NaturaBuy en maintenance, des SMS frauduleux : rien de confirmé

Ce vendredi 11 septembre 2026, la page d’accueil de NaturaBuy, place de marché française de la chasse, de la pêche, du tir et de l’outdoor, n’affiche plus qu’un message : « Le site est momentanément en maintenance. Nous mettons tout en œuvre pour rétablir la situation au plus vite. » Signé : le support technique.

Dans la matinée, sur deux forums de passionnés, des membres disent avoir reçu un SMS annonçant un paiement de 269 € et proposant un lien pour l’annuler. Plusieurs font le rapprochement avec la panne. Le traqueur de fuites FrenchBreaches a ouvert une fiche dans la journée.

Le rapprochement se comprend. Il n’est pas démontré.

Ce qui est établi, ce qui ne l’est pas

Ce que dit NaturaBuy. Rien d’autre que ce message de maintenance, à l’heure où nous écrivons. Il ne mentionne ni incident, ni piratage, ni données. Nous n’avons trouvé aucun communiqué ni avis de sécurité, et nous n’avons pas pu vérifier si un courriel a été adressé aux clients.

Ce que revendique un attaquant. Rien que nous ayons pu trouver. FrenchBreaches classe l’alerte « Revendiquée (crédible) », mais son propre résumé parle d’un site « potentiellement visé par un incident » et ne cite ni revendication ni source extérieure. Nous ne consultons pas les forums criminels : nous ne pouvons donc pas exclure qu’une annonce y circule. Nous constatons seulement qu’aucun média ni observateur identifié n’en fait état.

Ce que rapportent des utilisateurs. Sur un forum de chasseurs et sur un forum de tireurs collectionneurs, le 11 septembre : un site perturbé depuis la veille selon certains, puis fermé pour maintenance ; un SMS de « paiement » de 269 € avec un lien d’annulation ; un expéditeur affiché sous la forme d’un numéro court. La plupart disent n’avoir pas cliqué. L’un s’étonne d’avoir reçu le message sur son téléphone alors qu’il n’utilise le site que sur ordinateur, ce qu’un autre explique par le numéro enregistré dans son compte. L’explication est plausible. Ce n’est pas une preuve.

Aucun volume, aucune catégorie de données, aucune date d’intrusion. En l’état, l’incident n’est pas établi.

Le détail qui oblige à la prudence

Le même jour, Synaris, un site qui analyse les arnaques en circulation, a publié une fiche sur un SMS en tous points semblable : envoyé depuis le 38656, « Paiement accepte : 269EUR », un lien raccourci pour « acceder ou annuler ». Synaris a remonté ce lien sans l’ouvrir : il menait à un domaine déposé deux jours plus tôt et éteint quatre heures après l’envoi. La fiche ne cite aucun marchand. NaturaBuy n’y apparaît pas.

Deux choses en découlent. Le 38656 est un numéro court mutualisé, exploité par une plateforme d’envoi en masse et partagé par de nombreux expéditeurs, légitimes compris : qu’un SMS en provienne ne dit rien de son auteur. Et le message ne nomme ni NaturaBuy, ni un produit, ni une commande. Il a tout d’une campagne de masse, envoyée à des listes de numéros dont Synaris rappelle qu’elles proviennent souvent de fuites anciennes, accumulées et revendues.

Le calendrier peut donc relever de la coïncidence : un site en panne, un SMS générique qui tombe le même jour, une communauté soudée qui compare ses messages. Il peut aussi ne pas en relever. Les éléments publics ne permettent pas de trancher, et nous préférons l’écrire plutôt que de trancher à la place des faits. C’est la limite que nous décrivions dans ce qu’une alerte ne dit pas : un traqueur agrège des signaux, il ne les vérifie pas toujours.

Des membres des forums s’inquiètent aussi des justificatifs que l’achat de certaines armes suppose de fournir. Aucune information publique ne dit qu’ils sont concernés. C’est précisément la question à laquelle NaturaBuy devra répondre si l’incident se confirme.

Où l’IA changerait le calcul

Le SMS décrit par Synaris est grossier : pas de nom, pas de marchand, pas d’objet acheté. C’est ce qui le trahit.

