Le fabricant japonais de confiseries Morinaga a averti qu’une violation présumée des données de sa boutique en ligne pourrait avoir exposé les informations personnelles de plus de 1,6 million de clients.

Les informations potentiellement exposées comprennent les noms, adresses, numéros de téléphone, dates de naissance, historiques d’achats et, dans moins de 4 000 cas, les adresses e-mail des clients Morinaga Direct concernés.

La firme craint que des attaquants n’aient accédé à plusieurs serveurs gérés par l’éditeur après avoir exploité des vulnérabilités de son réseau.

‘L’accès non autorisé’

Dans la version anglaise d’un avis d’infraction (PDF), Morinaga chez lui « ne peut pas exclure la possibilité d’une fuite de certaines informations personnelles » des clients concernés de son activité de commerce électronique Morinaga Direct Store, après que « plusieurs serveurs gérés par l’entreprise ont fait l’objet d’accès non autorisés ».

L’entreprise – qui s’est excusée auprès de ses clients, partenaires commerciaux et autres parties prenantes – a déclaré que les informations exposées excluaient les informations de carte de crédit.

Bien qu’il n’y ait aucune preuve d’utilisation frauduleuse d’informations personnelles potentiellement divulguées, l’entreprise a commencé à informer directement les clients potentiellement concernés de l’incident.

Les clients ayant acheté des produits du confiseur entre le 1er mai 2018 et le 13 mars 2022 peuvent être concernés.

Enquête

Le problème a été identifié le 13 mars, lorsque le personnel enquêtant sur la cause des messages d’erreur sur les serveurs gérés par l’entreprise a détecté des preuves d’accès non autorisé.

« Certains segments du système informatique interne de l’entreprise ont été endommagés en raison de l’accès non autorisé », rapporte Morinaga.

Morinaga a fermé l’accès externe à son réseau après avoir découvert la brèche, avant d’engager des experts externes et de commencer à enquêter sur la brèche.

« L’enquête initiale a confirmé que plusieurs serveurs de la société avaient fait l’objet d’un accès non autorisé et que l’accès à certaines données avait été verrouillé », indique le communiqué officiel du fournisseur, ajoutant que l’un des serveurs concernés gérait les livraisons de produits aux clients de Morinaga Direct Store.

CONSEILLÉ Les données médicales des habitants de Washington exposées par une attaque de phishing contre une entreprise de soins de santé

L’utilisation du terme « verrouillé » implique qu’une certaine forme de rançongiciel pourrait avoir été impliquée dans l’attaque, mais cela reste à confirmer. La gorgée quotidienne a contacté le fabricant japonais pour confirmation sur ce point ainsi qu’une demande de mise à jour sur sa réponse à l’incident et son enquête sur les violations.

L’enquête de Morinaga a jusqu’à présent déterminé qu’il est « très probable que l’accès non autorisé ait été obtenu par l’exploitation de vulnérabilités dans [unnamed but internet-connected] Périphériques réseau ».

Bien qu’il y ait eu « un certain impact sur l’approvisionnement de certains produits » à la suite de l’incident, Morinaga a déclaré qu’il n’anticipait rien de plus qu’un impact « mineur » sur ses performances commerciales.

L’entreprise a néanmoins signalé l’incident aux forces de l’ordre et à la Commission japonaise de protection des informations personnelles.