Good Smile Company a confirmé un accès non autorisé à sa boutique en ligne, au cours duquel un tiers a consulté des informations clients. La fuite pourrait avoir exposé des données personnelles, l'historique des achats et des informations partielles relatives aux cartes de paiement.
Le fabricant japonais de produits de collection, connu pour ses figurines Nendoroid populaires, a révélé l'incident de sécurité le 23 octobre. Un tiers non autorisé a accédé au système d'administration de la boutique entre le 19 et le 22 octobre, ce qui a conduit l'entreprise à fermer le site web. Une mise à jour publiée le 26 octobre a fourni des informations supplémentaires sur l'incident et son impact potentiel sur les clients.
Pour les collectionneurs ayant des commandes en cours ou des informations personnelles enregistrées, les questions immédiates sont de savoir si leurs comptes ont été concernés, si leurs données de paiement sont protégées et ce qu'ils doivent faire pendant l'indisponibilité de la boutique en ligne.
Quelles informations ont été exposées lors de la fuite de données de Good Smile Company ?
Selon Good Smile Company, un tiers non autorisé a accédé à plusieurs reprises à des informations du système d'administration de sa boutique en ligne et les a consultées entre un peu après 15 heures, heure normale du Japon, le 19 octobre, et environ 22 heures le 22 octobre.
Les informations susceptibles d'avoir été consultées comprennent :
- Informations personnelles : Noms des clients, transcriptions phonétiques des noms, sexe, adresses postales, numéros de téléphone et adresses e-mail.
- Informations relatives aux achats : Dates des commandes, noms des produits, quantités, prix, adresses de livraison, coordonnées des destinataires, modes de paiement et statut des paiements.
- Informations partielles sur les cartes de paiement : Réseaux des cartes, dates d'expiration et quatre derniers chiffres des numéros de carte.
Good Smile Company a indiqué que les numéros complets des cartes, les noms des titulaires et les codes de sécurité ne figuraient pas parmi les informations potentiellement exposées.
L'entreprise n'a pas indiqué combien de clients avaient été concernés ni le nombre total de données potentiellement exposées.
Good Smile Company estime que l'accès non autorisé résulte de l'exploitation d'une vulnérabilité de son système de boutique en ligne. L'entreprise a déclaré avoir renforcé ses systèmes de sécurité, corrigé la vulnérabilité présumée et signalé l'incident à la Commission japonaise de protection des informations personnelles.
Elle n'a toutefois pas identifié publiquement la vulnérabilité, et l'enquête se poursuit. Dans sa mise à jour du 26 octobre, Good Smile Company a indiqué que la fuite n'était pas due à une vulnérabilité PHP, qu'elle avait corrigée séparément lors d'une maintenance les 21 et 22 octobre.
L'entreprise a eu connaissance de l'accès non autorisé le 23 octobre, après avoir reçu une notification du prestataire qui développe et assure la maintenance de sa boutique en ligne.
Le risque potentiel d'hameçonnage rappelle les inquiétudes soulevées dans l'analyse d'eSecurity Planet consacrée à l' incident lié aux données clients d'ASOS, même si les deux fuites se sont produites dans des circonstances différentes.
Quels magasins et services de paiement de Good Smile Company ont été concernés ?
Good Smile Company a précisé que plusieurs boutiques et services associés fonctionnent sur des systèmes distincts et n'ont pas été concernés par cet incident.
Il s'agit notamment de Good Smile Company US, Good Smile Company Europe Online Shop, Good Smile Company Europe, Good Smile Company UK, Nendoroid Face Maker et de sa boutique sur la marketplace Rakuten.
L'entreprise a également indiqué que les informations de carte bancaire associées aux achats effectués via des services de paiement externes, notamment Amazon Pay et PayPal, n'avaient pas été exposées par l'intermédiaire de la boutique compromise, car ces données de paiement n'étaient pas stockées sur ses serveurs.
Cette distinction n'exclut toutefois pas nécessairement l'exposition d'informations associées aux commandes ou aux coordonnées. La boutique en ligne concernée reste temporairement fermée et Good Smile Company n'a pas annoncé de date de réouverture. L'entreprise a déclaré continuer à traiter et expédier les commandes et précommandes existantes prévues pour octobre, alors même que sa boutique en ligne reste indisponible.
