Quatre fuites de données en un an : ce que les tireurs et les chasseurs doivent en retenir

En moins d'un an, quatre fichiers qui concernent les tireurs, les chasseurs et les détenteurs d'armes en France ont fuité. Une fédération, un registre d'État, une armurerie en ligne, et le 10 septembre dernier une place de marché que beaucoup d'entre vous utilisent. Pris séparément, chacun de ces incidents ressemble à une mauvaise nouvelle de plus dans un paysage numérique qui en produit toutes les semaines. Mis bout à bout, ils racontent autre chose, et c'est cette autre chose qui mérite dix minutes de lecture calme.

Cet article ne cherche pas à alarmer. Il explique ce qui a réellement fuité, pourquoi ces données-là valent plus cher que d'autres, et surtout ce qui reste sous votre contrôle une fois que le fichier est dans la nature.

Quatre incidents, dans l'ordre

Octobre 2025, la Fédération française de tir. L'attaque s'est produite entre le 18 et le 20 octobre 2025. Les données dérobées concernent l'identité des licenciés, leur adresse postale, leur téléphone et leur numéro de licence. Ni données médicales, ni données bancaires. Et, point important, la fédération ne détient pas d'informations sur les armes elles-mêmes : ce fichier ne dit pas ce que vous possédez.

Mars 2026, le Système d'information sur les armes. L'affaire remonte à la surface le 26 mars 2026. Il ne s'agit pas d'une intrusion dans le SIA lui-même, mais de l'accès malveillant à un compte professionnel autorisé, par lequel des données ont été extraites : de l'ordre de 62 500 armes, avec les coordonnées des détenteurs et l'historique de transactions. Le ministère a désactivé le compte concerné, généralisé l'authentification à deux facteurs et contacté individuellement les détenteurs concernés.

Août 2026, l'Armurerie Lavaux. Signalée le 1er août 2026, cette fuite porte sur des commandes passées depuis 2025 : noms, adresses postales, numéros de téléphone, et le détail des produits achetés. Pas de mots de passe, pas de données bancaires, pas de numéros SIA ni de numéros de série d'armes.

Septembre 2026, NaturaBuy. La cyberattaque date du 10 septembre 2026, les membres ont été informés le lendemain. Ont été extraits : noms et prénoms, adresses e-mail, adresses postales, numéros de téléphone, identifiants de connexion et mots de passe chiffrés. La plateforme indique que les mots de passe en clair n'ont pas été exposés, et que n'ont été touchés ni les pièces d'identité, ni les données bancaires ou moyens de paiement, ni les numéros SIA, ni les numéros de série d'armes, ni le détail des commandes et des ventes. Le site a été mis hors ligne le temps d'un audit, la faille corrigée, la CNIL notifiée, une plainte déposée, et une réinitialisation de mot de passe imposée à la reconnexion.

Le point commun, et pourquoi il compte

Regardez ce que ces fichiers contiennent, et surtout ce qu'ils ne contiennent pas. Trois des quatre ne disent rien de vos armes. La FFTir ne les connaît pas. NaturaBuy affirme que les numéros de série et les numéros SIA n'ont pas été touchés. Lavaux n'avait ni l'un ni l'autre. Le seul fichier qui reliait des armes à des noms est celui extrait via un compte professionnel du SIA.

Et pourtant, du point de vue d'un cambrioleur, la question n'a jamais été « quelles armes possède cette personne ». La question est : « à quelle adresse habite quelqu'un qui en possède probablement ». Une licence de tir, un compte sur une place de marché spécialisée, une commande dans une armurerie : chacun de ces éléments est un indice de probabilité, associé à une adresse exacte et à un numéro de téléphone. C'est cette combinaison qui a de la valeur, pas le détail du râtelier.

C'est aussi pour cela que le raisonnement « mes données ne valent rien, je n'ai qu'une carabine de loisir » ne tient pas. Ce n'est pas la valeur de votre matériel qui vous désigne, c'est la case cochée à côté de votre adresse.

Ce que ça a donné dans la vraie vie

Les suites du piratage de la FFTir ont montré comment ces listes sont utilisées. Des repérages suspects ont été signalés aux forces de l'ordre. Des personnes se sont présentées au domicile de licenciés en se faisant passer pour des policiers venus « sécuriser » ou récupérer les armes après la fuite. D'autres ont reçu des appels du même ordre.

