Bandai Namco annonce la fuite de 346 247 enregistrements liés à The Gundam Base Members

Bandai Namco Entertainment et Bandai Spirits ont annoncé le 27 octobre une fuite portant sur 346 247 enregistrements, comprenant des adresses e-mail de The Gundam Base Members et des numéros de gestion internes Bandai Namco ID. Exploité par Bandai Spirits, ce service de membres concerne les magasins officiels The Gundam Base, qui vendent notamment des Gunpla, et son inscription nécessite un Bandai Namco ID.

La fuite résulte du piratage de Ymirlink, le prestataire auquel sont confiés les envois d’e-mails de Bandai Namco ID. Selon Ymirlink, l’attaquant a exploité une vulnérabilité dans une bibliothèque de Cuenote FC, son service d’envoi groupé d’e-mails, pour dérober les identifiants du personnel chargé du support et du contrôle qualité. Le prestataire indique également que l’attaquant a installé un programme malveillant et extrait des informations de la base de données.

Ymirlink dit avoir détecté l’accès illégal le 16 octobre et a annoncé une forte augmentation de l’ampleur des dommages dans son deuxième rapport, publié le 26 octobre. Pour l’ensemble de ses entreprises clientes, le total cumulé atteint 51 628 280 enregistrements susceptibles d’avoir fuité, comprenant des adresses e-mail.

Bandai Namco affirme que les noms, adresses postales, historiques d’achats, mots de passe de connexion et informations de carte bancaire ne font pas partie des données divulguées. L’entreprise a immédiatement suspendu le service d’envoi d’e-mails affecté et a signalé l’incident à la Commission japonaise de protection des informations personnelles le 27 octobre.

Aucun préjudice secondaire lié à cet incident n’a été confirmé à ce stade. Les adresses e-mail divulguées pourraient servir à envoyer des messages d’usurpation d’identité ou de phishing.

Une enquête chez Bandai Logipal

Par ailleurs, Bandai Namco Holdings, Bandai Spirits et Bandai Logipal ont annoncé conjointement le 26 octobre la découverte, le 21 octobre, de traces d’accès illégal sur le serveur du système logistique de Bandai Logipal.

À la suite de cet accès, les trois entreprises enquêtent sur une possible fuite de noms, d’adresses postales et de numéros de téléphone liés à Ichiban Kuji Online, dont Bandai Spirits confie les livraisons à Bandai Logipal. Bandai Logipal a temporairement suspendu l’utilisation de son système d’expédition depuis le 26 octobre et prévoit de le rétablir lorsque sa sécurité sera confirmée.