Fuite de données chez Disk Union

Les types de données vérifiés comprennent les adresses e-mail, les noms complets, les données de localisation telles que les adresses postales ou les codes postaux, les coordonnées téléphoniques et les numéros de fax, les numéros d’adhérent ou les identifiants utilisateur, ainsi que les mots de passe de connexion. Le répertoire indépendant de fuites de données classe ces données dans les catégories suivantes : adresses e-mail, localisations géographiques, noms, mots de passe, numéros de téléphone et noms d’utilisateur. Le communiqué de l’entreprise mentionnait également les numéros d’adhérent et les adresses des membres des boutiques en ligne. La fuite de données de Disk Union ne se limite donc pas à une liste d’adresses e-mail : il s’agit d’un incident touchant les comptes clients qui présente des risques plus importants, puisqu’il réunit des coordonnées, des informations d’identité et des données de connexion.

Les mots de passe en clair constituent l’aspect le plus grave de cet incident. L’exposition d’un mot de passe directement lisible, plutôt que de son empreinte de hachage, facilite les tentatives de connexion à d’autres services avec la même combinaison d’adresse e-mail et de mot de passe. Des champs comme le nom, l’adresse et le numéro de téléphone fournissent aussi davantage de contexte aux attaquants; de faux messages relatifs à une expédition, une commande, une vérification d’adhésion, un remboursement ou au service client peuvent ainsi paraître plus réalistes. Les identifiants tels que les numéros d’adhérent ne constituent pas en eux-mêmes des informations financières, mais ils peuvent être détournés pour donner l’impression qu’un message provient d’un interlocuteur légitime au sujet d’un compte.

Le périmètre vérifié de l’incident se limite aux boutiques en ligne diskunion.net et audiounion.jp exploitées par Disk Union. Une fuite potentielle a d’abord été repérée le 24 juin 2022, à la suite d’un signalement par un tiers; les boutiques en ligne ont été suspendues le jour même. L’autorité japonaise chargée de la protection des données personnelles a été informée le 27 juin 2022, puis les forces de l’ordre le 28 juin 2022. Annoncé publiquement le 29 juin 2022, l’incident a été précisé le 10 août 2022, lorsque la fuite a été confirmée à l’issue d’une enquête externe. Cette chronologie indique que la date de fuite enregistrée, juin 2022, correspond à la période de découverte et de réponse à l’incident.

Il est important de ne pas élargir ce périmètre. Les quelque 701 000 fiches clients correspondent au périmètre maximal annoncé par l’entreprise; les quelque 690 667 adresses e-mail uniques correspondent au nombre d’adresses uniques indexées. Ces deux chiffres ne mesurent pas la même chose. Les données de carte bancaire ne sont pas incluses dans cette fiche, car il a été indiqué que l’entreprise ne les conserve pas. Il n’existe pas non plus d’informations vérifiées sur une exportation de l’historique des achats ou des paiements vers l’extérieur. Selon les explications fournies, l’incident était dû à une faille de sécurité découverte sur un serveur associé aux systèmes des boutiques en ligne. L’accès concerné a été coupé et les boutiques sont restées fermées jusqu’à la mise en place complète des mesures de sécurité.

Les clients inscrits aux boutiques en ligne de Disk Union ou d’Audio Union avant 2022 ou pendant la période de l’incident constituent le groupe le plus exposé. Le risque augmente sensiblement pour les personnes qui utilisent la même adresse e-mail et le même mot de passe sur différents sites marchands, comptes de messagerie, réseaux sociaux ou services liés à des paiements. Lorsqu’un mot de passe en clair est disponible, un attaquant n’a pas besoin de le casser; il peut lui suffire d’essayer les mêmes identifiants sur d’autres formulaires de connexion. Il convient donc de vérifier non seulement le compte Disk Union, mais aussi tous les comptes utilisant le même mot de passe.

Les collectionneurs qui passent commande depuis l’extérieur du Japon, les clients amateurs de disques et d’archives musicales, les personnes qui utilisent le même compte d’adhérent depuis longtemps et les clients dont les comptes restent associés à d’anciennes adresses e-mail sont également à risque. Puisque des adresses, des numéros de téléphone et des identifiants d’adhésion ont été divulgués, les messages ciblés peuvent aller au-delà d’un hameçonnage générique : ils peuvent porter sur le suivi d’une commande, une notification de disponibilité, une mise à jour de l’adhésion ou la récupération d’un compte. Ces messages peuvent sembler s’appuyer sur un historique réel avec la marque, une relation d’adhésion existante et les coordonnées de la personne.

