre 2026.
D'après Buddiz, les mots de passe, les selfies de certification et les données bancaires ne sont pas concernés. L'application ne collecte pas d'adresse postale.
Ces informations concernent des personnes qui acceptent de retrouver physiquement des inconnus pour faire du sport. Réunies, elles permettent d'écrire à un membre au nom de l'application ou d'un club, avec des détails qui rendent le message crédible, ou de repérer une personne par sa ville et ses habitudes sportives. Buddiz annonce informer individuellement les membres concernés.
Détails techniques :
- Revendication publiée le 20 octobre 2026, visant le site padel-normandie.fr
- Personnes concernées : 2 307, selon l'état de la base début juillet 2026 indiqué par Buddiz
- Cause déclarée : erreur de configuration, table des profils lisible sans authentification
- Erreur corrigée le 1er août 2026
- Violation notifiée à la CNIL le 20 octobre 2026, selon l'éditeur
Données concernées :
- Prénom, nom et genre
- Date de naissance
- Adresse e-mail
- Numéro de téléphone
- Ville et position enregistrée sur le profil
- Préférences sportives
- Empreinte numérique de certification (187 comptes), effacée le 10 octobre 2026
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise