Les membres de NaturaBuy, place de marché française dédiée à la chasse, à la pêche, au tir et à l'équipement outdoor, ont appris par courriel le 11 septembre 2026 que certaines de leurs données d'identification avaient été extraites lors d'une cyberattaque survenue la veille. Trois semaines plus tard, le 2 octobre 2026, une base présentée comme l'annuaire complet des comptes de la plateforme a été mise en vente sur un forum cybercriminel. L'entreprise n'a pas communiqué le nombre de personnes concernées.
Ce que NaturaBuy indique avoir perdu dans le piratage
Selon le courriel adressé aux membres, les auteurs de l'intrusion ont pu récupérer le nom et le prénom, l'adresse électronique, l'adresse postale, le numéro de téléphone et l'identifiant de connexion. Le mot de passe figurait aussi parmi les éléments extraits, mais sous une forme chiffrée : NaturaBuy précise que les mots de passe en clair n'ont pas fuité. La société décrit une opération externe et ciblée, menée selon elle avec des moyens particulièrement sophistiqués.
Les informations que la plateforme exclut
L'entreprise écarte explicitement plusieurs catégories : aucun document d'identité, aucune donnée bancaire ni moyen de paiement, aucun numéro SIA, aucun numéro d'arme et aucun détail de commande ou de vente ne figureraient dans les données extraites. Elle affirme aussi que ces informations ne permettent pas d'acheter ou de vendre au nom d'un membre. NaturaBuy indique avoir mis son site hors ligne le temps d'un audit, corrigé la vulnérabilité à l'origine de l'incident, notifié la CNIL et déposé plainte. Une réinitialisation du mot de passe sera imposée à la prochaine connexion, sur le site et à l'initiative du membre.
Une base des comptes mise en vente le 2 octobre
Le 2 octobre 2026, une base présentée comme l'annuaire complet des comptes de NaturaBuy a été proposée à la vente sur un forum cybercriminel, à un prix laissé à la négociation, avec un extrait de 1 000 lignes en guise d'échantillon.
Selon l'annonce, le fichier compterait 1 428 331 lignes, chacune présentée comme un utilisateur distinct. Les lignes associeraient un identifiant de compte, un pseudonyme et, à de rares exceptions près, une adresse postale complète. Selon la même annonce, près de 11 800 comptes porteraient en plus une raison sociale, et environ 8 000 d'entre eux un numéro SIRET : des vendeurs professionnels figureraient donc dans le fichier.
La description de la vente ne mentionne ni adresse électronique, ni numéro de téléphone, ni mot de passe, ni numéro d'arme. Le fichier mis en vente correspondrait donc à une partie seulement de ce que NaturaBuy avait déclaré, et resterait conforme aux exclusions qu'elle annonçait. La vente ne fait pas référence à l'attaque du 10 septembre. Le nombre de personnes réellement concernées n'est pas établi, mais le volume annoncé est du même ordre que la communauté revendiquée par NaturaBuy sur son site.
Pourquoi le profil des membres de NaturaBuy compte
Pris isolément, un nom, un numéro de téléphone ou une adresse sont des informations courantes. Rattachés à l'inscription sur un site consacré à la chasse et au tir, ils désignent des domiciles dont une partie abrite vraisemblablement des armes. La circulation d'un annuaire d'adresses de membres rend ce risque plus concret qu'en septembre.
NaturaBuy met en garde contre les appels, SMS et courriels usurpant son identité, et précise qu'elle ne demandera jamais de réinitialisation de mot de passe par courriel ou par SMS. Elle s'adresse spécifiquement aux détenteurs d'armes des catégories B, C et D, en rappelant que la police, la gendarmerie et les douanes ne se présentent jamais spontanément au domicile pour récupérer des armes ou des munitions. En cas de doute, il faut raccrocher et composer le 17.
Détails techniques :
- Incident survenu le 10 septembre 2026, décrit par l'entreprise comme externe et ciblé
- Mots de passe extraits sous forme chiffrée, pas en clair selon l'entreprise
- Données écartées par l'entreprise : documents d'identité, données bancaires et moyens de paiement, numéro SIA, numéro d'arme, détail des commandes
- Site mis hors ligne pour audit, vulnérabilité corrigée, CNIL notifiée, plainte déposée
- Base présentée comme l'annuaire des comptes mise en vente le 2 octobre 2026 : 1 428 331 lignes annoncées, identifiant de compte, pseudonyme, adresse postale, raison sociale et SIRET pour les comptes professionnels
Données concernées :
- Nom et prénom
- Adresse électronique
- Adresse postale, code postal, ville et pays
- Numéro de téléphone
- Identifiant de connexion et identifiant de compte
- Mot de passe (sous forme chiffrée)
- Raison sociale, SIRET et SIREN des comptes professionnels
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise