Arara : environ 77 millions d’adresses courriel volées, avec parfois noms et dates de naissance

Le 29 octobre, nous avons écrit qu’Arara, l’entreprise japonaise derrière le service d’infolettres Arara Message, avait perdu environ 3,01 millions d’adresses courriel. Le 2 novembre 2026, elle a publié un deuxième rapport, beaucoup plus grave. Si une entreprise ou un groupe au Japon vous envoie des infolettres, voici ce qui a changé.

Ce qui s’est passé

Selon le deuxième rapport d’Arara (en japonais, PDF), l’attaquant ne s’est pas arrêté au système partagé qu’Arara avait d’abord décrit. Entre le 28 et le 31 octobre, il est passé par un serveur d’Arara Message pour entrer dans 97 serveurs qui hébergent les environnements propres d’entreprises clientes, et il a copié le contenu de leurs bases de données. Arara compte jusqu’ici environ 77 millions d’adresses courriel volées sur ces serveurs. Elle estime que jusqu’à environ 380 entreprises clientes sont concernées, et dit que le décompte est encore en vérification et pourrait changer. Une personne peut avoir plus d’une adresse : ce n’est donc pas un nombre de personnes.

Cette fois, il ne s’agit pas seulement d’adresses courriel. Selon ce que chaque entreprise cliente conservait dans le service, les données copiées comprennent :

• l’adresse courriel
• le nom
• le sexe
• la date de naissance
• le numéro de téléphone
• le numéro de membre
• l’adresse domiciliaire
• l’historique des envois, c’est-à-dire quels messages ont été envoyés à qui

Arara dit que le service ne conserve jamais de numéros de carte de crédit. Nikkei (en japonais) a rapporté que la société mère d’Arara, Paycloud Holdings, a annoncé le même chiffre d’environ 77 millions d’adresses.

Arara a aussi mis à jour son premier décompte. Dans le système partagé, l’attaquant a pris 3 386 187 adresses courriel (doublons retirés) liées à 61 entreprises clientes, et jusqu’à 411 827 fiches de clients avec noms et noms d’entreprise conservées par cinq d’entre elles. L’attaquant s’est connecté à l’écran d’administration de ce système les 27 et 28 octobre et a utilisé ses fonctions d’exportation. Arara dit maintenant que la cause est une vulnérabilité d’un serveur Web combinée à des problèmes dans la configuration de ses systèmes. Elle n’a pas encore dit quand ni comment l’intrusion a commencé.

De l’hameçonnage envoyé par le service d’Arara lui-même

Le deuxième rapport confirme aussi que l’attaquant a utilisé Arara Message lui-même pour envoyer jusqu’à environ 7,13 millions de faux courriels entre le 28 et le 30 octobre. Ils venaient de news@arara.com, se faisaient passer pour une société de cartes de crédit et portaient des objets comme 「利用内容確認のご依頼」 et 「ご利用明細確認のご依頼」 (demandes de confirmer l’utilisation de votre carte ou votre relevé). Arara dit que les destinataires étaient des adresses que l’attaquant avait apportées de l’extérieur, et qu’elle n’a trouvé aucune fuite autre que des adresses courriel liée à l’envoi lui-même. Elle dit que le dernier est parti à 13 h 32 le 30 octobre, heure du Japon. Si vous en avez reçu un, supprimez-le et n’ouvrez pas le lien. Si vous avez entré vos données de carte sur la page liée, appelez l’émetteur de votre carte sans attendre.

Arara a arrêté tout le service le 31 octobre et n’a pas dit quand il reprendra. Elle dit qu’elle informera chaque entreprise cliente si son environnement a été touché. Des entreprises clientes ont commencé à aviser leurs propres utilisateurs. JERA, par exemple, a dit qu’environ 110 000 adresses courriel de personnes qui utilisaient son service de rabais de cinéma JERA Sunday pourraient avoir fuité (en japonais) d’un service externe qu’elle utilise, et a mis en garde contre les mêmes courriels de news@arara.com.

Ce que ça signifie pour vous

Vous n’avez peut-être jamais entendu parler d’Arara, mais environ 380 entreprises pourraient l’avoir utilisée pour écrire à leurs membres. Si l’une d’elles était la vôtre, votre adresse courriel, et peut-être votre nom, votre date de naissance, votre numéro de téléphone et votre adresse, sont maintenant entre les mains de quelqu’un d’autre. Ça rend le prochain message frauduleux plus facile à écrire. Il pourrait connaître votre nom et sembler venir d’une boutique ou d’un club dont vous êtes vraiment membre.

Ce que vous pouvez faire

1. Surveillez les avis des entreprises et groupes qui vous écrivent au Japon. Arara avise d’abord ses entreprises clientes, et ce sont elles qui décident comment aviser leurs membres.
2. Supprimez tout courriel de news@arara.com qui vous demande de confirmer l’utilisation de votre carte ou un relevé. Si vous avez entré vos données de carte, appelez l’émetteur de votre carte.
3. Allez vous-même sur le site ou l’appli de l’entreprise si un message vous demande de vous connecter, de payer ou de confirmer vos renseignements.
4. Ne donnez jamais de mot de passe, de numéro de carte ni de code de vérification à quelqu’un qui vous contacte, même s’il connaît votre nom et votre date de naissance.
5. Apprenez à reconnaître les stratagèmes. Voyez comment les fraudeurs utilisent les données divulguées.

Comment Frame peut aider

Ajoutez cette fuite à une adresse courriel vérifiée dans Frame : Frame montre ce qu’elle a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Les alias de courriel de Frame vous permettent aussi de donner à chaque infolettre sa propre adresse, pour savoir quelle liste a fuité et désactiver cette adresse. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

Sources

• Arara, 当社が提供する「アララメッセ－ジ」への不正アクセスによる情報流出およびサービス停止について（第２報） (en japonais, PDF), 2 novembre 2026
• Nikkei, メール配信「アララ」で不正アクセス、最大713万通の不審メール確認 (en japonais), 2 novembre 2026
• JERA, 映画割引サービス「JERAサンデイ」で利用する外部サービスにおける情報流出の可能性（続報） (en japonais), 2 novembre 2026
• Arara, 当社が提供する「アララメッセ－ジ」への不正アクセスによる情報流出およびサービス停止について (en japonais), 29 octobre 2026