NaturaBuy confirme le vol de données de ses membres

Mise à jour du 12 septembre 2026. Notre première version, publiée hier sous le titre « rien de confirmé », concluait qu’aucune fuite n’était établie. Ce n’est plus vrai : NaturaBuy a confirmé à ses membres une cyberattaque le 10 septembre 2026 et l’extraction de données personnelles. La seconde moitié de notre prudence tient toujours, en revanche : rien ne relie le SMS frauduleux à 269 € à cette attaque, et NaturaBuy ne fait pas ce lien non plus. Nous avons réécrit l’article, titre compris.

NaturaBuy, place de marché française de la chasse, de la pêche, du tir et de l’outdoor, a fermé son site pour « maintenance » le 11 septembre. C’était une cyberattaque, et des données de membres sont parties avec.

Ce que NaturaBuy reconnaît

Nous n’avons pas lu le message envoyé aux membres. Deux sites l’ont reçu d’utilisateurs et en citent le contenu : l’observatoire cyberattaque.org et Safe Shooting, un site communautaire de tireurs. Leurs reprises concordent, et la fiche FrenchBreaches est passée de « Revendiquée (crédible) » à « Confirmée ». Aucun média généraliste ni aucune revue spécialisée n’a traité le sujet à ce jour : tout ce qui suit vient de l’entreprise, relayée par ces deux sites.

NaturaBuy décrit une attaque « externe ciblée, menée avec des moyens particulièrement sophistiqués », repérée le 10 septembre par son système d’alerte et non par ses équipes. Les attaquants ont extrait des données d’identification : nom et prénom, adresse électronique, adresse postale, numéro de téléphone, identifiant de connexion, mot de passe sous forme chiffrée. Les mots de passe en clair n’ont pas été exposés, affirme l’entreprise.

Elle énumère aussi ce qui aurait été épargné : aucun document d’identité, aucune donnée bancaire ni moyen de paiement, aucun numéro SIA, aucun numéro d’arme, aucun détail de commande ou de vente. Pour une plateforme où s’échangent des armes entre particuliers, c’est le point décisif. C’est aussi une affirmation que personne d’extérieur ne peut contrôler.

Côté réaction : site mis hors ligne le temps d’un audit, faille identifiée et corrigée selon l’entreprise, systèmes renforcés, réinitialisation des mots de passe imposée à la prochaine connexion, notification à la CNIL, plainte déposée. Les questions sont renvoyées au délégué à la protection des données, dont l’adresse figure dans le message aux membres.

Un point que nous avons vérifié nous-mêmes : ce 12 septembre, naturabuy.fr fonctionne normalement et n’affiche aucun avis d’incident sur sa page d’accueil. L’information circule par courriel et par les forums, pas par le site.

Ce que nous ne savons toujours pas

Le nombre de personnes concernées. Le volume extrait. La faille exploitée et le point d’entrée. La durée pendant laquelle les attaquants ont eu accès. Si les données ont déjà été publiées ou revendues.

Ce dernier point commande tout le reste : un fichier gardé par son auteur ne produit presque rien, un fichier mis en vente alimente des campagnes pendant des années. Et sans volume, impossible de savoir si l’incident touche une poignée de comptes ou la base entière.

Le SMS à 269 € reste une affaire à part

Le 11 septembre, des membres signalaient sur deux forums un SMS annonçant un paiement de 269 € avec un lien pour l’annuler. Beaucoup y ont vu la preuve d’une fuite. Ce n’en était pas une, et la confirmation de l’attaque n’en fait toujours pas une.

Synaris, un site qui analyse les arnaques en circulation, a publié le même jour une fiche sur un SMS identique : envoyé depuis le 38656, « Paiement accepte : 269EUR », un lien raccourci remonté sans être ouvert, menant à un domaine déposé deux jours plus tôt et éteint quatre heures après l’envoi. La fiche ne cite aucun marchand. Le 38656 est un numéro court mutualisé, partagé par de nombreux expéditeurs, légitimes compris : sa provenance ne dit rien de l’auteur. Et le message ne nomme ni NaturaBuy, ni un produit, ni une commande. Il a tout d’une campagne de masse, adressée à des listes de numéros souvent issues de fuites anciennes.

NaturaBuy n’établit aucun lien entre ces SMS et son incident. Nous non plus. Deux événements le même jour ne font pas une chaîne de causalité, et c’est la limite que nous décrivions dans ce qu’une alerte ne dit pas.

