Basic-Fit sufrió un acceso no autorizado el 8 de abril de 2026. El ataque comprometió datos personales y financieros de socios en España y otros países europeos. La empresa bloqueó el incidente en minutos, pero ya se habían descargado registros sensibles. No se requieren acciones inmediatas, pero la vigilancia contra phishing es esencial ahora.
¿Qué datos personales se vieron afectados en la fuga de Basic-Fit?
Los atacantes accedieron a información almacenada en el sistema de registro de visitas. No se trata de una brecha en la pasarela de pagos ni en bases de datos de facturación, sino en un módulo operativo de gestión interna.
Información personal directamente expuesta
- Dirección de correo electrónico, nombre y apellidos
- Dirección postal completa, incluida la ciudad
- Número de teléfono móvil o fijo
- Número y titular de la cuenta bancaria
- Fecha de nacimiento
- Datos de membresía: tipo de plan, saldo pendiente, número de pase y identificador interno
Datos contextuales de uso y comportamiento
- Clubes visitados en la última semana
- Horarios de entrada y salida registrados
- Descripción del dispositivo móvil usado (ej. iPhone 14, Samsung Galaxy S23)
- Nombre personalizado asignado por el usuario al dispositivo
¿Qué riesgos reales implica esta filtración para los socios?
La exposición de número y titular de la cuenta bancaria eleva el riesgo de suplantación financiera. Aunque no se filtró el código CVC ni la fecha de caducidad, los datos son suficientes para intentos de social engineering o apertura de cuentas fraudulentas.
El peligro real del phishing dirigido
Los correos falsos ya están circulando. Los atacantes usan nombres reales, clubes frecuentados y hasta horarios de visita para hacer los mensajes creíbles. Un mensaje que dice “Tu acceso al club de Madrid Centro fue rechazado ayer a las 18:22” genera confianza inmediata.
Impacto económico inmediato
Basic-Fit no asume responsabilidad directa por pérdidas bancarias derivadas, según sus términos de servicio. Sin embargo, la Agencia Española de Protección de Datos (AEPD) y la Autoridad Holandesa (AP) están investigando si la cadena incumplió el Reglamento General de Protección de Datos (RGPD) al no aplicar cifrado de extremo a extremo en datos sensibles.
¿Qué obligaciones legales tiene Basic-Fit tras la brecha?
La empresa notificó el incidente a la autoridad holandesa en menos de 72 horas, cumpliendo el plazo del RGPD. Pero su sede legal en los Países Bajos no exime a sus filiales españolas de responsabilidad ante la AEPD, especialmente por el manejo de datos bancarios sin cifrado reforzado.
Marco legal aplicable
- El RGPD exige notificación inmediata a la autoridad y a los afectados cuando el riesgo para sus derechos sea alto.
- La Ley Orgánica de Protección de Datos (LOPDGDD) refuerza la obligación de auditorías periódicas de seguridad.
- La norma UNE-ISO/IEC 27001 exige controles técnicos para datos financieros: Basic-Fit no ha confirmado su certificación vigente.
¿Qué deben hacer los socios afectados hoy?
No es necesario cambiar contraseñas de Basic-Fit ni cancelar membresías. Pero sí es urgente:
Datos Clave
- La brecha ocurrió el 8 de abril de 2026, no en sistemas de pago, sino en el módulo de registro de visitas
- Se filtraron datos bancarios completos, no solo el IBAN: también el nombre del titular
- Basic-Fit no recomienda acciones inmediatas, pero sí alerta sobre correos falsos con datos personalizados
- La empresa colabora con especialistas externos para rastrear si los datos aparecen en foros de ciberdelincuentes
- El incidente está bajo investigación de la Autoridad Holandesa de Protección de Datos y la AEPD
- Revisar extractos bancarios de las últimas dos semanas
- Activar alertas SMS para movimientos superiores a 50 €
- No hacer clic en enlaces de correos que mencionen visitas reales al gimnasio
- Usar un gestor de contraseñas para evitar reutilización de credenciales
- Reportar cualquier intento de phishing a la AEPD mediante su formulario oficial
La brecha de Basic-Fit no es un aislado fallo técnico. Es un indicador de cómo los datos operativos —a menudo subestimados— se convierten en vectores de ataque cuando carecen de controles equivalentes a los de sistemas financieros. La economía del fitness depende de la confianza. Y la confianza se construye con transparencia, no con silencio.