Les clients rencontrant des erreurs de paiement pendant la fermeture de la boutique peuvent contacter l'assistance. Good Smile Company a indiqué que les précommandes concernées ne seraient pas automatiquement annulées en raison de ces erreurs.
Ce que les clients de Good Smile Company doivent faire maintenant
Good Smile Company a indiqué qu'elle enverrait un e-mail à tous ses membres, y compris aux anciens membres ayant fermé leur compte à la suite de l'incident. Elle prévoit également d'informer individuellement les clients potentiellement concernés à mesure que l'enquête progresse.
Bien que l'entreprise n'ait pas confirmé que les informations exposées avaient été utilisées à des fins d'hameçonnage ou de fraude financière, les coordonnées des clients et leur historique de commandes pourraient aider des criminels à créer des messages frauduleux convaincants.
Un attaquant pourrait mentionner un achat légitime, une destination de livraison ou un mode de paiement pour inciter un client à communiquer des informations supplémentaires.
Les clients devraient envisager les précautions suivantes :
- Vérifiez les notifications de fuite indépendamment. Consultez directement le site officiel d'assistance de Good Smile Company plutôt que de suivre les liens contenus dans des e-mails ou des SMS.
- Méfiez-vous des fausses demandes de livraison et de paiement. Soyez suspicieux face aux messages affirmant qu'une commande nécessite un paiement immédiat, une vérification du compte ou la mise à jour des informations de carte.
- Vérifiez votre activité de paiement. Surveillez vos relevés pour repérer les transactions inconnues et contactez l'émetteur de la carte si des prélèvements suspects apparaissent.
- Protégez vos comptes. Même si les mots de passe n'ont pas été identifiés comme exposés, utilisez des mots de passe uniques pour vos comptes et activez l'authentification multifacteur lorsqu'elle est disponible. Méfiez-vous des demandes non sollicitées de réinitialisation de mot de passe.
- Conservez les informations relatives à vos précommandes. Enregistrez les e-mails de confirmation et les informations de transaction pendant l'indisponibilité de la boutique en ligne.
Les clients qui souhaitent fermer leur compte Good Smile Company peuvent envoyer une demande via le formulaire officiel d'assistance, qui fonctionne indépendamment de la boutique en ligne concernée.
Pour plus de contexte sur la sécurité des comptes clients, l'analyse d'eSecurity Planet consacrée à la fuite de données de Capcom ayant concerné 11,7 millions de données examine un autre incident impliquant une grande entreprise japonaise du secteur du divertissement.
Les personnes préoccupées par les risques liés à l'identité peuvent également consulter l'article d'eSecurity Planet sur la fuite d'IDScan ayant concerné 13 millions de personnes, qui met en évidence les conséquences potentielles de l'exposition de données personnelles.
Pourquoi cette fuite est importante pour les clients de Good Smile Company
Good Smile Company a déclaré que les numéros complets des cartes de paiement et les codes de sécurité ne faisaient pas partie des informations potentiellement consultées. Toutefois, les coordonnées et l'historique des achats exposés pourraient tout de même aider des criminels à élaborer des messages d'hameçonnage convaincants ou de fausses demandes de paiement.
Pour les collectionneurs, un message frauduleux faisant référence à une précommande Nendoroid retardée ou à un paiement échoué pourrait sembler crédible, surtout s'il contient des informations exactes issues d'une transaction antérieure. Cette possibilité ne signifie pas que de telles escroqueries ont eu lieu, mais elle illustre pourquoi l'exposition des données d'achat peut créer des risques de sécurité.
Les clients devraient vérifier les communications inattendues concernant les commandes, les remboursements et la restauration de leur compte par l'intermédiaire des canaux officiels, plutôt que d'y répondre directement. Toute personne recevant une demande de paiement suspecte devrait contacter directement Good Smile Company avant de communiquer des informations financières.
L'enquête se poursuit et Good Smile Company n'a pas annoncé la date de réouverture de sa boutique en ligne. En attendant d'obtenir davantage d'informations, les clients devraient surveiller leurs comptes, conserver leurs justificatifs d'achat et s'appuyer sur les mises à jour vérifiées de l'entreprise avant d'agir concernant des demandes liées aux paiements ou aux comptes.
Pour découvrir une autre fuite récente concernant des informations clients, lisez comment la fuite de Zeabur ayant touché 321 810 comptes s'est produite et ce que les clients doivent faire pour se protéger.