Ce que ce fichier permettrait

Le SMS du 38656 est grossier : pas de nom, pas de marchand, pas d’objet acheté. C’est ce qui le trahit.

Le fichier que NaturaBuy reconnaît avoir perdu fournit ce qui manque : un nom, une adresse postale, un téléphone, un identifiant de compte sur une plateforme spécialisée. Écrire des milliers de messages différents, chacun crédible pour son destinataire, demandait du temps. Un modèle de langage le fait en quelques minutes, dans un français sans faute. Nous avons détaillé ce mécanisme à propos des données fiscales volées à la DGFiP.

Un message qui en sait long sur vous n’est pas plus fiable. Il est plus dangereux.

Si vous avez un compte NaturaBuy

• Changez votre mot de passe sur le site, en tapant vous-même l’adresse. NaturaBuy indique qu’elle n’enverra aucune demande de réinitialisation par courriel ni par SMS : tout message de ce genre est frauduleux.
• Partout où ce mot de passe était réutilisé, changez-le aussi, en commençant par votre messagerie. Un mot de passe chiffré reste attaquable s’il était faible.
• Le SMS à 269 € : ne cliquez pas, ne répondez pas, même par « STOP ». Transférez-le au 33700, le service de signalement recommandé par Cybermalveillance.gouv.fr, puis supprimez-le.
• Si vous avez saisi une carte bancaire : faites opposition sans attendre, puis déposez plainte. France Victimes répond au 116 006, sept jours sur sept.
• Si l’on vous rappelle au nom du service anti-fraude de votre banque, raccrochez et composez le numéro inscrit au dos de votre carte.
• Détenteurs d’armes des catégories B, C ou D : NaturaBuy rappelle que police, gendarmerie et douanes ne se présentent pas spontanément à un domicile pour récupérer armes ou munitions. Appel ou visite suspecte, composez le 17.

Le cadre légal, et ce qui manque encore

L’article 33 du RGPD impose de notifier une violation à la CNIL dans les meilleurs délais et, si possible, sous 72 heures. NaturaBuy dit l’avoir fait ; une notification n’étant pas publique, nous ne pouvons pas le vérifier. L’article 34 ajoute l’information des personnes concernées quand le risque est élevé, avec la nature de la violation, ses conséquences probables et les mesures prises. Le message aux membres coche ces cases, sauf une : les conséquences probables restent floues tant que le volume est inconnu.

Reconnaître un faux message avant qu’il ne coûte est le cœur de notre formation Cybersécurité pour tous, et nos autres parcours sont présentés sur la page cybersécurité. DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480 — cet enregistrement ne vaut pas agrément de l’État —, et aucun financement OPCO, CPF ou France Travail n’est mobilisable à ce jour.

Une question reste ouverte, et elle n’est pas technique : combien de membres ont appris la nouvelle par un courriel de NaturaBuy, et combien par un forum ?

Sources

• NaturaBuy, message adressé à ses membres sur la cyberattaque du 10 septembre 2026. Nous n’y avons pas eu accès : son contenu nous est connu par les deux sites suivants, qui le citent et concordent.
• Cyberattaque.org, « NaturaBuy victime d’une cyberattaque, un risque pour les détenteurs d’armes », 11 septembre 2026 à 21h32.
• Safe Shooting, « Cyberattaque NaturaBuy : des données personnelles de membres ont été volées », consulté le 12 septembre 2026.
• FrenchBreaches, fiche « NaturaBuy » : statut passé de « Revendiquée (crédible) » à « Confirmée ».
• naturabuy.fr, page d’accueil consultée le 12 septembre 2026 : site accessible, aucun avis d’incident affiché.
• Synaris, « Arnaque TinyURL : le SMS du 38656 “Paiement accepte : 269EUR” », 11 septembre 2026.
• Forum Chasse et Forum TIR et COLLECTION, fils du 11 septembre 2026 : témoignages d’utilisateurs.
• Cybermalveillance.gouv.fr, « Que faire en cas de phishing ou hameçonnage ? », 7 mai 2026.
• Règlement (UE) 2016/679 (RGPD), articles 33 et 34.
• Aucune couverture trouvée chez Zataz, Numerama, LeMagIT, 01net, ZDNet, Clubic, Next ni DCOD, ni aucune communication de la CNIL, au 12 septembre 2026.