Le 28 août 2026 en soirée, une annonce publiée sur la place de marché d'un forum cybercriminel a proposé à la vente ce que son auteur présente comme la base de données de la boutique en ligne de HD Soudage, distributeur français de matériel de soudure et de découpe. L'annonce affiche 50 000 enregistrements et s'accompagne d'un échantillon collé dans le message. La cession se ferait de gré à gré, par messagerie privée.
Le chiffre mis en avant ne résiste pas à l'échantillon que le vendeur publie lui-même. C'est le point central de ce dossier, et il est vérifiable par quiconque lit l'annonce.
À l'heure de publication, l'entreprise ne s'est pas exprimée publiquement, aucune autorité n'a communiqué, et la boutique fonctionne normalement.
L'entreprise
HD Soudage est une société à responsabilité limitée immatriculée sous le SIREN 518190814. Le répertoire public des entreprises situe son siège à Gravelines, dans le Nord, la donne créée le 1er décembre 2009, rattachée à la sous-classe d'activité 46.69B (commerce de gros de fournitures et équipements industriels), et lui attribue une tranche d'effectif correspondant à six à neuf salariés.
Son métier est la vente, la location et le service après-vente de matériel de soudure et de découpe, auprès de professionnels de l'industrie, du bâtiment et de la métallurgie. Sa boutique en ligne expédie en France et en Europe.
C'est une PME, et ce profil n'est pas indifférent : il est exactement celui que vise la série dont cette annonce fait partie (voir plus bas).
Ce que l'annonce met en vente
L'échantillon publié dans l'annonce fait apparaître quatre ensembles issus d'une même base marchande.
Le premier est un fichier de comptes clients : civilité, nom, prénom, adresse électronique, date de naissance et empreinte de mot de passe. Sur les comptes montrés, la date de naissance est renseignée dans près de huit cas sur dix.
Le deuxième est un fichier d'adresses, qui ajoute l'adresse postale complète, le code postal, la ville et le numéro de téléphone. Une partie des livraisons passe par des points relais, en France et en Belgique.
Le troisième est un registre des demandes adressées au service client : une adresse électronique, un statut, des dates. Le texte des messages n'y figure pas.
Le quatrième est un journal des courriels envoyés automatiquement par la boutique, horodatés à la seconde : création de compte, paiement accepté, confirmation de commande, expédition, retour. Ce journal ne contient pas le détail des commandes, mais il suffit à reconstituer qui a acheté, et quand.
Une partie de la clientèle est professionnelle : sur les comptes montrés, un peu plus d'un tiers portent une raison sociale et un numéro SIRET.
Pourquoi le chiffre de 50 000 ne tient pas
Il tient à une propriété banale des bases de données. Les comptes d'une boutique en ligne portent un numéro attribué automatiquement, qui s'incrémente à chaque nouvelle inscription.
Le numéro le plus élevé visible dans l'échantillon publié est 11 382, sur un compte créé à la mi-juillet 2026. Autrement dit : à cette date, la boutique avait ouvert de l'ordre de onze mille comptes clients depuis sa création, en quinze ans d'activité.
Le chiffre annoncé est donc quatre à cinq fois supérieur à ce que la boutique peut compter de clients. Le rythme de créations visible dans l'échantillon, de l'ordre de quelques comptes par jour, exclut que les six semaines écoulées entre l'échantillon et la mise en vente aient comblé un tel écart.
Ce chiffre n'est pas pour autant nécessairement mensonger. Il redevient plausible dès qu'on le rapporte à des lignes de base plutôt qu'à des personnes : une base compte toujours beaucoup plus de lignes que de clients, et le seul journal des courriels dépassait déjà cinquante-sept mille lignes à la mi-juillet. Mais l'annonce ne précise aucune unité, et un volume affiché de cette façon sur une place de marché de ce type se lit spontanément comme un nombre de personnes.
Aucun nombre de personnes concernées n'est donc retenu pour cet incident. Le volume affiché reste celui que le vendeur revendique, exprimé en lignes, et présenté comme tel.
Ce qui plaide pour l'authenticité des données
Un échantillon peut être fabriqué. Celui-ci porte plusieurs marques qui rendent l'hypothèse peu vraisemblable.
Les quatre ensembles se recoupent. Les identifiants de clients cités par le fichier d'adresses renvoient très majoritairement aux comptes montrés dans le premier fichier, et les quelques exceptions correspondent à des clients plus anciens dont une adresse a été créée dans la même période.
Les horodatages concordent à la seconde : plusieurs courriels de bienvenue sont datés du moment exact où le compte correspondant a été créé, ce qu'une fabrication devrait reproduire à l'identique sur des ensembles séparés.
