NaturaBuy : cyberattaque confirmée en septembre, base de 1,43 million de comptes revendiquée en octobre

Le 10 septembre 2026, NaturaBuy, place de marché spécialisée dans les petites annonces de chasse, pêche, tir sportif et plein air, a détecté une cyberattaque qu’elle qualifie elle-même d’externe, ciblée et menée avec des moyens sophistiqués. Le site a été mis hors ligne le temps d’un audit de sécurité avant d’être remis en service, et l’enseigne a notifié ses membres, saisi la CNIL et déposé plainte. Cette réaction rapide et cette communication directe placent l’incident dans le registre des entreprises transparentes, même si le communiqué reste avare de détails techniques sur le vecteur d’intrusion.

Les données extraites associent identité, coordonnées postales, téléphoniques et électroniques, identifiant de connexion et mot de passe conservé sous forme chiffrée. NaturaBuy précise explicitement que les documents d’identité, les numéros SIA, les numéros d’armes, les données bancaires et l’historique des commandes n’ont pas été extraits. Le nombre exact de comptes concernés n’a pas été communiqué, ce qui limite l’appréciation de l’ampleur réelle de l’incident au-delà de la nature des catégories touchées.

Le 2 octobre 2026, trois semaines après l’attaque, un vendeur a mis en vente sur un forum cybercriminel une base qu’il présente comme l’« annuaire complet » des comptes NaturaBuy, revendication relayée dès le 3 octobre par Cyberattaque.org, FrenchBreaches et Fuites Infos. Le chiffre avancé, 1 428 331 « utilisateurs uniques » dans un fichier CSV d’environ 85 Mo, émane du seul vendeur et désigne des comptes plutôt que des personnes : une même personne peut en détenir plusieurs, et la base comprendrait des comptes professionnels (environ 11 800 raisons sociales revendiquées). Ni NaturaBuy ni une autorité ne l’ont confirmé, et le lien avec l’attaque du 10 septembre n’est pas établi : selon Fuites Infos l’annonce n’y fait pas référence, Cyberattaque.org ne peut déterminer si les lignes en proviennent, et FrenchBreaches envisage aussi bien un sous-ensemble de l’extraction qu’une autre source ou un assemblage de plusieurs jeux de données. Les champs décrits (identifiant de compte, pseudonyme, adresses, code postal, ville, pays, raison sociale, SIRET) sont plus restreints que ceux reconnus par NaturaBuy en septembre et n’incluent ni courriel, ni téléphone, ni mot de passe, ce qui ne permet pas de trancher, d’autant que les analyses de l’échantillon de 1 000 lignes divergent sur la présence de noms. À la date du 8 octobre, aucune réaction de NaturaBuy à cette mise en vente n’a été relevée dans la presse spécialisée ni chez les sites de suivi, sans pouvoir exclure un message adressé directement aux membres.

Cette annonce ne doit pas être confondue avec celle visant la FFRandonnée, dont 1 429 334 fiches ont été proposées à la vente le 29 septembre : le volume est presque identique, à 1 003 unités près, mais il s’agit d’une autre entité, d’un autre fichier (environ 317 Mo contre 85 Mo), de champs différents et d’un incident distinct. Le pseudonyme RedStone, que Cyberattaque.org est seule à attribuer au vendeur de la base NaturaBuy, est aussi celui que Cyberattaque.org et FrenchBreaches associent à la vente de la fédération : c’est le seul point commun relevé, et il ne suffit pas à rattacher les deux dossiers.

Le chiffrement des mots de passe réduit le risque de connexion directe aux comptes, sans l’annuler totalement selon la robustesse de l’algorithme utilisé, non précisée. Le risque principal reste ailleurs : la réunion d’un nom, d’un numéro de téléphone et d’une adresse électronique avec une adresse postale constitue un profil suffisant pour des campagnes d’hameçonnage ciblées, d’autant plus crédibles qu’elles peuvent se prévaloir d’une inscription réelle sur une plateforme dédiée à la chasse et au tir sportif. L’appartenance à cette communauté, même sans détail sur les armes détenues, reste en soi une information qualifiante pour un attaquant.

Cet incident s’inscrit dans une séquence marquée depuis fin 2025 par plusieurs compromissions touchant des organismes et des commerces liés à la détention d’armes, dont la Fédération Française de Tir et l’Armurerie Lavaux, dont les données de commandes ont été mises en vente le 18 septembre 2026, une semaine après l’attaque contre NaturaBuy. Aucun lien technique n’a toutefois été établi entre ces incidents et celui de NaturaBuy : rien n’indique à ce stade un prestataire commun, un même mode opératoire ou un même acteur malveillant. Le rapprochement relève pour l’instant d’une observation sectorielle plutôt que d’une continuité technique démontrée.

Pour les membres de NaturaBuy, la recommandation prioritaire consiste à changer de mot de passe en se rendant directement sur le site officiel plutôt qu’en suivant un lien reçu par courriel ou SMS, et à le remplacer partout où il aurait été réutilisé. L’activation d’une authentification à deux facteurs, lorsqu’elle est disponible, et une vigilance renforcée face à tout appel ou message se présentant comme émanant de la plateforme complètent ces précautions.