Herbiolys : 1,3 million de lignes et près de 1 500 IBAN revendiqués chez un laboratoire de phytothérapie

Le 31 août 2026, un acteur utilisant le pseudonyme « Sophia » a revendiqué la compromission du site marchand du laboratoire Herbiolys, spécialisé dans la phytothérapie et la gemmothérapie, et l’extraction de l’intégralité de sa base de données. L’annonce porte sur environ 1,3 million de lignes, dont près de 1 500 IBAN uniques, des données de cartes bancaires partiellement masquées, des identifiants PayPal et des références de transactions.

Ce sont les coordonnées bancaires qui déterminent la sévérité retenue, et non le volume. Un IBAN ne permet pas à lui seul de débiter un compte, mais il ouvre deux usages bien documentés : la mise en place de prélèvements frauduleux auprès d’émetteurs peu regardants, et surtout la fraude au changement de coordonnées bancaires, où un tiers se fait passer pour un fournisseur connu afin de détourner un règlement. La présence de revendeurs et de professionnels de santé parmi les titulaires, pharmacies, naturopathes, kinésithérapeutes et vétérinaires, renforce précisément ce second scénario, puisqu’il s’agit de relations commerciales récurrentes avec des montants prévisibles.

Le décompte de 1,3 million de lignes ne doit pas être lu comme un nombre de personnes, et les deux observatoires qui documentent le cas le signalent eux-mêmes. Il s’agit d’enregistrements répartis entre plusieurs tables, comptes, adresses, commandes, paiements et livraisons, dont la somme dépasse largement le nombre de clients. Le rapprochement avec la taille du laboratoire achève de rendre cette lecture invraisemblable : un tel nombre de clients distincts serait sans rapport avec son activité.

Aucune communication publique du laboratoire n’a pu être retrouvée, ce qui maintient le statut « alléguée ». Un observatoire mentionne, sans attribution à une déclaration identifiable, que l’entreprise aurait indiqué la situation maîtrisée, les organismes compétents avertis et une plainte déposée. Faute de source primaire, cet élément est mentionné ici pour ce qu’il est, une information de seconde main qui ne suffit pas à requalifier la fiche.