Un fichier de clients d’une place de marché spécialisée, s’il avait fuité, fournirait exactement ce qui manque : un pseudonyme, une catégorie d’annonces, un objet réellement mis en vente. Écrire des milliers de messages différents, chacun citant une lunette de tir, un moulinet ou une vente en cours, demandait du temps. Un modèle de langage le fait en quelques minutes, dans un français sans faute. Nous avons détaillé ce mécanisme à propos des données fiscales volées à la DGFiP.

Rien n’indique qu’une telle campagne existe. Retenez seulement ceci pour les semaines qui viennent : un message qui en sait long sur vous n’est pas plus fiable. Il est plus dangereux.

Si vous avez un compte NaturaBuy

• Le SMS à 269 € : ne cliquez pas et ne répondez pas, même par « STOP ». Transférez-le au 33700, le service de signalement que recommande Cybermalveillance.gouv.fr, puis supprimez-le.
• Si vous avez cliqué et saisi une carte bancaire : faites opposition auprès de votre banque sans attendre, puis déposez plainte. France Victimes répond au 116 006, sept jours sur sept.
• Si l’on vous rappelle en se présentant comme le service anti-fraude de votre banque, raccrochez et composez vous-même le numéro inscrit au dos de votre carte. Synaris rattache la formule « pour y accéder ou l’annuler » à ce scénario du faux conseiller, le plus coûteux et le plus difficile à faire rembourser.
• Au retour du site, changez votre mot de passe NaturaBuy, et partout où vous l’aviez réutilisé, en commençant par votre messagerie.
• Pour toute nouvelle de NaturaBuy, tapez vous-même l’adresse du site. Jamais par un lien reçu.

Ce que la loi demande à NaturaBuy si des données sont touchées

Nous ne savons pas ce que l’entreprise a fait, et une notification à la CNIL n’est pas publique. Le cadre, lui, est connu.

L’article 33 du RGPD impose au responsable de traitement de notifier une violation de données personnelles à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si elle n’est pas susceptible d’engendrer un risque pour les personnes. Passé ce délai, le retard doit être justifié ; la CNIL admet une notification en deux temps, complétée à mesure que l’enquête avance. Toute violation, même non notifiée, doit être documentée en interne (article 33, paragraphe 5).

L’article 34 ajoute l’information des personnes concernées, dans les meilleurs délais, lorsque la violation présente un risque élevé pour leurs droits et libertés. Le message doit décrire en termes clairs la nature de la violation, ses conséquences probables et les mesures prises.

Un point de méthode, qui n’est pas une obligation. Quand des membres se préviennent entre eux sur des forums, le silence laisse la place aux hypothèses. Dire quels canaux l’entreprise utilise pour contacter ses clients, et lesquels elle n’utilise jamais, ne coûte rien et ne préjuge pas de l’enquête.

Reconnaître un faux message avant qu’il ne coûte est le cœur de notre formation Cybersécurité pour tous, et nos autres parcours sont présentés sur la page cybersécurité.

Nous mettrons cet article à jour si NaturaBuy s’exprime. Reste une question : si le site rouvre sans un mot, comment ses utilisateurs sauront-ils si ce SMS les visait, eux ?

Sources

• NaturaBuy, page d’accueil de naturabuy.fr, consultée le 11 septembre 2026 : message de maintenance signé « Le support technique », sans mention d’incident.
• FrenchBreaches, fiche « NaturaBuy », 11 septembre 2026 : statut « Revendiquée (crédible) », impact non communiqué, aucune source extérieure citée.
• Forum Chasse (chasse.forumactif.com), fil « Attention : NaturaBuy piraté ! », 11 septembre 2026 : témoignages d’utilisateurs.
• Forum TIR et COLLECTION (tircollection.com), fil « Site NaturaBuy en maintenance ? », 11 septembre 2026 : témoignages d’utilisateurs.
• Synaris, « Arnaque TinyURL : le SMS du 38656 “Paiement accepte : 269EUR” », 11 septembre 2026 : analyse du SMS et du lien, fonctionnement du numéro court.
• Cybermalveillance.gouv.fr, « Que faire en cas de phishing ou hameçonnage ? », mise à jour du 7 mai 2026.
• CNIL, « Notifier une violation de données personnelles », consultée le 11 septembre 2026.
• Règlement (UE) 2016/679 (RGPD), articles 33 et 34.
• À la date de rédaction, aucune communication officielle de NaturaBuy, aucune revendication publique identifiée et aucun article de presse spécialisée n’ont été trouvés.