Good Smile Company : cartes bancaires de 2 800 clients exposées

Good Smile Company indique que les données de carte bancaire saisies par 2 800 clients au maximum sur sa boutique en ligne officielle ont pu être volées. Dans sa troisième communication sur l'incident, l'entreprise explique qu'un programme malveillant avait été placé sur la page de paiement par carte.

Le déroulé de l'attaque

Un tiers a accédé illégalement au site du 19 au 22 octobre et consulté à plusieurs reprises des informations d'utilisateurs. Du 21 octobre à 13 h 55 jusqu'à la fermeture du site le 23 octobre à 7 h (heure locale), le programme malveillant est resté actif sur la page de paiement. Il n'a été découvert que le 28 octobre. La boutique est fermée depuis le 23 octobre.

La faille exploitée, qui ne concerne pas PHP selon l'entreprise, a été corrigée et la sécurité renforcée. Le cas a été signalé à la Commission japonaise de protection des informations personnelles ; les sociétés de cartes et les prestataires de paiement seront prochainement informés. La date de réouverture n'est pas fixée.

Qui est concerné

Pour ces 2 800 utilisateurs au plus, les données exposées sont le nom du titulaire, le numéro complet à 16 chiffres, la date d'expiration et le cryptogramme. Seuls 384 ont réellement passé commande par carte. Les autres ont tenté un paiement sans le finaliser, rempli un panier après connexion ou modifié leur carte après une réservation (185 personnes). L'entreprise juge la fuite peu probable pour ceux qui n'ont pas lancé le paiement, mais son système n'enregistre pas ces actions : tous ont été contactés individuellement. Ceux qui ont tenté sans succès de modifier leur carte après une commande peuvent aussi être touchés.

Par ailleurs, les quatre derniers chiffres et la date d'expiration de 402 466 cartes enregistrées au maximum ont pu fuiter. Selon l'entreprise, ni les noms, ni les cryptogrammes, ni les données de compte associées ne sont concernés.

Les commandes de 7 673 clients au plus, passées le 22 octobre entre 22 h 20 et 23 h environ, peuvent aussi être exposées, dont 202 commandes consultées. Sont visés nom, adresse, téléphone, e-mail, contenu, montant et mode de paiement.