Fuite chez Arara : Bic Camera évoque 14,9 millions de dossiers, SMBC, GMO et Edogawa avisent leurs clients

La liste des entreprises touchées par la fuite chez Arara, l’entreprise japonaise derrière le service de courriel Arara Message, continue de s’allonger. Arara dit qu’environ 77 millions d’adresses courriel ont été prises sur des serveurs utilisés par jusqu’à environ 380 entreprises clientes. Hier, nous avons passé en revue ce qu’Asoview, IIJmio, TKC, Workman et d’autres avaient dit à leurs clients. Depuis, le détaillant d’électronique Bic Camera, la banque SMBC, une entreprise de paiement, une entreprise d’événements et un arrondissement de Tokyo ont publié leurs propres avis. Si vous faites affaire avec l’un d’eux, voici ce que chacun a dit.

Groupe Bic Camera : environ 14,9 millions de dossiers

Le 2 novembre, Bic Camera et les sociétés de son groupe Kojima et Sofmap ont publié un avis conjoint (en japonais, PDF) disant que les renseignements des personnes inscrites à leurs infolettres pourraient avoir fuité par le système d’Arara. Les trois entreprises évaluent le total à environ 14,9 millions de dossiers, qui comprennent « les adresses courriel des clients, etc. ». ITmedia (en japonais) et Kyodo, par le Mainichi (en anglais), en ont parlé le 4 novembre.

L’avis précise que les données de carte de crédit et les identifiants des boutiques en ligne des entreprises n’étaient pas confiés au service, et ne font donc pas partie de la fuite. Le groupe a cessé d’envoyer des données au service, travaille avec Arara pour déterminer qui est touché, et dit que chaque entreprise communiquera avec ses propres clients touchés. Il dit qu’aucun préjudice secondaire n’a été confirmé jusqu’ici et demande aux clients de se méfier des courriels qui se font passer pour le groupe ou pour Arara.

SMBC : 227 216 adresses courriel

Sumitomo Mitsui Banking Corporation, l’une des plus grandes banques du Japon, a dit le 5 novembre que 227 216 adresses courriel utilisées pour ses envois avaient fuité (avis en anglais, PDF). Elle utilise Arara Message surtout pour les courriels à ses entreprises clientes, et pour certains courriels à des entrepreneurs individuels. Sa chronologie montre bien comment le portrait a changé :

• 28 octobre : Arara a informé SMBC de l’accès non autorisé, en disant que son examen des journaux n’avait trouvé aucun signe de fuite.
• 2 novembre : Arara a informé SMBC qu’une enquête plus poussée avait confirmé la fuite des adresses d’envoi de SMBC.

SMBC dit que les données divulguées se limitent aux adresses courriel des personnes à qui elle a écrit entre le 1er juillet et le 31 octobre 2026, et ne comprennent ni numéros de compte, ni soldes, ni NIP, ni identifiants ou mots de passe de services bancaires en ligne. Elle signalera l’incident aux autorités et a ouvert une ligne d’aide en japonais jusqu’au 30 novembre. Les clients à l’extérieur du Japon sont invités à communiquer avec leur gestionnaire de relation ou leur équipe de service à la clientèle. La banque dit qu’elle ne demandera jamais de mots de passe ni de données de carte par courriel.

Les autres avis du 5 novembre

Toutes ces organisations disent que la fuite s’est produite chez Arara ou chez un sous-traitant qui utilisait Arara, pas dans leurs propres systèmes. GMO Payment Service et Congre disent qu’elles écriront aux personnes touchées. Comme pour la liste d’hier, ces chiffres peuvent se recouper entre eux et avec le total d’Arara, et ne peuvent donc pas s’additionner.

