Fuites chez Yamato et Nikkei : 5,31 millions et 1,83 million de données

Deux autres grandes entreprises japonaises ont chiffré leurs fuites de données le 16 octobre 2026. Le spécialiste de la livraison Yamato Transport a indiqué qu'environ 5,31 millions de données avaient été dérobées dans son service de paiement différé. L'éditeur de presse Nikkei a indiqué qu'environ 1,83 million de données avaient fuité d'un service cloud qu'il utilise pour développer des logiciels. Les deux cas s'ajoutent à un mois d'attaques contre des entreprises japonaises, et tous deux montrent ce que coûte la conservation de données anciennes.

Yamato Transport : 5,31 millions de données

Yamato exploite un service de paiement différé « Kuroneko » qui permet aux acheteurs en ligne de payer leurs achats plus tard. L'entreprise a détecté un accès non autorisé à ce service le 28 septembre, l'a arrêté le soir même et a révélé le problème le 29 septembre. Le service a redémarré le 9 octobre. Son quatrième rapport, le 16 octobre, a donné les totaux, rapporte ITmedia NEWS.

Groupe	Données, environ	Informations dérobées
Acheteurs, du 1er octobre 2018 au 28 septembre 2026	5,26 millions	Nom, adresse, téléphone, détails des articles, numéro de demande, données de gestion internes ; e-mail pour environ 490 000
Destinataires de livraisons, depuis le 5 février 2021	50 000	Nom, adresse, téléphone, numéro de suivi
Marchands utilisant le service	4 100	Nom et code du marchand

Les informations de carte bancaire et les mots de passe n'en faisaient pas partie, rapporte ITmedia. L'entreprise avait d'abord averti que des noms d'employés avaient pu fuiter, mais son enquête ne l'a pas confirmé. Elle n'a pas dit comment l'attaquant s'est introduit.

Yamato conservait les données des acheteurs pendant une certaine période pour traiter les questions des clients, rapporte Jiji Press. Les fiches d'acheteurs remontent à environ huit ans, jusqu'à octobre 2018. Des clients ont signalé des e-mails, SMS et appels suspects, mais aucune utilisation frauduleuse des données volées n'a été confirmée.

Nikkei : 1,83 million de données issues d'un cloud de développement

Nikkei indique qu'un attaquant s'est introduit dans un service cloud qu'il utilise pour le développement de systèmes, aux premières heures du 7 octobre. Les identifiants de connexion à ce cloud ont été volés « d'une manière ou d'une autre », selon l'avis publié par Nikkei. L'entreprise a désactivé les identifiants volés.

Sur les 1,83 million de données, environ 150 000 contiennent au moins un de ces éléments : nom, adresse e-mail, adresse postale, numéro de téléphone ou date de naissance. Environ 120 000 d'entre elles comportent une adresse e-mail. Les 1,68 million de données restantes ne contiennent que des identifiants qui ne permettent pas, à eux seuls, d'identifier une personne, rapporte INTERNET Watch.

Les informations de carte bancaire n'en faisaient pas partie, indique Nikkei. L'entreprise a signalé la fuite le 11 octobre à la Personal Information Protection Commission, l'autorité japonaise de protection de la vie privée. Au 16 octobre, elle n'avait constaté aucune utilisation frauduleuse des données, aucune panne de système et aucune altération.

Ce n'est pas le premier incident de Nikkei ce mois-ci. Le 4 octobre, l'entreprise a révélé qu'un compte d'employé piraté avait envoyé environ 9 000 faux e-mails, rapporte ITmedia.

Une vague de révélations plus large

Le gouvernement japonais a renforcé ses alertes cyber le 9 octobre, après des attaques signalées par plus de 20 entreprises. L'exploitant japonais de Burger King a révélé une fuite de 11,18 millions de fiches de son app la veille de ces deux annonces.

Jiji Press cite d'autres cas récents dans le même article :

• Times Car : environ 6,6 millions de données, dont environ 1,6 million comprenaient des images de permis de conduire ou d'autres pièces d'identité. La maison mère Park24 indique qu'elle supprimera d'ici fin octobre les images de pièces d'identité stockées. Elle les supprimera désormais juste après avoir vérifié l'identité d'un membre.
• FANCL et sa filiale Atenia : environ 830 000 fiches de membres.
• Japan Post : noms et adresses d'environ 600 utilisateurs d'un service de recherche du courrier international.

Ce que cela signifie pour les développeurs

• Gardez les vraies données personnelles hors des clouds de développement. La fuite de Nikkei provient d'un système servant à développer des logiciels. Utilisez des données fictives ou masquées dans les environnements de test et de développement.
• Traitez les identifiants cloud comme la porte d'entrée. L'attaquant de Nikkei s'est connecté avec des identifiants volés. Utilisez des clés à courte durée de vie, la connexion multifacteur et des alertes sur les connexions depuis de nouveaux lieux.
• Fixez des durées de conservation et appliquez-les. La fuite de Yamato couvre huit ans d'acheteurs, et Times Car a gardé des images de pièces d'identité des années après le départ des membres. Supprimez selon un calendrier les données dont vous n'avez plus besoin.
• Supprimez les images de pièces d'identité après vérification. La nouvelle règle de Park24 est un bon choix par défaut. Une fois l'identité vérifiée, l'image du permis n'a plus aucune utilité, mais elle a une grande valeur pour les criminels.
• Préparez vos clients aux arnaques qui suivront. Noms, adresses, numéros de téléphone et détails de commande permettent de rédiger de faux messages convaincants. Dites à vos utilisateurs ce que vous ne leur demanderez jamais, avant que les attaquants ne commencent à appeler.