NEBBIA : 318 002 documents clients revendiqués par « iProfessor »

Un acteur baptisé « iProfessor » revendique en juillet 2026 l'exfiltration de 318 002 documents de la marque slovaque de vêtements de fitness NEBBIA, avec 32 340 fichiers déjà rendus publics et 285 662 supplémentaires menacés de publication. Source primaire : la fiche publiée par ZATAZ, confirmée par le mirroir en anglais de Hendry Adrian. NEBBIA — basée à Žilina, en Slovaquie, et présente en boutique en ligne dans toute l'Europe — n'a pas confirmé l'incident à la date de publication.

Ce qui est revendiqué

Selon les échantillons publiés par iProfessor et l'analyse relayée par ZATAZ :

• Volumétrie : 32 340 documents accessibles immédiatement, 285 662 documents supplémentaires en attente de publication, pour un total revendiqué de 318 002 fichiers.
• Nature des fichiers : documents rattachés à des dossiers clients — identité, coordonnées, commandes, montants payés, moyens de paiement, informations de livraison, factures, bons de livraison, notes de préparation.
• Date supposée de l'incident : juillet 2026, selon la revendication du pirate. La date exacte d'accès initial n'est pas connue.
• Périmètre géographique : NEBBIA vend à travers l'Union européenne, avec une clientèle notamment française, allemande, italienne, espagnole et polonaise. Les échantillons rendus publics ne portent pas de filtre par pays visible.

Le pirate présente les 32 340 documents publics comme un échantillon de preuve et positionne les 285 662 restants comme monnaie de négociation. C'est un schéma classique d'extorsion post-exfiltration : publier assez pour établir la crédibilité, garder la volumétrie pleine pour la rançon ou la revente.

Ce qui n'est pas confirmé

• Aucune communication officielle de NEBBIA à ce jour. Ni notification aux clients, ni publication d'un incident sur le site marchand, ni saisine publique d'une autorité de protection des données slovaque (Úrad na ochranu osobných údajov) ou d'un autre régulateur européen.
• L'authenticité de la base n'a pas été validée par un tiers indépendant. ZATAZ note explicitement que « les éléments fournis ne permettent pas de confirmer l'origine des fichiers, la date exacte d'accès ou l'ampleur réelle de l'incident ». Les échantillons sont cohérents avec un extrait de CRM e-commerce, mais aucun rapprochement échantillon-client réel n'a été publié.
• Le vecteur d'intrusion n'est pas décrit : pas de CVE citée, pas de nom de plateforme e-commerce, pas de fournisseur logistique cité comme point d'entrée.
• iProfessor n'est pas un acteur historiquement identifié dans la cartographie publique des groupes cybercriminels francophones ou européens. Le pseudonyme peut être un compte jetable, une identité recyclée ou une nouvelle enseigne.

Que faire

1. Clients NEBBIA — considérer les données de commande comme exposées. Nom, email, adresse postale, numéro de téléphone et historique d'achats fitness suffisent à alimenter du phishing très crédible « votre commande NEBBIA du [date] » avec faux lien de suivi de livraison. Ne jamais suivre un lien de transporteur depuis un email — passer par le site du transporteur en tapant son URL soi-même.
2. Rotation du mot de passe si réutilisé. Aucun mot de passe n'apparaît dans l'échantillon publié, mais un compte NEBBIA associé à un mot de passe réutilisé ailleurs doit être renouvelé partout où ce mot de passe est encore actif. Le credential stuffing exploite exactement ce genre de compte marchand mineur.
3. Numéros de carte et IBAN — vérifier les relevés sur 90 jours. Les fichiers revendiqués incluent « moyens de paiement » ; le niveau exact d'exposition n'est pas connu, mais toute réutilisation frauduleuse tend à émerger dans les semaines qui suivent une exfiltration marchande.
4. RSSI e-commerce — auditer les exports de masse sur le CRM et l'ERP marchand sur 90 jours. Le motif récurrent des fuites e-commerce européennes de 2025-2026 est l'exfiltration via un compte support ou un connecteur ERP sur-privilégié, pas via une vulnérabilité applicative critique. La télémétrie « qui a exporté quoi et quand » est l'artefact le plus utile pour cadrer un incident de ce type ; encore faut-il que l'export soit journalisé.
5. Équipes DPO — préparer le scénario notification. Un opérateur européen visé par une revendication publique dispose d'une fenêtre courte avant qu'un tiers (client, journaliste, régulateur) ne demande position. Un modèle de communication article 34 RGPD prêt à publier, adossé à un tableau de correspondance des données exposées, épargne 24 à 48 heures critiques.

Contexte

Les revendications d'exfiltration contre des marques e-commerce européennes de taille intermédiaire s'accumulent en juillet 2026 sur les mêmes forums cybercriminels. Sur la seule fenêtre 15-19 juillet, ZATAZ recense l'annonce NEBBIA aux côtés d'une fuite revendiquée de 16 millions de CV de demandeurs d'emploi européens, du piratage de l'opérateur néerlandais Odido (6,2 millions de comptes exposés en février 2026, attribution néerlandaise précisée cette semaine), et de plusieurs incidents visant des marques françaises couverts par nos billets récents.

Le point commun n'est pas la vulnérabilité — chaque incident emprunte un chemin différent — mais la cadence de revendication : quelques jours entre exfiltration et publication d'échantillon, quelques jours de plus jusqu'à mise en vente ou à la publication complète, aucune notification officielle de la victime pendant la fenêtre initiale. Pour les clients européens de ces marques, la conséquence pratique est la même : un email d'apparence légitime peut désormais s'appuyer sur des données réelles de commande. Le degré de vigilance nécessaire face aux communications post-achat monte d'un cran, marchand par marchand.

Nous mettrons ce billet à jour si NEBBIA publie une communication officielle, ou si un tiers indépendant valide (ou infirme) l'authenticité de la base revendiquée.