Fuite chez Furusato Choice : 4,45 millions de dossiers de donateurs pris au Japon

Furusato Choice est l’un des plus grands sites de dons « furusato nozei » au Japon, un régime où l’on donne à la ville de son choix en échange d’une déduction fiscale et d’un cadeau de remerciement. Son exploitant, Trustbank, affirme qu’un attaquant a pris des millions de dossiers de membres, dont des mots de passe hachés. Si vous avez un compte Furusato Choice, voici ce qu’on sait et ce qu’il faut faire.

Ce qui s’est passé

Trustbank dit avoir remarqué des accès inhabituels le 19 octobre 2026, constaté une intrusion survenue le 17 octobre et arrêté les services de Furusato Choice l’après-midi même, selon son premier avis (en japonais). Elle a signalé la fuite à la Commission japonaise de protection des renseignements personnels le lendemain.

Les données dont la fuite est confirmée touchent 4 454 097 dossiers de membres :

• nom, adresse courriel, adresse postale et numéro de téléphone
• un mot de passe haché
• le montant estimé de la déduction pour dons

Dans un deuxième rapport le 23 octobre, la société mère CHANGE Holdings a indiqué que pour cinq de ces membres, d’autres données ont été vues, comme l’historique de points et de dons et la date de naissance, selon Tokyo Brief (en anglais). Pour deux d’entre eux, la page qui affiche les quatre derniers chiffres, le nom et la date d’expiration d’une carte enregistrée a été consultée. L’entreprise affirme que ces renseignements seuls ne permettent pas d’effectuer un paiement. Trustbank a commencé le 21 octobre à écrire aux membres pour leur dire s’ils étaient touchés.

Le 28 octobre, CHANGE Holdings a annoncé que certaines activités de Furusato Choice avaient repris après des vérifications de sécurité et que les dons rouvriraient graduellement, selon Japan IR (en anglais).

Ce que ça veut dire pour vous

Un mot de passe haché n’est pas le mot de passe lui-même, mais les mots de passe faibles peuvent parfois être retrouvés à partir de leur empreinte. C’est surtout important si vous avez utilisé la même adresse courriel et le même mot de passe ailleurs. L’adresse et le téléphone rendent aussi les arnaques plus convaincantes, surtout à l’approche des échéances fiscales et des dates limites de dons.

Ce que vous pouvez faire

1. Changez votre mot de passe sur tout autre site où vous utilisiez le même que sur Furusato Choice. Trustbank demande aux membres de le faire.
2. Choisissez un nouveau mot de passe unique pour Furusato Choice à votre prochaine connexion, et gardez-le dans un gestionnaire de mots de passe.
3. Méfiez-vous des courriels, textos, appels et lettres qui prétendent venir de Trustbank, d’une ville ou du fisc. N’ouvrez pas les liens ni les pièces jointes de messages inattendus; allez sur le site vous-même.
4. Vérifiez vos relevés de carte si vous aviez enregistré une carte sur le site, même si l’entreprise dit que ces renseignements seuls ne permettent pas de payer.
5. Apprenez à reconnaître les stratagèmes. Voyez comment les fraudeurs utilisent les données divulguées.

Comment Frame peut aider

Ajoutez cette fuite à une adresse courriel vérifiée dans Frame : Frame montre ce qu’elle a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. La recherche automatique de fuites n’est pas encore offerte. Les alias de courriel de Frame vous permettent aussi de donner à chaque site sa propre adresse, pour qu’une fuite sur l’un ne mène pas les fraudeurs directement à votre boîte principale. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

Sources

• Trustbank, 不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ (en japonais), 20 octobre 2026
• Tokyo Brief, Furusato Choice breach widens for five donors, with card details accessed for two (en anglais), 23 octobre 2026
• Japan IR, CHANGE Holdings: Notice on Personal Information Leakage at Consolidated Subsidiary (4th Report) (en anglais), 28 octobre 2026