L’infection par un logiciel malveillant de l’ordinateur d’un sous-traitant pourrait avoir exposé environ 8,7 millions de dossiers de clients et de salariés, soulevant des inquiétudes quant à la manière dont les entreprises protègent les informations personnelles traitées par des tiers.
L’entreprise japonaise du secteur du divertissement Daiichi Kosho a révélé le 8 octobre qu’environ 8,72 millions de dossiers pourraient avoir été concernés après qu’un logiciel malveillant a infecté l’ordinateur d’un salarié de Nippon Columbia Group (NCG), un sous-traitant qui traite certaines de ses informations personnelles. L’entreprise n’a pas confirmé que des informations avaient été volées, divulguées à l’extérieur ou utilisées à mauvais escient.
L’incident concerne des informations associées aux activités de karaoké et d’hôtellerie de Daiichi Kosho, notamment BIG ECHO. Il met également en lumière une préoccupation plus générale pour les organisations qui s’appuient sur des sous-traitants externes : quelle quantité d’informations sensibles sur les clients peut être mise en danger lorsqu’un seul appareil appartenant à un tiers est compromis ?
Déroulement de l’incident lié au logiciel malveillant de Nippon Columbia
Selon la divulgation officielle de Daiichi Kosho, Nippon Columbia Group a découvert un logiciel malveillant sur l’ordinateur d’un salarié entre le 1er et le 2 octobre. L’ordinateur concerné stockait temporairement des informations personnelles que le sous-traitant traitait dans le cadre de ses services pour Daiichi Kosho.
Nippon Columbia Group a isolé l’ordinateur de son réseau le 2 octobre. Après avoir enquêté sur l’impact potentiel, le sous-traitant a informé Daiichi Kosho le 5 octobre. Daiichi Kosho a révélé publiquement l’incident le 8 octobre.
Daiichi Kosho a identifié environ 8 631 000 dossiers de clients associés aux inscriptions comme membres et aux réservations dans ses établissements, ainsi que 93 000 dossiers de salariés, soit un total d’environ 8 724 000 dossiers potentiellement concernés.
Le chiffre concernant les clients tient compte d’un ajustement correspondant à environ 515 000 dossiers en doublon entre les différentes activités de l’entreprise. Ces chiffres sont des estimations du nombre de dossiers susceptibles d’avoir été concernés par l’incident, et non un décompte confirmé de personnes uniques. Les enquêteurs n’ont pas non plus établi si des informations personnelles avaient été consultées ou volées.
Les informations potentiellement concernées sur les clients comprennent :
- Les noms, y compris les noms enregistrés
- Le sexe et les dates de naissance
- Les adresses e-mail et les numéros de téléphone
Les dossiers concernent plusieurs activités de Daiichi Kosho, notamment BIG ECHO, MEGA BIG, Karaoke CLUB DAM, Banana Club, B-GARAGE et DK Dining.
Daiichi Kosho a indiqué que les mots de passe ne figuraient pas parmi les informations potentiellement concernées. L’entreprise n’a également relevé aucun signe d’utilisation non autorisée de points de fidélité.
Point important, les enquêteurs n’ont confirmé ni fuite de données vers l’extérieur ni utilisation abusive liée à l’incident. Daiichi Kosho a déclaré n’avoir constaté aucun impact sur ses propres systèmes, tout en poursuivant ses vérifications par mesure de précaution.
Selon le compte rendu de BleepingComputer, Nippon Columbia Group a réinitialisé les mots de passe et d’autres identifiants d’authentification dans le cadre de sa réponse à l’incident.
La famille de logiciels malveillants, la méthode d’infection initiale et la question de savoir si un attaquant a consulté ou extrait les informations n’ont pas été établies publiquement.
Ce que l’incident signifie pour les clients et les équipes de sécurité
Même en l’absence de vol de données confirmé, la quantité d’informations personnelles potentiellement concernées rend l’incident important.
Les noms, dates de naissance, adresses e-mail et numéros de téléphone peuvent aider des criminels à créer des messages d’hameçonnage convaincants ou à usurper l’identité d’entreprises légitimes. Ces informations pourraient être particulièrement utiles dans le cadre d’escroqueries ciblées liées à des services déjà utilisés par les clients.
Les clients des marques de karaoké et d’hôtellerie concernées doivent se méfier des e-mails, SMS ou appels téléphoniques inattendus prétendant provenir de Daiichi Kosho ou de ses activités.
Ils doivent éviter les liens suspects, vérifier les demandes par l’intermédiaire des canaux officiels de l’entreprise et se méfier des messages demandant des informations personnelles supplémentaires ou des données de paiement.
Pour les équipes de sécurité, l’incident souligne l’importance de protéger les informations des clients après leur transmission à des prestataires de services externes.
Un sous-traitant peut être légitimement autorisé à traiter des millions de dossiers, mais cet accès implique également des responsabilités en matière de sécurité qui s’étendent aux appareils utilisés pour stocker et traiter ces informations.
D’autres incidents couverts par eSecurity Planet illustrent les conséquences de l’exposition de données clients et des failles de sécurité chez des tiers.
Par exemple, l’ incident de prise de contrôle de comptes chez ASOS a concerné 138 828 clients, tandis que la faille d’IDScan et les poursuites qui ont suivi ont soulevé des questions sur le traitement des informations personnelles sensibles.
Une autre compromission d’une application tierce de BigCommerce a montré comment des identifiants compromis appartenant à un prestataire externe peuvent mettre en danger les informations des clients sans qu’une faille directe de la plateforme principale ne soit nécessaire.
Bien que ces incidents diffèrent par leurs causes et leurs conséquences avérées, ils confirment la nécessité d’examiner attentivement la manière dont les tiers accèdent aux informations sensibles, les stockent et les protègent.
Les équipes de sécurité qui travaillent avec des sous-traitants externes chargés du traitement des données doivent examiner plusieurs aspects :
- Stockage des données : déterminer si les sous-traitants doivent conserver d’importantes quantités d’informations personnelles sur les ordinateurs des salariés, même temporairement.
- Protection des terminaux : veiller à ce que les appareils des sous-traitants qui traitent des informations sensibles disposent de capacités adaptées de détection des logiciels malveillants, de surveillance et de réponse aux incidents.
- Contrôles d’accès : limiter l’accès des tiers aux informations nécessaires à des fonctions métier précises.
- Réponse aux incidents : établir des obligations de notification claires afin que les sous-traitants signalent rapidement les compromissions présumées.
Les organisations doivent également se demander si les informations sensibles peuvent être traitées au moyen de systèmes mieux contrôlés plutôt que stockées localement sur des postes de travail individuels.
Daiichi Kosho a mis en place une ligne dédiée aux demandes des clients et indiqué qu’elle poursuivait son enquête sur l’incident. Dans sa communication publique, l’entreprise n’avait pas confirmé que les informations potentiellement concernées avaient été volées ou utilisées à mauvais escient.
Pour les responsables de la sécurité, la leçon à tirer dépasse le cadre de cette infection particulière par un logiciel malveillant. La sécurité des tiers dépend non seulement des personnes qui peuvent accéder aux informations des clients, mais aussi de l’endroit où ces informations sont stockées, de la durée de leur conservation et de la rapidité avec laquelle une organisation peut réagir lorsque l’appareil d’un sous-traitant est compromis.
Autres informations sur la cybersécurité : pour un autre exemple des risques liés à la sécurité des tiers, découvrez comment la compromission d’un fournisseur de ManoMano a exposé les données personnelles de près de 38 millions de clients.