Fuites de données des tireurs : où en est-on après FFTir, le SIA, les armuriers et NaturaBuy ?

Depuis octobre 2025, plusieurs cyberattaques ont exposé des données de tireurs, de chasseurs et de clients d’armureries ou de plateformes spécialisées. Le ministre de l’Intérieur a relié vingt à trente cambriolages au fichier volé à la FFTir. Le 10 septembre 2026, NaturaBuy a à son tour subi une cyberattaque avec extraction de données personnelles. En octobre, un courrier adressé aux clients de Douillet-Dreumont signale également le vol de justificatifs personnels.

Ces affaires sont parfois résumées par un « piratage du fichier des armes ». C’est inexact. Les systèmes et les informations exposées diffèrent. En revanche, leurs conséquences ne sont plus seulement numériques. Le 8 avril 2026, le ministre de l’Intérieur Laurent Nuñez a déclaré devant l’Assemblée nationale que vingt à trente cambriolages de domiciles de licenciés pouvaient être directement liés à la revente de données FFTir sur le darknet.

Six incidents signalés depuis octobre 2025

Le niveau de preuve diffère selon l’incident. Les éléments NaturaBuy sont rapportés à partir de synthèses de sa notification. Le complément Douillet repose sur un courrier signé SARL DOUILLET PLUMELIAU, transmis à BLACKOPE par un client le 14 octobre 2026, sans confirmation publique indépendante à ce stade. Plusieurs autres organismes disposent de communiqués officiels directement accessibles.

Meyson : une ancienne base attribuée à l’enseigne, mais peu documentée

Le cas Meyson est plus ancien et moins solidement documenté. En janvier 2024, des clients ont rapporté sur un forum avoir reçu une alerte de surveillance Google One concernant une base attribuée à Meyson, datée du 18 novembre 2022. Les témoignages évoquent des noms, prénoms, adresses électroniques et montants de commandes.

Nous n’avons trouvé ni communiqué public de Meyson ni confirmation d’une autorité permettant d’établir le périmètre exact de cette fuite. En mars 2026, des discussions en ligne ont aussi supposé que le compte professionnel compromis dans l’incident SIA appartenait à Meyson. Le SCAE n’ayant jamais nommé l’entreprise concernée, cette attribution reste une rumeur et ne peut pas être présentée comme un fait.

FFTir et EDEN : des coordonnées, pas le détail des armes

La FFTir a détecté le 20 octobre 2025 une intrusion survenue entre le 18 et le 20 octobre dans son système ITAC. ITAC et EDEN ont été déconnectés, puis remis en service après sécurisation. La Fédération a informé la CNIL et l’ANSSI et a déposé plainte.

La fuite concernait les licenciés actuels et anciens. Le parquet de Paris a ensuite évoqué environ 250 000 adhérents actuels et 750 000 anciens adhérents. Point essentiel : la FFTir a précisé qu’elle ne détenait pas les informations relatives aux armes possédées. Le détail des armes n’a donc pas été extrait d’EDEN ou d’ITAC lors de cette attaque.

Le fichier restait très sensible, car il associait une adresse à une personne liée au tir sportif. Dès novembre 2025, les autorités ont signalé des appels et visites de faux policiers ou gendarmes prétendant venir récupérer des armes.

SIA et LPN : le compte d’une entreprise, pas le cœur du système

L’incident du 24 mars est différent. Le Service central des armes et explosifs a informé les personnes potentiellement concernées qu’un compte appartenant à une entreprise utilisatrice du SIA avait été utilisé de manière malveillante. Les données pouvaient comprendre le type, le classement, la marque et le modèle d’une arme, ainsi que le nom, le prénom, l’e-mail et l’adresse postale de son propriétaire.

Le ministère affirme que le SIA lui-même n’a pas été atteint. Selon l’UFA, l’accès frauduleux aurait porté sur le Livre de police numérique d’une armurerie à partir d’identifiants professionnels compromis.

Un pirate a revendiqué des données concernant 65 511 armes, tandis que le SNAFAM a évoqué environ 41 000 personnes. Ces chiffres ne constituent pas un bilan officiel définitif. Le ministère a déposé plainte et notifié l’incident à la CNIL.

Armurerie Lavaux : une fuite récente encore en cours d’évaluation

Alertée le 1er août 2026, l’Armurerie Lavaux confirme que 21 enregistrements extraits lui ont été matériellement présentés, sans pouvoir établir l’ampleur totale des consultations. Son point d’information complété le 24 septembre mentionne une revendication de 232 341 lignes et 120 158 personnes, puis des informations de presse sur une vente. L’entreprise ne confirme pas cette vente ni ces volumes.

Les données potentiellement concernées incluent identité, téléphone, adresse et détails de commande. Selon l’entreprise, les documents d’identité, numéros SIA et d’armes, e-mails, mots de passe et données bancaires ne font pas partie des informations accessibles par cette vulnérabilité. Ces précisions ne constituent pas un bilan judiciaire définitif.

