Yumelink : 47,86 millions de données divulguées après une intrusion

Le mode opératoire

Selon Yumelink, l'attaquant a exploité une faille pour installer un programme malveillant sur un serveur et accéder à la base de données. Il a aussi volé des informations de session d'utilisateurs connectés, usurpé leur identité et extrait des données depuis l'interface d'administration. L'entreprise a détecté l'intrusion le 16 octobre et corrigé la faille, puis supprimé le code malveillant. Le 26 octobre, elle avait en outre indiqué que 190 données du système de gestion client Cuenote BASE, dont noms d'entreprises, noms, numéros de téléphone et adresses e-mail, étaient consultables depuis l'extérieur.

Des clients touchés à leur tour

Plusieurs entreprises clientes ont annoncé leurs propres fuites depuis fin octobre. istyle, qui exploite le site d'avis cosmétiques @cosme, a signalé le 9 novembre l'exposition des données d'environ 2,8 millions de clients. Le 5 novembre, JR Central et deux autres sociétés ont fait état de la fuite d'environ 170 000 fiches de membres des services de réservation de Shinkansen Smart EX et Express Reservation.

Sauf certains systèmes de Cuenote FC et Cuenote BASE, les services fonctionnent normalement. Pour éviter une récidive, Yumelink prévoit une revue de code assistée par IA et une surveillance 24 heures sur 24, et publiera de nouveau les résultats après l'enquête finale d'un organisme externe.