DiamondsFactory.fr : des commandes et dossiers SAV revendiqués

Une revendication datée du 19 septembre

Le 19 septembre 2026, un acteur utilisant le pseudonyme Cybernox a affirmé détenir une base qu’il attribue à DiamondsFactory.fr, un site de joaillerie. La publication parle de 24 094 lignes de données et évoque une vente de la base. Ce chiffre est celui avancé dans la revendication : il ne correspond pas nécessairement à 24 094 personnes distinctes.

FrenchBreaches indique que le nom employé dans l’annonce est légèrement différent, « diamantfactory », mais que les éléments étudiés conduisent ce média spécialisé à rattacher les données au site DiamondsFactory.fr. Cette attribution, comme la compromission elle-même, doit toutefois être distinguée d’une confirmation par l’entreprise concernée.

Ce que l’échantillon permet de documenter

Selon FrenchBreaches, l’échantillon diffusé contient une structure de fiches de commandes et de dossiers de service après-vente. Le média dit y avoir observé notamment des noms, des numéros de téléphone, des numéros et dates de commandes, des références de produits, des dates de livraison et des historiques d’interventions en atelier.

Les données décrites ne se limiteraient donc pas à un fichier de contacts. Elles pourraient aussi associer une personne à un bijou, à une réparation ou à une expertise. FrenchBreaches indique que les enregistrements qu’il a analysés s’étendent sur plus de dix ans. Il précise ne pas reproduire les données directement identifiantes de son échantillon.

Des informations précises qui peuvent alimenter une fraude ciblée

La valeur d’un tel ensemble tient à la combinaison des informations, si leur authenticité et leur origine sont confirmées. Un escroc qui connaît un nom, un numéro de commande, le type d’un bijou et l’existence d’un passage au service après-vente peut rédiger un message beaucoup plus crédible qu’un courriel envoyé au hasard.

Il pourrait par exemple se présenter comme DiamondsFactory.fr, un atelier, un assureur ou un transporteur, puis évoquer une livraison, une réparation ou une expertise. Cette utilisation est un risque plausible lié aux données décrites. Elle ne prouve pas qu’une campagne de fraude est actuellement menée contre les clients de l’enseigne.

La mention d’une faille IDOR ne suffit pas à expliquer l’accès

Dans son annonce, Cybernox mentionne une vulnérabilité « IDOR ». Ce terme désigne une faiblesse de contrôle d’accès où la modification d’un identifiant ou d’une référence peut donner accès à une ressource qui ne devrait pas être accessible. Mais la seule déclaration du pirate ne permet pas d’établir le système visé, la manière dont il aurait été utilisé, ni même que cette faiblesse est réellement à l’origine des données.

FrenchBreaches relève les mêmes inconnues : la date d’extraction, le nombre de clients uniques, la méthode d’obtention et l’éventuelle correction d’une vulnérabilité restent à déterminer. Il est donc prématuré d’affirmer un scénario technique précis.

Le bon réflexe : ne pas poursuivre une demande reçue

Les personnes ayant commandé ou confié un bijou à DiamondsFactory.fr ont intérêt à traiter avec prudence tout appel, SMS ou courriel inattendu relatif à une commande, une livraison, une réparation ou une expertise. La connaissance de détails commerciaux n’est pas une preuve d’identité : ces détails peuvent justement être ceux qu’un fraudeur exploite.

En cas de demande de paiement, de code reçu par SMS ou de document, ne répondez pas au message et n’utilisez pas le numéro fourni. Recherchez vous-même les coordonnées officielles du site ou utilisez un canal de contact déjà connu pour vérifier la demande.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas vérifier de manière indépendante que les 24 094 lignes proviennent toutes de DiamondsFactory.fr, que l’entreprise a subi une intrusion, ni combien de personnes sont réellement concernées. Nous ne connaissons ni la date ni le mécanisme technique d’une éventuelle extraction.

Nous n’avons pas trouvé de confirmation publique de DiamondsFactory.fr dans les sources lues. La mention d’une vulnérabilité IDOR vient de l’auteur de la revendication et n’est pas une cause technique établie. Cet article devra être mis à jour si l’entreprise ou une autorité publie des éléments vérifiables.

Sources : FrenchBreaches ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.