NaturaBuy : coordonnées exposées, mais aucun numéro SIA ni numéro d’arme selon la plateforme

Le 11 septembre 2026, NaturaBuy a informé ses membres avoir détecté la veille une cyberattaque externe ciblée, selon la synthèse publiée par FrenchBreaches. Des attaquants ont extrait des noms, prénoms, adresses e-mail et postales, numéros de téléphone, identifiants NaturaBuy et mots de passe stockés sous forme « chiffrée », selon les termes de l’entreprise. Le nombre de membres concernés n’est pas encore précisé.

Selon NaturaBuy, les mots de passe en clair, les documents d’identité, les données bancaires, les moyens de paiement, les numéros SIA, les numéros d’armes ainsi que les détails des commandes et des ventes n’ont pas été extraits. La plateforme dit avoir corrigé la vulnérabilité, renforcé ses systèmes, notifié la CNIL et déposé plainte.

Les membres devront réinitialiser leur mot de passe lors de leur prochaine connexion, directement sur naturabuy.fr. NaturaBuy précise qu’elle n’enverra aucune demande de réinitialisation par e-mail ou par SMS. Des SMS frauduleux ont circulé pendant l’indisponibilité du site, mais aucun lien avec les données extraites n’est établi à ce stade. Malgré l’absence annoncée de données sur les armes, l’association d’une identité, d’une adresse et de coordonnées avec un compte NaturaBuy crée un risque de hameçonnage ciblé et d’usurpation. Un compte NaturaBuy ne prouve pas, à lui seul, que son titulaire détient une arme. À titre préventif, la plateforme appelle toutefois à la vigilance face à de faux policiers ou gendarmes qui prétendraient venir récupérer des armes ou des munitions.

Douillet : des justificatifs personnels dérobés, selon la notification adressée aux clients

Dans un courrier de notification transmis à BLACKOPE par un client le 14 octobre 2026, l’armurerie Douillet-Dreumont, à Pluméliau, indique avoir découvert le 5 octobre 2026 l’exploitation d’une faille de sécurité. Un tiers malveillant aurait accédé à une partie des documents personnels conservés sur son site. La période mentionnée, de fin août 2024 à fin août 2026, concerne les documents stockés : elle ne décrit pas deux années d’intrusion continue.

Selon ce courrier, les pièces dérobées peuvent comprendre, suivant les clients :

• des cartes nationales d’identité ou des passeports ;
• des licences FFTir de saisons passées et des documents liés au SIA ;
• des décisions préfectorales relatives à la détention d’armes ;
• des justificatifs de domicile.

L’entreprise précise que les clients n’ayant jamais déposé de justificatifs sur leur compte ne sont pas concernés par cet incident. Elle indique aussi que les factures, adresses e-mail, mots de passe et coordonnées bancaires n’ont pas été affectés. Les paiements seraient traités par un prestataire distinct, sans stockage de ces données sur son site.

L’armurerie annonce une déclaration à la CNIL le 8 octobre 2026, un dépôt de plainte en gendarmerie et l’information des services de cybersécurité. Elle décrit la suppression du module de gestion des documents personnels, leur mise hors ligne, la correction de la faille et un renforcement de la surveillance du site. Ces démarches sont rapportées d’après sa notification, sans confirmation indépendante des autorités consultable à ce stade.

Un individu revendique la mise en vente d’une partie des documents, selon le même courrier. Aucun nombre de clients ou de pièces dérobées n’y figure. Cette revendication ne permet pas de confirmer une vente effective, et aucun lien avec un cambriolage précis n’est établi par cette notification.

Le risque ne se limite donc pas aux identifiants de connexion. Des copies de justificatifs peuvent faciliter une usurpation d’identité ou rendre un message frauduleux plus crédible. Contrairement aux données décrites dans la communication sur la fuite FFTir, le courrier Douillet mentionne des documents relatifs à la détention d’armes. Il ne démontre toutefois ni une extraction exhaustive du détail des armes possédées, ni un piratage du système national SIA.

Si vous êtes client, conservez la notification et contactez l’armurerie depuis ses coordonnées habituelles pour demander si vos documents sont concernés. Suivez les conseils de la CNIL après une fuite de données, sans déposer de nouveaux justificatifs sur un site prétendant vérifier votre présence dans un fichier volé.

Source : courrier de notification signé « SARL DOUILLET PLUMELIAU », transmis à BLACKOPE par un client le 14 octobre 2026. Ce document privé n’est pas publié intégralement. La date de transmission à la rédaction n’est pas présentée comme celle de son envoi par l’armurerie.

Que s’est-il passé depuis les piratages ?

L’enquête FFTir a connu une avancée en janvier. Un homme de 18 ans, soupçonné d’avoir participé à la fuite et à la revente des données, a été mis en examen et placé sous contrôle judiciaire. Les investigations se poursuivaient pour retrouver d’autres participants et les acheteurs du fichier.

Le 8 avril, Laurent Nuñez a indiqué que vingt à trente cambriolages de domiciles de licenciés pouvaient être directement liés aux données FFTir revendues sur le darknet. Des vols par effraction et des faits commis sous une fausse qualité de policier ont été signalés.

