Boutique en ligne de Good Smile Company : renseignements de membres et commandes consultés

Good Smile Company, le fabricant tokyoïte des Nendoroid et d’autres figurines de collection, a fermé sa boutique en ligne après avoir constaté que quelqu’un avait consulté sans autorisation des renseignements personnels et des commandes de ses membres. Si vous avez déjà eu un compte sur la Good Smile Company Online Store, voici ce que l’entreprise a dit jusqu’ici.

Ce qui s’est passé

Dans son avis (en anglais), publié le 23 octobre et mis à jour le 26 octobre, Good Smile affirme que les journaux du système montrent que le système d’administration de la boutique a été consulté à plusieurs reprises entre peu après 15 h (heure du Japon) le 19 octobre et environ 22 h (heure du Japon) le 22 octobre 2026. L’entreprise l’a appris le matin du 23 octobre, quand la firme qui développe et entretient le site l’a prévenue.

Les renseignements qui ont pu être consultés :

• Renseignements de base : nom (et sa transcription phonétique), genre, adresse, numéro de téléphone et adresse courriel
• Commandes : date, produit, quantité, montant, adresse de livraison, nom et téléphone du destinataire s’ils sont différents, mode et statut de paiement
• Carte : marque de la carte, quatre derniers chiffres et date d’expiration

Good Smile précise que le numéro complet de la carte, le nom du titulaire et le code de sécurité n’en faisaient pas partie, et que les données de carte des commandes payées par des services externes comme Amazon Pay ou PayPal n’ont jamais été stockées sur ses serveurs. Selon l’entreprise, Good Smile Company US, ses boutiques européenne et britannique, Nendoroid Face Maker et sa boutique Rakuten fonctionnent sur des systèmes distincts et n’ont pas été touchés.

La cause fait toujours l’objet d’une enquête. Pour l’instant, l’entreprise dit qu’une vulnérabilité a été exploitée, et qu’il ne s’agit pas de la faille PHP signalée à la même période. Elle a déclaré l’incident à la Commission de protection des renseignements personnels du Japon et prévoit d’écrire par courriel à tous les membres, y compris ceux qui ont fermé leur compte.

Ce que ça veut dire pour vous

Les quatre derniers chiffres, la date d’expiration et un historique de commandes ne permettent pas, à eux seuls, de faire un achat. Mais c’est exactement ce dont un faux courriel du « soutien de Good Smile » a besoin pour paraître vrai : il peut citer votre dernière commande et la fin de votre numéro de carte.

Ce que vous pouvez faire

1. Méfiez-vous des messages sur une commande ou un remboursement. Good Smile met en garde contre les faux courriels, appels et textos se faisant passer pour elle, un organisme public ou une banque. Ne cliquez pas sur leurs liens.
2. Communiquez avec Good Smile uniquement par son site de soutien, qui, selon l’entreprise, fonctionne sur un système distinct de la boutique.
3. Surveillez vos relevés de carte. Si quelque chose cloche, appelez le numéro au dos de votre carte.
4. Si vous avez réutilisé le mot de passe de la boutique ailleurs, changez-le là-bas. Les mots de passe ne figurent pas sur la liste, mais la précaution ne coûte pas cher.

Comment Frame peut aider

Quand vous ajoutez une fuite comme celle-ci à une adresse courriel vérifiée dans Frame, vous voyez ce qu’elle a exposé, recevez une courte liste de vérification et la voyez prise en compte dans votre rapport d’exposition. La recherche automatique de fuites n’est pas encore offerte. Les alias courriel de Frame vous permettent aussi de donner à chaque boutique sa propre adresse, pour qu’une fuite dans un magasin ne mène pas les fraudeurs directement à votre boîte principale.

Sources

• Good Smile Company, Notice of Possible Exposure of Customer Information Due to Unauthorized Access (Updated October 26, 2026) (en anglais), 23 et 26 octobre 2026