Fuite chez Arara : Asoview parle de 15,8 millions de dossiers, et d’autres entreprises donnent leurs chiffres

Le 2 novembre, nous écrivions qu’Arara, l’entreprise japonaise derrière le service d’infolettres Arara Message, compte maintenant environ 77 millions d’adresses courriel volées sur des serveurs utilisés par jusqu’à environ 380 entreprises clientes. Depuis, les entreprises qui utilisaient le service ont commencé à dire à leurs propres clients ce que contenait leur part. La plus importante jusqu’ici est Asoview, qui exploite l’un des plus grands sites de réservation de loisirs et de billets au Japon. Si vous êtes membre d’un des services ci-dessous, voici ce que chacun a dit.

Asoview : 15 821 184 dossiers de membres

Le 3 novembre, Asoview a annoncé (en japonais) que des renseignements sur ses membres, confiés à Arara Message pour l’envoi de courriels, avaient fuité : 15 821 184 dossiers, selon CNET Japan et ITmedia (en japonais). C’est bien plus qu’une liste d’adresses. Selon ces articles, les dossiers comprennent :

• l’adresse courriel, l’identifiant et le numéro de membre
• le nom, le genre et la date de naissance
• le numéro de téléphone, le code postal et la région de résidence
• la date d’inscription et de dernière connexion
• l’historique des billets : date d’achat, type de billet, nombre, établissement, date de la visite, nombre de personnes et annulation éventuelle

Asoview dit n’avoir jamais transmis de mots de passe ni de numéros de carte de crédit à Arara, qui ne font donc pas partie de la fuite, et que ses propres systèmes ne sont pas en cause. Elle a appris la fuite par Arara le 2 novembre, a arrêté le jour même tous les envois passant par Arara Message et a désactivé les mots de passe d’administration et les clés d’API qu’elle utilisait avec le service. Elle a reçu la liste des champs et le nombre le 3 novembre.

Elle ne sait pas encore quels membres figurent dans les données. Arara y travaille, et Asoview dit qu’elle comparera les résultats à ses propres dossiers et communiquera avec chaque membre touché. D’ici là, elle demande à tous ses membres de se méfier des courriels, textos et appels qui invoquent un remboursement, une annulation, un prix ou une vérification d’identité pour demander des renseignements personnels ou de l’argent. Elle dit ne jamais demander de mot de passe ni de numéro de carte par courriel, texto ou téléphone.

Les autres entreprises qui ont averti leurs clients

Plusieurs autres entreprises ont publié des avis les 3 et 4 novembre. Chacune dit que la fuite s’est produite chez Arara, et non dans ses propres systèmes.

Ces chiffres viennent d’entreprises différentes et peuvent se recouper entre eux et avec le total d’Arara : on ne peut donc pas les additionner. Les envois de plusieurs de ces services sont suspendus tant qu’Arara Message reste fermé. TKC dit qu’elle passe à une autre plateforme de courriel.

Ce que cela signifie pour vous

Pour la plupart de ces entreprises, ce qui a fuité est une adresse courriel liée à un service que vous utilisez. C’est assez pour un faux message convaincant : un courriel qui nomme la banque, le fournisseur de téléphonie ou le magasin avec lequel vous faites vraiment affaire. Les données d’Asoview vont plus loin. Quelqu’un qui les détient pourrait vous écrire par votre nom, mentionner votre date de naissance et parler d’un vrai billet acheté pour une vraie sortie. Ce genre de détail rend une arnaque au remboursement ou à l’annulation beaucoup plus crédible.

L’attaquant s’est aussi servi d’Arara Message pour envoyer jusqu’à environ 7,13 millions de faux courriels de carte de crédit depuis news@arara.com entre le 28 et le 30 octobre, comme nous l’expliquions dans l’article du 2 novembre. Les entreprises ci-dessus préviennent que d’autres tentatives d’hameçonnage visant leurs clients pourraient suivre.

Ce que vous pouvez faire

1. Redoublez de prudence devant les messages qui parlent de remboursement, d’annulation, de prix ou de vérification d’identité de la part d’Asoview ou des entreprises ci-dessus. Ouvrez l’appli ou tapez l’adresse vous-même au lieu de toucher un lien.
2. Ne donnez jamais de mot de passe, de numéro de carte, de NIP ni de code de vérification à quelqu’un qui vous contacte, même s’il connaît votre nom, votre date de naissance et votre réservation. Asoview, la Banque Shikoku et les autres disent toutes ne jamais les demander par courriel ou par téléphone.
3. Surveillez un avis personnel. Asoview et la Banque Shikoku disent qu’elles contacteront les personnes touchées une fois la liste d’Arara comparée.
4. Si vous utilisiez le même mot de passe pour un service qui vous envoyait des courriels et ailleurs, changez-le. Aucune de ces entreprises ne dit que des mots de passe ont fuité; cela limite simplement les dégâts si une page d’hameçonnage en capte un.
5. Apprenez à reconnaître les tactiques. Voyez comment les fraudeurs utilisent les données divulguées.

Comment Frame peut aider

Ajoutez cette fuite à une adresse courriel vérifiée dans Frame : Frame montre ce qu’elle a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Les alias de courriel de Frame vous permettent aussi de donner à chaque infolettre et à chaque boutique sa propre adresse, pour savoir quelle liste a fuité et désactiver cette adresse. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

À lire aussi

• Arara dit maintenant qu’environ 77 millions d’adresses courriel ont été volées : le deuxième rapport d’Arara, à l’origine de ces avis d’entreprises.
• Arara Message : environ 3,01 millions d’adresses courriel volées : le premier rapport, du 29 octobre.

Sources

• Asoview, 委託先メール配信サービスへの不正アクセスに関するお詫びとお知らせ (en japonais), 3 novembre 2026
• CNET Japan, アソビュー、会員情報1582万件が流出 チケットの購入・利用履歴も (en japonais), 4 novembre 2026
• ITmedia NEWS, アソビュー、会員情報1582万件流出　最終ログイン日や利用施設も　メール委託先・アララ不正アクセスで (en japonais), 4 novembre 2026
• TKC, メール配信委託先への不正アクセスによる情報漏えいに関する件（第3報） (en japonais), 4 novembre 2026
• Workman, Workman Co.,Ltd. Notice on Possible Email Address Leakage (en anglais, via Japan IR), 4 novembre 2026
• IIJ, 当社が利用するメール配信サービスへの不正アクセスによるお客様情報の漏えいについて (en japonais), 4 novembre 2026
• Duskin, メール配信サービス提供事業者への不正アクセスによるお客様メールアドレス漏洩に関するお知らせとお詫び (en japonais, PDF), 4 novembre 2026
• Nikkei, 琉球銀行、9万6000件のメールアドレス漏洩　委託先に不正アクセス (en japonais), 4 novembre 2026
• Banque Shikoku, メール配信サービスへの不正アクセスによるお客さまメールアドレス流出について (en japonais), 4 novembre 2026
• Ekitan, 【重要】メール配信サービス提供会社への不正アクセスによる情報流出に関するお詫びとお知らせ(第一信) (en japonais), 3 novembre 2026
• ITmedia NEWS, メルアド7700万件流出か　アララメッセージの不正アクセスで続報　共通環境から契約企業のサーバへ侵入　悪用も確認 (en japonais), 4 novembre 2026