Un autre suspect, connu sous le pseudonyme « HexDex », a été interpellé le 20 avril, puis mis en examen et placé en détention provisoire. Le parquet de Paris le soupçonne de nombreux piratages commis depuis la fin de 2025, dont celui touchant l’accès au SIA. Le matériel saisi doit encore permettre de mesurer l’ampleur des fichiers obtenus et diffusés.

Le risque reste actuel. Le 18 août, France 2 a rapporté le cambriolage d’un tireur sportif à Miramas, avec le vol de sept armes longues, quatre armes de poing et 2 500 munitions. Les policiers interrogés envisageaient un lien possible avec une fuite de données, sans l’avoir établi. Ce cas doit donc être distingué des vingt à trente faits évoqués officiellement en avril.

L’OFAC confirme l’utilisation criminelle de données volées

Dans un entretien publié le 2 octobre 2026 par la Police nationale, le chef de l’Office anti-cybercriminalité indique que des exfiltrations massives de données personnelles ont facilité d’autres infractions, notamment des cambriolages visant des détenteurs d’armes à feu. Cette déclaration officielle confirme que les conséquences de données volées peuvent dépasser le hameçonnage ou l’usurpation de compte.

Elle ne permet toutefois pas d’attribuer un cambriolage précis à l’un des incidents suivis dans ce dossier. L’entretien ne cite ni la FFTir, ni le SIA, ni une armurerie, ni NaturaBuy. Il ne précise pas quelle base aurait été exploitée, combien de personnes seraient concernées ou sur quelle période.

Cette confirmation générale ne constitue donc pas une nouvelle attribution des affaires déjà évoquées. Chaque lien avec une fuite précise doit rester présenté selon son propre degré de preuve, qu’il s’agisse d’une déclaration officielle, d’un élément d’enquête ou d’une hypothèse encore étudiée.

Les précautions à prendre maintenant

Si vous avez reçu une notification de la FFTir, de la FNC, du SCAE, de NaturaBuy ou d’une armurerie, conservez-la et méfiez-vous des messages qui utilisent des informations exactes pour gagner votre confiance.

• Ne communiquez jamais un mot de passe, un code de connexion ou des informations sur vos armes par téléphone.
• Ne cliquez pas sur un lien reçu dans un message alarmant. Saisissez vous-même l’adresse du site officiel.
• Les forces de l’ordre ne se présentent pas spontanément pour récupérer des armes après une fuite de données. En cas d’appel douteux, raccrochez et contactez le 17. En cas de visite suspecte, n’ouvrez pas.
• Si vous aviez un compte NaturaBuy, changez son mot de passe directement depuis naturabuy.fr et remplacez-le aussi partout où vous l’avez réutilisé. Ne suivez aucun lien de réinitialisation reçu par e-mail ou SMS.
• Utilisez un mot de passe unique par service et activez la double authentification lorsqu’elle est proposée.
• Vérifiez le stockage légal de vos armes et munitions. Ne publiez pas de photos révélant votre domicile, votre coffre ou vos habitudes d’absence.
• Conservez les preuves d’un message, d’un appel ou d’une visite suspecte. En cas d’escroquerie, d’usurpation ou de tentative d’intrusion, déposez plainte.

À lire aussi : notre guide sur l’obligation de stockage en armoire forte ou coffre-fort et notre dossier sur le fonctionnement du SIA.

Un dossier qui reste ouvert

Les arrestations ne règlent pas toutes les questions : ampleur de certaines extractions, diffusion effective et attribution de faits ultérieurs restent à établir. Le complément du 14 octobre 2026 ajoute le courrier Douillet aux informations Lavaux du 24 septembre et à l’entretien de l’OFAC publié le 2 octobre. Le nombre de clients concernés par l’incident Douillet, l’étendue des documents dérobés et les suites de l’enquête restent à préciser. Pour agir après une notification, la CNIL propose également un guide actualisé à l’occasion du Cybermois 2026.

Sources principales

• Notification signée SARL DOUILLET PLUMELIAU, copie privée transmise à BLACKOPE par un client le 14 octobre 2026, non publiée intégralement.
• Entretien de l’OFAC sur les usages criminels des exfiltrations de données, Police nationale, 2 octobre 2026
• Communication de la FFTir sur l’incident d’octobre 2025
• Recommandations officielles de Cybermalveillance.gouv.fr
• Message du Service central des armes et explosifs
• Compte rendu de l’Assemblée nationale du 8 avril 2026
• Communiqué de la Fédération nationale des chasseurs
• Point d’information de l’Armurerie Lavaux, complément du 24 septembre 2026
• Enquête France 2 sur les vols d’armes du 18 août
• Signalements concernant l’ancienne base attribuée à Meyson, source non officielle
• Synthèse de la notification adressée par NaturaBuy à ses membres, 11 septembre 2026
• Analyse du message adressé par NaturaBuy à ses membres, Cyberattaque.org, 11 septembre 2026
• Conseils de la CNIL après une fuite ou un vol de données