NaturaBuy : 1,4 million de comptes revendiqués à la vente

Une attaque confirmée, puis une revente revendiquée

NaturaBuy, marketplace française consacrée notamment à la chasse, la pêche, au tir et à l’outdoor, a confirmé avoir subi une cyberattaque externe le 10 septembre. D’après la communication relayée par FrenchBreaches et Cibles Mag, l’entreprise a mis son site temporairement hors ligne pour réaliser un audit, a indiqué avoir corrigé la vulnérabilité identifiée, notifié la CNIL et déposé plainte.

Le nouveau développement ne vient pas de NaturaBuy. Le 3 octobre, FrenchBreaches a signalé qu’un acteur sur un forum cybercriminel proposait une base attribuée à la marketplace. Il revendique exactement 1 428 331 enregistrements. Ce nombre ne doit pas être présenté comme le nombre confirmé de victimes : NaturaBuy n’avait pas communiqué de total lors de son annonce initiale et n’a pas validé publiquement cette nouvelle base dans les sources consultées.

Ce que le vendeur affirme détenir

Selon les statistiques publiées par le vendeur et rapportées par FrenchBreaches, le fichier contiendrait des identifiants de compte, des pseudonymes NaturaBuy, des adresses principales et parfois secondaires, des codes postaux, des villes et des pays. Des noms apparaîtraient dans l’échantillon visible. Pour certains comptes professionnels, le vendeur cite aussi des noms d’entreprise et des numéros SIRET.

La combinaison est plus préoccupante qu’une simple liste d’adresses e-mail. Un fraudeur qui connaît le nom, l’adresse postale, le pseudonyme et l’existence d’un compte peut construire un message ou un appel beaucoup plus convaincant. En revanche, FrenchBreaches précise que la présence et la complétude des champs varient selon les lignes montrées. Rien ne permet donc d’affirmer que chaque compte contiendrait toutes ces données.

Les données confirmées en septembre ne sont pas identiques

Lors de la communication initiale, NaturaBuy avait confirmé l’extraction possible de noms, prénoms, adresses e-mail et postales, numéros de téléphone, identifiants de compte et mots de passe cryptés. La plateforme n’a pas parlé de mots de passe en clair. Elle avait annoncé une réinitialisation lors de la prochaine connexion, uniquement à l’initiative de l’utilisateur sur son site.

Le fichier aujourd’hui revendiqué met surtout en avant des adresses postales, pseudonymes et données géographiques ou professionnelles. Le vendeur ne revendique pas explicitement, dans la présentation consultée, les adresses e-mail, numéros de téléphone ou mots de passe cryptés. Il peut s’agir d’un sous-ensemble de l’extraction confirmée, d’un autre ensemble de données ou d’un fichier recomposé. Ces hypothèses ne peuvent pas être tranchées avec les éléments publics disponibles.

Pas de numéros d’armes ni de données bancaires revendiqués

NaturaBuy avait déclaré en septembre qu’aucune donnée bancaire, moyen de paiement, document d’identité, numéro SIA, numéro d’arme ou détail de commande et de vente ne faisait partie des données extraites. La nouvelle publication ne présente pas de champ venant contredire directement cette déclaration. FrenchBreaches ne rapporte ni numéro SIA, ni numéro d’arme, ni donnée bancaire, ni historique d’achat dans le fichier mis en vente.

Cela ne permet pas de déduire qu’un membre est détenteur d’une arme, ni de décrire cette base comme une liste de propriétaires d’armes. NaturaBuy vend aussi des produits de pêche, d’outdoor et d’autres équipements. Le risque documenté ici est celui d’une fraude plus crédible grâce au rapprochement entre identité, coordonnées et compte NaturaBuy, pas la divulgation confirmée d’un inventaire d’armes.

Les réflexes liés aux données exposées

Si vous avez un compte NaturaBuy, n’utilisez pas un lien reçu par e-mail ou SMS pour changer votre mot de passe. Ouvrez vous-même le site ou l’application habituelle. NaturaBuy avait indiqué qu’aucune demande de réinitialisation ne serait envoyée par e-mail ou SMS. Un message qui prétend imposer une vérification urgente est donc un signal d’alerte, même s’il connaît votre nom ou votre adresse.

Ne communiquez jamais un code reçu par SMS ou par application de validation à un interlocuteur qui vous appelle. Les coordonnées postales et téléphoniques revendiquées peuvent aussi servir à de faux avis de passage, de faux colis ou à une prétendue démarche administrative. Raccrochez face à un appel inattendu et utilisez vous-même le canal officiel. En cas de prétendue demande des forces de l’ordre relative à des armes ou munitions, NaturaBuy recommandait de contacter directement le 17.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas vérifier indépendamment que les 1 428 331 lignes correspondent à des membres uniques de NaturaBuy, que la totalité de la base provient de la cyberattaque du 10 septembre, ni l’ancienneté des informations. Le chiffre, la structure détaillée du fichier et sa mise en vente proviennent de la revendication rapportée par FrenchBreaches.

Le mode d’accès des attaquants, leur identité, la durée de leur présence dans les systèmes et le périmètre technique exact restent également inconnus publiquement. L’attaque et l’extraction de données sont confirmées par NaturaBuy dans les comptes rendus consultés. La revente de cette base et son volume exact ne sont pas confirmés par l’entreprise à ce stade.

Sources : Cibles Mag ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.