Armurerie Douillet : 7 546 fichiers revendiqués, licences de tir, pièces d'identité et décisions préfectorales mis en vente

Le 6 octobre 2026, un vendeur utilisant le pseudonyme ChimeraZ a proposé sur un forum cybercriminel un lot de 4,65 Go, soit 7 546 fichiers qu’il attribue au site de l’Armurerie Douillet, armurerie et boutique en ligne implantée à Pluméliau-Bieuzy et à Vannes, dans le Morbihan, en l’accompagnant d’un échantillon de 200 fichiers. L’annonce a été relayée le jour même par Fuites Infos, Cyberattaque.org, FrenchBreaches et SafeShooting, puis le lendemain par Clubic, qui reprend l’analyse de FrenchBreaches. Il s’agit à ce stade d’une simple revendication : l’armurerie n’a pas confirmé publiquement l’incident, aucune saisine de la CNIL ni notification aux clients n’est rapportée, et aucun avis n’était visible sur son site au 8 octobre.

Le chiffre de 7 546 désigne des fichiers et non des personnes, le lot étant décrit comme un ensemble de documents plutôt que comme une base de clients. L’inventaire du vendeur recense environ 1 900 licences de la Fédération Française de Tir ou documents liés au Système d’information sur les armes (SIA), 1 200 cartes d’identité, 700 décisions préfectorales sur la détention d’armes, 400 dossiers d’armes acquises, 300 justificatifs de domicile, RIB ou documents de carte bancaire et 200 passeports, soit environ 4 700 fichiers sur 7 546, la nature des autres n’étant pas détaillée. Fuites Infos, qui a examiné l’échantillon, y compte au moins 124 personnes distinctes et y retrouve surtout des licences, des cartes d’identité et des documents SIA, avec quelques autorisations préfectorales et relevés bancaires, mais n’a pas pu établir de quel système proviennent les fichiers ; les passeports, les justificatifs de domicile et les cartes bancaires annoncés n’ont pas été vérifiés. FrenchBreaches évoque une faille de type IDOR exploitée depuis un compte client dépourvu de double authentification, hypothèse reprise par Clubic mais « non confirmée indépendamment ».

Selon Cyberattaque.org, les décisions préfectorales de ce type pourraient comporter le numéro SIA, les noms et prénoms, la date et le lieu de naissance, l’adresse complète du détenteur, le numéro d’autorisation, le motif de détention, la période de validité et le nombre d’armes concernées. Rapprochées d’une copie de pièce d’identité, ces informations indiqueraient à la fois qui détient des armes, où et en quelle quantité, d’où un risque physique que Cyberattaque.org décrit comme celui de personnes cherchant à cibler certains domiciles, le cambriolage ciblé étant l’hypothèse la plus évidente. Les cartes d’identité, les passeports et les RIB ouvrent en outre la voie à l’usurpation d’identité, à la fraude bancaire et à des hameçonnages se faisant passer pour l’armurerie, la fédération de tir ou l’administration, d’autant plus crédibles qu’ils s’appuient sur une détention d’armes avérée.

Le pseudonyme ChimeraZ est le seul trait d’union relevé avec l’Armurerie Lavaux, dont un fichier de 120 158 personnes revendiquées avait été mis en vente le 18 septembre sous le même pseudonyme. C’est un indice faible : ce pseudonyme figure sur plusieurs fiches de ce site, dans des secteurs sans rapport avec les armes, et aucune source consacrée à Douillet ne cite Lavaux ni ne documente de prestataire ou de technique communs, l’hypothèse d’un prestataire de site commun aux deux armureries n’étant étayée par rien. Aucun lien n’est non plus établi avec NaturaBuy, dont la base du 2 octobre est attribuée par Cyberattaque.org à un autre pseudonyme et porte sur des comptes plutôt que sur des documents. Les échantillons Lavaux ne contenaient rien de propre à la FFTir ni au SIA, alors que l’annonce Douillet décrit de véritables licences et décisions préfectorales, ce qui s’expliquerait par des pièces fournies par les clients à l’armurerie (deux documents de l’échantillon portent une mention de transmission à l’enseigne) plutôt que par une atteinte à la fédération ou au SIA, que rien n’indique à ce stade.

Faute de communication de l’armurerie, aucune consigne officielle n’a été diffusée aux clients, et il appartient aux personnes ayant transmis des pièces à l’enseigne d’agir par précaution. Les mesures les plus utiles consistent à surveiller ses relevés bancaires et à contester tout prélèvement non autorisé dans les treize mois, à déposer plainte en cas d’usurpation d’identité, à changer son mot de passe sur le site de l’armurerie et partout où il a été réutilisé en activant la double authentification lorsqu’elle existe, et à rester prudent face à tout message, appel ou visite invoquant une licence, un compte SIA ou une détention d’armes, en vérifiant l’interlocuteur par un numéro officiel et en raccrochant pour appeler le 17 en cas de doute sur un prétendu policier. Il est enfin déconseillé de rechercher ou de diffuser les documents issus de la fuite.