ApplyNow : fuite de données de 396 920 personnes au Japon

Pour les trois services, les noms, adresses e-mail, mots de passe hachés et informations de droits des utilisateurs en entreprise ont été exposés. Chez Interview Cloud, les noms des candidats, leur lecture phonétique, numéros de téléphone et adresses e-mail sont aussi concernés, et parfois les dates de candidature et d'entretien, la date de naissance, le sexe et la profession. Chez ApplyNow Sign, noms, téléphones et e-mails ont fuité, et pour certains le numéro My Number, la banque et le compte, le numéro de retraite de base, le numéro de carte de résident, le numéro d'assurance emploi, les informations de déduction pour personnes à charge et l'adresse.

Les données de cartes bancaires, les images de pièces d'identité et les vidéos d'entretien ne sont pas concernées. Au 4 novembre, aucun préjudice secondaire, comme une utilisation frauduleuse, n'a été constaté.

Le déroulé de l'attaque

Selon ApplyNow, l'attaquant a exploité une faille d'un outil d'analyse de données utilisé en interne et s'est introduit dans le système le 9 août. Après avoir obtenu les droits d'administrateur, il a consulté une partie de la base les 23 et 26 août, puis extrait les données en bloc le 7 septembre. L'entreprise a détecté l'anomalie le jour même à la suite de l'arrêt de l'outil, désactivé les comptes frauduleux et coupé la voie d'intrusion.

Elle attribue l'incident à sa méconnaissance des informations sur la faille publiées par l'éditeur, d'où un retard dans l'application du correctif. L'absence de restriction des sources de connexion a aussi retardé la détection. L'outil donnait en outre accès à des données personnelles, aucune durée de conservation n'était définie et les données des clients dont le contrat avait pris fin n'étaient pas supprimées.

Mesures annoncées

Le correctif est appliqué et l'accès à l'outil limité à certaines adresses IP. L'entreprise prévoit de supprimer les données après la fin des contrats, de notifier automatiquement les opérations suspectes et de fixer des durées de conservation.