Armurerie Centrale, boutique en ligne lyonnaise spécialisée dans la vente d’armes, de munitions et d’équipements de défense, informe ses clients d’une cyberattaque ayant visé son site en septembre 2026.
Dans un message de notification dont Cyberattaque.org a obtenu copie, l’entreprise indique qu’un tiers a accédé sans autorisation à son site Internet. Des données personnelles, des historiques de commandes et des justificatifs déposés sur les comptes ont pu être consultés. Des empreintes de mots de passe ont également été dérobées, selon ce courrier.
Une intrusion en septembre, détectée le 1er octobre
Dans sa notification, Armurerie Centrale explique qu’un « acte malveillant » a permis un accès non autorisé à son site Internet au cours du mois de septembre 2026. L’incident aurait été détecté le 1er octobre 2026, date à laquelle l’entreprise indique avoir engagé des mesures correctives.
La méthode employée par l’attaquant, la durée exacte de l’accès et le nombre de clients touchés ne sont pas précisés. Le message évoque des informations qui « ont pu être consultées » : il ne permet pas d’établir que toutes les catégories de données ont été effectivement copiées pour chaque client.
Identités, achats et justificatifs potentiellement concernés
La notification adressée aux clients énumère plusieurs catégories de données susceptibles d’avoir été consultées :
- Noms et prénoms ;
- Adresses e-mail et numéros de téléphone ;
- Dates de naissance et adresses postales ;
- Historiques de commandes ;
- Messages échangés avec le service client ;
- Justificatifs éventuellement téléversés sur les comptes clients.
Le cas des mots de passe est distinct. L’entreprise affirme que les mots de passe n’étaient pas stockés en clair, mais qu’une version protégée, décrite dans le courrier comme une « empreinte cryptée », a été dérobée. Cela ne signifie pas que les mots de passe peuvent être directement lus.
Armurerie Centrale recommande néanmoins de changer le mot de passe utilisé sur son site et sur tout autre service où il aurait été réutilisé.
Des données sensibles dans le contexte de la vente d’armes
L’incident présente un enjeu particulier en raison de l’activité du commerçant. Armurerie Centrale vend notamment des armes à feu, des munitions, des armes de loisir et des équipements de défense.
Associer une identité, une adresse postale et un historique précis d’achats pourrait, si ces informations ont été consultées ou récupérées, accroître les risques d’escroqueries ciblées et d’atteintes à la vie privée. Être client de cette boutique ne signifie toutefois pas nécessairement posséder une arme à feu.
La politique de confidentialité du site précise par ailleurs que certaines informations relatives aux achats d’armes sont conservées pendant dix ans, conformément aux dispositions du Code de la sécurité intérieure qu’elle cite. Plusieurs fiches produits indiquent également qu’un justificatif de majorité peut être demandé.
Rien n’établit à ce stade que l’ensemble de ces documents ou archives a été affecté : leur éventuelle présence parmi les données consultées reste à clarifier.
Une faille corrigée, la CNIL saisie et une plainte déposée
Armurerie Centrale assure avoir corrigé la faille exploitée et renforcé la sécurité de ses serveurs après la découverte de l’incident.
Elle indique également avoir notifié la Commission nationale de l’informatique et des libertés (CNIL) et déposé plainte. Ces démarches sont rapportées par l’entreprise dans son courrier ; elles n’ont pas fait l’objet d’une confirmation publique distincte identifiée lors de nos recherches.
La société ne communique, dans cette notification, ni le volume des données concernées, ni le nombre de personnes informées, ni l’identité de l’auteur de l’intrusion.
Aucune publication publique des données n’est établie à ce stade par les éléments consultés.
Que doivent faire les clients concernés ?
Les personnes ayant reçu cette notification sont invitées à modifier le mot de passe de leur compte Armurerie Centrale, ainsi que celui des autres comptes utilisant le même mot de passe.
Il est également recommandé de se méfier des e-mails, SMS ou appels faisant référence à une commande réelle, à une pièce justificative ou à une démarche administrative : la connaissance de détails personnels peut rendre une tentative d’hameçonnage plus crédible.
En cas de doute sur les pièces déposées ou les données effectivement concernées, les clients peuvent contacter directement l’enseigne par les coordonnées affichées sur son site officiel, sans passer par un lien reçu dans un message inattendu.
La CNIL détaille également les précautions à prendre après une fuite ou un vol de données personnelles.
Au 20 octobre 2026, cette information repose sur une copie de la notification adressée aux clients et sur les informations publiques de l’enseigne. Le nombre de personnes touchées et le périmètre exact des données compromises restent à établir.