7NOW de Seven-Eleven : plus de 160 000 données clients volées

Données concernées

Pickgo permet aux entreprises de sélectionner, parmi des chauffeurs inscrits, ceux qui répondent à leurs critères pour leur confier des livraisons. De nombreuses sociétés l'utilisent, dont de grands noms comme Seven-Eleven et Demae-can.

Pour 7NOW, 164 180 noms de destinataires (en katakana) ont été récupérés. Dans 4 762 cas, le nom était associé à une adresse, et dans 209 cas à l'adresse, au numéro de téléphone et au code postal. Certaines données incluent aussi la date de commande, le nom et l'adresse du magasin, ainsi que les produits commandés.

Selon l'entreprise, aucune donnée de carte bancaire, aucun identifiant ni mot de passe n'a fuité. 7NOW fonctionne normalement.

Chez Demae-can, 799 noms, 794 adresses (jusqu'au numéro de rue) et 33 numéros de téléphone avec code postal ont été obtenus, ainsi que, pour certains, des noms, adresses et téléphones de magasins, des notes de commande, des noms de produits et des détails de tarifs.

Chronologie et mesures

CBcloud a détecté l'intrusion le 1er novembre. Le 3, il est apparu que des données 7NOW étaient touchées et Seven-Eleven a été prévenu. Aucune fuite ni modification des identifiants ou des paramètres d'intégration n'a été constatée chez les deux groupes.

CBcloud a bloqué les communications de l'attaquant, suspendu les comptes détournés et corrigé la faille exploitée. Certaines fonctions et les accès depuis l'étranger sont restreints. Demae-can a coupé la connexion avec CBcloud le 2 novembre vers 14 h, puis l'a rétablie vers 21 h après correction et vérification des flux.

L'incident illustre comment la plateforme d'un seul sous-traitant peut exposer plusieurs grandes enseignes à la fois.