Des clients d'Herbiolys, mais aussi des pharmacies, des magasins bio, des revendeurs de la marque et des praticiens indépendants, pourraient voir leurs coordonnées et des éléments de paiement exposés après un piratage présumé. Selon la revendication publiée le 31 août 2026, un lot de 1,3 million de lignes issu de cette boutique française de produits à base de plantes est mis en vente sur un forum cybercriminel.
Ce que contiendrait le lot attribué à Herbiolys
Le lot viserait les clients et l'activité de la boutique : identité, date de naissance et coordonnées, adresses de facturation ou de livraison, informations de commande, de paiement et de transaction. Les extraits publiés par le vendeur font apparaître des numéros de carte de paiement tronqués, avec les six premiers et les quatre derniers chiffres mais jamais le numéro complet, accompagnés de la marque de la carte, de sa date d'expiration et du nom du porteur. Ils montrent aussi des mots de passe sous une forme non lisible et des clés propres à l'application, sans qu'aucun mot de passe en clair y soit établi.
Des comptes bancaires de professionnels et un annuaire de praticiens
Le pirate annonce 1 500 IBAN uniques. Les extraits en montrent 14, complets, sur des fiches de pharmacies, de magasins bio et de revendeurs de la marque : ces comptes bancaires relèvent donc des clients professionnels et non des particuliers. Les mêmes extraits exposent un annuaire de praticiens indépendants, avec l'adresse de leur cabinet, leur mobile et, pour une partie d'entre eux, leur spécialité.
Le chiffre de 1,3 million correspond à des lignes, pas à des personnes. Aucun fichier complet n'ayant été déposé, il reste un volume annoncé et le nombre de personnes concernées ne peut pas être mesuré. Pour les clients, la réunion d'un nom, d'une date de naissance, d'une adresse et de la fin d'un numéro de carte avec sa date d'expiration pourrait rendre crédible un faux message de la banque ou de la boutique. Pour les professionnels, un IBAN associé à une fiche complète peut servir à des tentatives de fraude au virement. À ce stade, l'entreprise n'a pas confirmé publiquement ces éléments.
Détails techniques :
- 1,3 million de lignes annoncées, sans corpus déposé
- 14 IBAN complets visibles dans les extraits, sur des fiches de clients professionnels
- Numéros de carte tronqués (6 premiers et 4 derniers chiffres), avec marque, date d'expiration et nom du porteur
- Empreintes de mots de passe et clés applicatives visibles, aucun mot de passe en clair établi
- Nombre de personnes concernées non mesurable
Données concernées :
- Nom complet
- Date de naissance
- Adresse email et numéro de téléphone
- Adresses postales de facturation et de livraison
- Fiche client
- Historique de commandes et de transactions, montants
- Carte de paiement (numéro tronqué, marque, date d'expiration, nom du porteur)
- IBAN (clients professionnels)
- Mot de passe (haché)
- Jeton d'authentification (clés applicatives)
- Données professionnelles (annuaire de praticiens, spécialité)
Données annoncées non vérifiées :
- 1 500 IBAN uniques annoncés, dont 14 seulement visibles dans les extraits
- Volume de 1,3 million de lignes, sans fichier complet déposé
Mentions :
Statut Fuites Infos : Revendiquée