Nature & Découvertes : vos commandes chez un prestataire

Ce que vous avez acheté, en quelle quantité, et à quel prix. C’est cette ligne, dans le message adressé par Nature & Découvertes à ses clients, qui distingue cet incident des autres fuites de coordonnées.

L’enseigne a confirmé le 14 septembre 2026 qu’un incident survenu chez l’un de ses prestataires avait permis un accès non autorisé à certaines données liées aux commandes.

Ce qui est annoncé

Les données susceptibles d’être concernées portent sur l’identité et les coordonnées des clients : nom, prénom, adresse postale, adresse électronique, numéro de téléphone. S’y ajoute le contenu des commandes, avec les articles commandés, les quantités et les prix.

Les données bancaires, les informations de paiement et les mots de passe sont explicitement exclus du périmètre.

L’enseigne indique que la situation est maîtrisée, et que ses équipes, avec celles du prestataire, ont pris des mesures pour contenir l’incident et renforcer la protection des données. Le risque qu’elle annonce est celui de sollicitations frauduleuses par courriel, SMS ou téléphone.

Ce que le message ne dit pas

Quatre choses manquent, et ce sont celles dont un client a besoin pour évaluer sa propre situation.

Le nombre de personnes concernées n’est pas communiqué. La date de l’accès et sa durée non plus. La fonction du prestataire n’est pas précisée : logistique, service client, marketing, hébergement ? Enfin, l’enseigne ne se prononce pas sur une extraction effective des données, c’est-à-dire sur la question de savoir si elles ont été seulement consultées ou réellement emportées.

Cette dernière réserve est honnête. Elle est aussi le signe que la journalisation ne permet pas de trancher, ce qui est fréquent et rarement dit.

Sur la forme, le message coche les cases de l’article 34 du RGPD : nature de la violation, conséquences probables, mesures prises, conseils aux personnes. Il lui manque le point 3 du paragraphe 3 de l’article 33 — une estimation du nombre de personnes concernées — mais cette obligation-là vise la notification à la CNIL, pas le message aux clients.

Pourquoi le contenu des commandes compte

Une fuite de coordonnées permet d’écrire à quelqu’un. Une fuite de l’historique de commandes permet de lui parler de ce qu’il a acheté.

Nature & Découvertes vend des objets qui racontent quelque chose : matériel d’observation de la nature, jeux pour enfants, articles de bien-être, coffrets cadeaux. Un historique d’achat y est plus révélateur qu’une liste de courses. Il indique s’il y a des enfants dans le foyer, quel âge ils ont approximativement, quels sont les centres d’intérêt de la personne, et combien elle est prête à dépenser.

Le prix figure dans le périmètre. Cela signifie qu’un attaquant peut trier la base par montant, et concentrer son effort sur les clients qui commandent le plus.

Le scénario immédiat est le faux service après-vente. « Votre commande du 3 septembre, un article de 39,90 euros, n’a pas pu être livrée ; confirmez votre adresse et réglez 1,90 euro de réexpédition. » Tout est vrai sauf la fin. Le petit montant sert à obtenir le numéro de carte que la fuite n’a pas fourni.

Le second scénario est le faux remboursement, qui demande un RIB. Il vise ceux qui ont eu un vrai litige.

C’est ici, et seulement ici, que l’intelligence artificielle intervient dans cette affaire. Rien ne permet de dire qu’elle a joué un rôle dans l’attaque. Elle a un rôle documenté dans ce qui suit : l’ANSSI note dans son Panorama de la cybermenace 2025 que ces outils permettent aux attaquants d’améliorer le niveau, la quantité, la diversité et l’efficacité de leurs attaques. Composer un message par client à partir de son historique réel, sans faute et dans le ton de l’enseigne, ne demande plus de travail humain. Nous avons décrit ce mécanisme à propos des données fiscales volées à la DGFiP.

Trois règles pour un client concerné

Aucun paiement ne se fait depuis un lien reçu. Si un message évoque une livraison ou un remboursement, ouvrez le site vous-même et regardez votre compte. S’il n’y a rien dans votre compte, il n’y a rien.
Un appel qui cite votre commande n’authentifie personne. Raccrochez et rappelez le service client par le numéro figurant sur le site officiel, comme le recommande Cybermalveillance.gouv.fr.
Si un mot de passe est partagé avec d’autres sites, changez-le quand même. L’enseigne dit les mots de passe hors périmètre, et c’est probablement exact ; l’hygiène ne dépend pas de cet incident.

En cas d’escroquerie aboutie, le signalement se fait sur cybermalveillance.gouv.fr, et une plainte reste possible.

Pour les enseignes qui lisent ceci

L’incident vient d’un prestataire, et la notification est faite par l’enseigne. C’est juridiquement correct : le commerçant est responsable du traitement au sens de l’article 4, point 7, du RGPD ; le prestataire est sous-traitant au sens du point 8, tenu d’alerter dans les meilleurs délais au titre de l’article 33, paragraphe 2. La charge de la notification et de l’information reste au commerçant. Nous avions détaillé cette chaîne dans fuites de données : le prestataire, maillon faible.

Trois questions à traiter avant d’avoir à écrire un tel message :

Quels prestataires détiennent l’historique de commandes de vos clients ? Le contenu des commandes voyage plus loin que les coordonnées : transporteur, service client externalisé, outil de fidélité, plateforme d’avis. Chacun est une copie.
Depuis quand conservez-vous cet historique ? L’article 5, paragraphe 1, point e, du RGPD impose une durée limitée à la finalité. Dix ans d’achats ne servent ni la garantie ni la comptabilité.
Votre modèle de message est-il prêt ? Celui de Nature & Découvertes est clair et rapide. Ce qui lui manque (un ordre de grandeur, une période) est exactement ce que l’on oublie quand on rédige dans l’urgence.

Préparer ce message et le circuit qui l’accompagne, c’est l’objet de notre journée Réagir face à une cyberattaque : organisation et gestion de crise ; nos autres parcours figurent sur la page cybersécurité. DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480 — cet enregistrement ne vaut pas agrément de l’État —, et aucun financement OPCO, CPF ou France Travail n’est mobilisable à ce jour.

Nous mettrons cet article à jour si l’enseigne précise le nombre de personnes concernées ou la nature du prestataire. En attendant, ouvrez votre espace client et regardez jusqu’où remonte votre historique de commandes. C’est la mesure exacte de ce qui a pu partir.

Sources

Nature & Découvertes, message d’information aux clients daté du 14 septembre 2026, repris par Fuites Infos et Cyberattaque.org : accès non autorisé chez un prestataire, catégories de données concernées, contenu des commandes, exclusion des données bancaires et des mots de passe, situation maîtrisée, risque de sollicitations frauduleuses.
Fuites Infos, « Nature & Découvertes : fuite de données confirmée chez un prestataire », 14 septembre 2026 : éléments non communiqués (nombre de personnes, durée de l’accès, identité du prestataire, extraction effective), renvoi vers cybermalveillance.gouv.fr.
Cyberattaque.org, « Nature & Découvertes touché par une cyberattaque chez un prestataire », 14 septembre 2026.
FrenchBreaches, alerte « Nature & Découvertes », statut « Confirmée », 14 septembre 2026.
RGPD (règlement (UE) 2016/679), articles 4, 5, 33 et 34.
ANSSI, Panorama de la cybermenace 2025, 11 mars 2026.
Cybermalveillance.gouv.fr, fiche « Hameçonnage », consultée le 16 septembre 2026.
Aucun site de revendication ni aucune donnée volée n’a été consulté pour cet article.