Le mot de passe utilisé sur la boutique en ligne de Disk Union ou d’Audio Union doit être changé immédiatement. Si le même mot de passe a été utilisé sur d’autres comptes, il faut également attribuer à chacun de ces comptes un mot de passe différent et robuste. Un gestionnaire de mots de passe facilite la création de mots de passe uniques pour chaque service et aide à éviter la réutilisation d’anciens mots de passe. Les comptes de messagerie, les sites marchands et les services liés à des paiements doivent être vérifiés en priorité, car les attaquants tenteront d’abord d’utiliser la combinaison d’adresse e-mail et de mot de passe. L’authentification à deux facteurs doit être activée partout où elle est disponible.

Les alertes de connexion suspecte, les messages de réinitialisation de mot de passe, les notifications de commande inattendues et les fausses demandes du service client doivent être examinés avec attention. Ne donnez pas suite dans la précipitation aux messages mentionnant Disk Union; pour effectuer des opérations sur votre compte, saisissez directement l’adresse du site dans votre navigateur. Puisque les données exposées comprennent aussi des adresses personnelles et des coordonnées téléphoniques, examinez également avec prudence les demandes de vérification par téléphone ou les demandes d’informations sous prétexte de frais de livraison ou de formulaires de retour. Bien que les informations de carte bancaire aient été déclarées hors du périmètre de cet incident, les paiements suspects doivent tout de même être surveillés dans le cadre du suivi général de la sécurité.

La fuite de données de Disk Union montre que les mots de passe utilisés pour d’anciens comptes d’adhérent peuvent continuer à présenter un risque pendant longtemps. Les utilisateurs doivent vérifier régulièrement sur quels services ils ont réutilisé le même mot de passe, fermer les comptes dont ils ne se servent plus et utiliser des méthodes d’authentification robustes pour les comptes importants. Les comptes de messagerie doivent être particulièrement protégés, car les liens de réinitialisation de mot de passe arrivent souvent par e-mail. Si un attaquant accède au compte de messagerie, cela peut entraîner une succession de prises de contrôle de comptes, bien au-delà de Disk Union.

Du côté des entreprises, cet incident met en évidence le risque majeur que représente le stockage de mots de passe en clair dans les systèmes de boutiques en ligne. Les mots de passe doivent être protégés par des méthodes robustes, à sens unique et à jour; les durées de conservation inutilement longues des données personnelles doivent être réduites; et l’accès aux champs tels que les numéros d’adhérent, les adresses et les numéros de téléphone doit être limité par plusieurs niveaux d’autorisation. Des évaluations régulières des vulnérabilités, la surveillance des journaux, la détection précoce d’exportations inhabituelles et la mise à l’épreuve des plans de réponse aux incidents réduisent les conséquences de fuites similaires de données clients.

La correspondance affichée dans cette fiche indique que votre adresse e-mail pourrait être associée aux champs d’adresses e-mail uniques du jeu de données de la fuite de Disk Union. Une correspondance ne signifie pas nécessairement que toutes vos informations client ont été compromises; elle doit toutefois être prise au sérieux, car l’incident concerne des mots de passe en clair, des coordonnées et des identifiants d’adhésion. La priorité est de changer les mots de passe des comptes qui utilisent le même mot de passe et de mieux protéger votre compte de messagerie. Même si l’ancien mot de passe reste actif sur un seul service, il pourrait encore présenter un risque lors de tentatives de connexion automatisées des années plus tard.

Si vous possédez un compte Disk Union ou Audio Union, vérifiez l’historique de votre compte et votre adresse de contact, et recherchez des signes de sessions ou de transactions que vous ne reconnaissez pas. Après avoir changé votre mot de passe, ne le réutilisez sur aucun autre service. Méfiez-vous des messages qui semblent personnalisés grâce à des informations sur votre téléphone, votre adresse ou votre adhésion; pour toute démarche auprès du service client, passez directement par le site officiel. Cette fiche vise à rendre l’incident visible sans en exagérer la portée, à ne retenir que les champs de données vérifiés et à vous proposer des mesures concrètes pour sécuriser vos comptes.