La consigne officielle, rappelée par cybermalveillance.gouv.fr, est sans ambiguïté : la police, la gendarmerie ou la douane ne vous appelleront jamais pour venir chez vous récupérer vos armes à la suite d'une fuite de données, et ne se présenteront jamais spontanément pour cela. Si quelqu'un vous le propose, quelle que soit la qualité de son uniforme ou de son vocabulaire, c'est un vol en préparation. On ne discute pas, on ne montre rien, on appelle le 17.

Si vous avez un compte NaturaBuy

Nous vendons également sur NaturaBuy, et une partie de nos clients y a donc un compte. Autant être direct sur ce qu'il faut faire, et sur ce qu'il ne faut surtout pas faire.

Changez votre mot de passe en tapant vous-même l'adresse du site. Pas depuis un lien reçu par e-mail ou par SMS, même si le message est parfaitement rédigé et arrive au bon moment. Les semaines qui suivent une fuite sont exactement celles où arrivent les faux courriels de réinitialisation, et ils n'ont jamais été aussi crédibles que lorsque la fuite est réelle et publique.

Si ce mot de passe servait ailleurs, changez-le partout. C'est la conséquence la plus ennuyeuse d'une fuite d'identifiants : elle ne vaut pas seulement pour le site concerné. Un gestionnaire de mots de passe règle le problème une fois pour toutes, et ce n'est pas un luxe de spécialiste.

Attendez-vous à du hameçonnage ciblé. Avec votre nom, votre adresse et votre numéro, un message qui parle de chasse, de tir ou d'une commande en cours devient très convaincant. La règle ne change pas : on ne clique pas depuis le message, on va sur le site par ses propres moyens.

Les réflexes qui valent pour les quatre fuites

Au téléphone, on rappelle. Personne de légitime ne s'offusquera que vous raccrochiez pour rappeler un numéro que vous avez trouvé vous-même. C'est la parade la plus simple à l'usurpation, et elle fonctionne contre à peu près toutes les variantes.

À la porte, on ne fait pas entrer. Un contrôle réel se prépare et s'annonce par les voies officielles. Un visiteur qui insiste pour voir vos armes « tout de suite » vient les chercher.

À la livraison, on reste discret. Un colis marqué, une conversation devant le portail, une photo publiée avec l'adresse en arrière-plan : ce sont des fuites que personne ne piratera parce que vous les aurez publiées vous-même.

Chez soi, on range comme si l'information circulait. Parce qu'elle circule. L'obligation de coffre existe pour de bonnes raisons ; la fuite ne la change pas, elle la rend simplement plus concrète.

Et si vous constatez quelque chose, on signale. Un repérage, un appel étrange, une visite suspecte : les forces de l'ordre ont besoin de ces signalements pour relier des faits entre eux, et un événement isolé peut être la pièce qui manquait à un dossier.

Faut-il en vouloir au SIA ?

La question se pose, et elle mérite une réponse honnête plutôt qu'un slogan. Nous conseillions il y a quelques jours de tenir son râtelier numérique à jour, et cet article-ci raconte qu'un fichier extrait via le SIA s'est retrouvé dans la nature. Les deux sont vrais en même temps.

Deux choses méritent d'être distinguées. D'abord, l'extraction est passée par un compte professionnel compromis, pas par une faille du système lui-même : c'est le maillon humain qui a cédé, comme presque toujours. Ensuite, le SIA n'est pas optionnel : sans compte, vous ne pouvez plus acheter chez un armurier et votre droit à détenir est en jeu. Refuser de s'inscrire pour protester contre une fuite revient à se punir soi-même sans rien réparer.

Ce que l'on peut légitimement exiger, en revanche, c'est que les accès professionnels soient mieux protégés, ce qui a commencé avec la généralisation de l'authentification à deux facteurs, et que les personnes concernées soient prévenues vite et clairement. Sur ce dernier point, les quatre incidents de cette année n'ont pas tous été traités avec la même transparence, et cela se voit.

Ce qui reste sous votre contrôle

On ne rattrape pas un fichier qui a fuité. C'est désagréable, et c'est ainsi. Ce que l'on peut faire tient en peu de choses : des mots de passe uniques, un doute systématique face à tout message ou toute visite qui parle de vos armes, une discrétion ordinaire sur ce que l'on possède, et un rangement conforme. Ces quatre habitudes ne coûtent rien et couvrent l'essentiel du risque réel, qui n'est pas la divulgation d'un numéro de licence mais la visite qu'elle peut provoquer.

Le reste appartient aux organisations qui détiennent nos coordonnées. Elles progresseront d'autant plus vite que leurs adhérents et leurs clients poseront la question : que gardez-vous, pendant combien de temps, et qui y a accès. C'est une question que personne n'aime recevoir, et c'est exactement pour cela qu'elle est utile.