Enfin, un décalage constant de six heures sépare, sur la totalité des comptes montrés, l'horodatage d'initialisation du mot de passe de la date de création du compte. C'est le genre d'anomalie technique qu'un système réel produit sans le vouloir, et qu'un faussaire n'a aucune raison d'inventer.
Les mots de passe ne circulent pas en clair : ce sont des empreintes calculées par un procédé conçu pour être lent à casser. Leur exploitation est coûteuse, sans être impossible pour un mot de passe faible ou réutilisé ailleurs.
Des données récentes
Les enregistrements montrés se concentrent sur juillet 2026, entre le 9 et le 18. La trace la plus récente est datée du 18 juillet 2026 à 18 h 18, dans le journal des courriels, qui s'écrit à chaque événement et donne donc la mesure la plus fine.
Quarante et un jours séparent cette date de la mise en vente. Une partie de l'échantillon remonte par ailleurs à l'été 2023 : la couverture ne se limite pas aux dernières semaines.
Ce que risquent les personnes concernées
Le danger principal n'est pas le mot de passe.
Sur une même fiche se trouvent réunis un nom, une date de naissance, une adresse postale, un numéro de téléphone et une adresse électronique. C'est la combinaison qui permet une usurpation d'identité, ou une prise de contact frauduleuse assez documentée pour être crédible.
Pour la clientèle professionnelle, le risque est d'une autre nature. Une raison sociale, un numéro SIRET, un contact nommé, un téléphone et un historique d'achat forment le matériel d'une fausse relance de facture, ou d'une demande de changement de coordonnées bancaires adressée à l'entreprise cliente au nom de son fournisseur. Ce type de fraude ne repose pas sur une prouesse technique, mais sur la vraisemblance du prétexte, et un historique de commandes réel la fournit.
Concrètement, pour un client de la boutique : se méfier de tout message se présentant comme venant du marchand et demandant un paiement, une régularisation ou une mise à jour de coordonnées bancaires, même s'il cite une commande qui a bien eu lieu ; ne pas passer par un lien reçu par courriel pour accéder à son compte ; et changer le mot de passe partout où il aurait été réutilisé.
Une série, pas un cas isolé
L'annonce n'est pas seule. Le même compte a publié, dans l'heure qui l'a précédée, cinq autres mises en vente de bases de boutiques en ligne, en Espagne, en Allemagne et en Belgique, pour des volumes annoncés dans leurs intitulés allant de dix-sept mille à deux cent mille.
Aucune de ces six cibles n'a de lien sectoriel avec les autres : un distributeur de matériel de soudure, une pépinière, une boutique d'aquariophilie. Ce qu'elles partagent est une taille, celle de la petite entreprise, et un canal, celui de la vente en ligne. Le rythme décrit une collecte en série plutôt qu'une intrusion choisie.
Le même vendeur est suivi depuis la fin juillet 2026, avec dix-huit autres mises en vente recensées à son nom sur trois plateformes. Aucune n'a été confirmée à ce jour par l'entreprise visée.
Ce qui n'est pas établi
Cinq points restent ouverts, et méritent d'être dits aussi nettement que le reste.
Le mode de compromission est inconnu : rien dans l'annonce n'indique comment les données seraient sorties du système, ni quand.
Le périmètre réel du lot est inconnu. L'échantillon montre quatre ensembles ; rien ne dit qu'il n'y en a pas d'autres, ni que ces quatre-là sont complets.
Le nombre de personnes concernées est inconnu, pour la raison exposée plus haut.
Aucune transaction n'est établie : l'annonce propose une vente, rien n'indique qu'elle a eu lieu.
Enfin, l'entreprise n'a pas répondu publiquement. Rien ne permet de dire à ce stade si elle a connaissance de l'incident, si elle l'a notifié à la Commission nationale de l'informatique et des libertés, ni si elle a informé ses clients.
Questions ouvertes
Adressées à HD Soudage : l'entreprise a-t-elle constaté un accès non autorisé à sa boutique en ligne ? Une notification a-t-elle été adressée à la Cnil ? Les clients concernés ont-ils été informés ? Les mots de passe ont-ils été réinitialisés par précaution ?
Sources
- Répertoire public des entreprises, unité légale SIREN 518190814 : https://recherche-entreprises.api.gouv.fr/search?q=518190814
- Nomenclature d'activités française, sous-classe 46.69B : https://www.insee.fr/fr/metadonnees/nafr2/sousClasse/46.69b
- Site officiel du distributeur : https://www.hdsoudage.fr/
Mentions :
Statut Fuites Infos : Revendiquée