Ce que cela signifie pour vous

Pour la plupart des personnes sur ces listes, ce qui a fuité est une adresse courriel liée à une boutique, une banque ou un service qu’elles utilisent vraiment. C’est assez pour qu’un courriel d’hameçonnage ait l’air vrai. Les dossiers de GMO Payment Service avec noms et détails de facturation vont plus loin : un fraudeur pourrait citer un vrai achat et un vrai montant dû, ce qui rend une fausse demande de paiement bien plus crédible.

L’avis de la ville d’Edogawa donne aussi la chronologie : l’intrusion chez Arara le 27 octobre, jusqu’à environ 7,13 millions de faux courriels de carte de crédit envoyés depuis news@arara.com à partir du 28 octobre, et l’arrêt du service le 31 octobre. Arara Message est toujours hors ligne.

Ce que vous pouvez faire

1. Soyez particulièrement prudent avec les courriels qui parlent de paiements, de remboursements, de problèmes de compte ou de vérification d’identité de la part de Bic Camera, Kojima, Sofmap, SMBC, GMO Payment Service ou des autres ci-dessus. Ouvrez l’application ou tapez l’adresse vous-même.
2. Si un courriel vous demande de payer une facture, vérifiez-la autrement. Consultez la facture dans votre compte chez la boutique d’origine ou communiquez avec l’entreprise au moyen des coordonnées de son site web, pas celles du courriel.
3. Ne donnez jamais un mot de passe, un NIP, un numéro de carte ou un code de vérification à quelqu’un qui vous contacte. SMBC, la ville d’Edogawa et les autres disent qu’ils ne les demandent jamais par courriel ou par téléphone.
4. Supprimez les courriels de news@arara.com sans rien cliquer.
5. Surveillez un avis individuel de l’entreprise si vous êtes touché.
6. Apprenez à reconnaître les tactiques. Voyez comment les fraudeurs utilisent les données divulguées pour personnaliser l’hameçonnage.

Comment Frame peut aider

Ajoutez cette fuite à une adresse courriel vérifiée dans Frame : Frame montre ce qu’elle a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Les alias de courriel de Frame vous permettent aussi de donner à chaque infolettre et à chaque boutique sa propre adresse, pour savoir quelle liste a fuité et désactiver cette adresse. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

À lire aussi

• Fuite chez Arara : Asoview parle de 15,8 millions de dossiers, et d’autres entreprises donnent leurs chiffres : la première vague d’avis d’entreprises clientes, des 3 et 4 novembre.
• Arara : environ 77 millions d’adresses courriel volées, avec parfois noms et dates de naissance : le deuxième rapport d’Arara, d’où découlent ces avis.
• Arara Message : environ 3,01 millions d’adresses courriel volées chez un service d’infolettres japonais : le premier rapport, du 29 octobre.
• SMBC Consumer Finance : des données de jusqu’à 320 118 clients de prêts ont quitté son système de garantie : un incident distinct, dans une entreprise du même groupe financier que SMBC, sans lien avec Arara.

Sources

• Bic Camera, Kojima et Sofmap, 業務委託先への不正アクセスによるメールマガジン登録のお客様情報漏えいに関するお詫びとお知らせ (en japonais, PDF), 2 novembre 2026
• ITmedia NEWS, ビックカメラG、メールアドレスなど約1490万件漏えいの可能性　委託先への不正アクセスで (en japonais), 4 novembre 2026
• The Mainichi (Kyodo), Nomura subsidiary, retailer Bic Camera among latest affected by data breach (en anglais), 4 novembre 2026
• Sumitomo Mitsui Banking Corporation, Information Leakage Following Unauthorized Access to a Third-Party Email Distribution Service (en anglais, PDF), 5 novembre 2026
• GMO Payment Service, アララ株式会社で発生した不正アクセスに伴う個人情報の漏洩について (en japonais), 5 novembre 2026
• Congre, メール配信サービス「アララメッセージ」への不正アクセスによるメールアドレス流出に関するお詫びとお知らせ (en japonais), 5 novembre 2026
• Ville d’Edogawa, 区の委託事業における個人情報漏えいの可能性 (en japonais), 5 novembre 2026