SMBC Consumer Finance : données de jusqu’à 320 118 clients de prêts prises, dont permis et revenu

Si vous avez un prêt sur carte auprès d’une banque régionale, d’une caisse de crédit ou d’une banque en ligne du Japon, l’entreprise qui le garantit a peut-être vu vos données prises. Le 5 novembre 2026, SMBC Consumer Finance a dit qu’un tiers s’était introduit dans le système qu’elle utilise pour la garantie de prêts et en avait fait sortir des données, dont des renseignements personnels pouvant concerner jusqu’à 320 118 personnes. Certaines des banques qui utilisent son service ont depuis publié leurs propres avis. Ce n’est pas le même incident que la fuite de courriels chez Arara qui a touché cette semaine Sumitomo Mitsui Banking Corporation (SMBC), même si les deux entreprises font partie du même groupe financier.

Ce qui s’est passé

SMBC Consumer Finance est l’ancienne Promise, selon ITmedia NEWS (en japonais). Elle garantit des prêts sur carte pour des banques, des caisses de crédit et des banques en ligne, et fournit à certaines le formulaire de demande en ligne. Son avis (PDF, en japonais) donne le déroulement suivant :

• 2 novembre : elle a détecté un accès non autorisé et, le jour même, coupé l’accès au système servant à la garantie de prêts.
• Pendant la recherche d’autres intrusions : elle a confirmé que les données sorties comprenaient des renseignements personnels de clients.
• 5 novembre : elle a annoncé l’incident. Elle a suspendu le système de garantie le temps de le vérifier et de faire l’entretien.

L’entreprise n’a pas dit comment l’attaquant est entré, qui il est ni combien de temps il est resté. Elle dit travailler avec des experts externes pour trouver la cause et l’ampleur. Selon son avis, elle n’a pas constaté de préjudice secondaire.

Qui est touché

Le système dessert 189 institutions financières partenaires à la fin de mars 2026, selon ITmedia et le Nikkei (en japonais). Le chiffre est de jusqu’à 320 118 personnes. Le Nikkei rapporte que Promise, la marque de prêts à la consommation propre à SMBC Consumer Finance, n’utilise pas ce système.

Des banques partenaires publient leurs propres chiffres. Un exemple jusqu’ici :

• Docomo SMTB Net Bank (en japonais) : jusqu’à 122 635 de ses clients de prêts sur carte. Elle dit que ses propres systèmes bancaires n’ont pas été touchés et que ses autres services ne sont pas affectés.

D’autres banques pourraient suivre. Si vous avez un prêt sur carte, consultez le site de la banque qui l’a émis.

Quelles données sont en cause

Selon l’avis, les renseignements qui ont pu être pris sont :

• nom, sexe et date de naissance
• adresse, numéro de téléphone du domicile, numéro de cellulaire et adresse courriel
• numéro de permis de conduire
• renseignements sur l’employeur, comme son numéro de téléphone et le revenu annuel
• données de contrat : code de l’institution financière, numéro de client, montant garanti et date de début de la garantie

Les images de permis de conduire ou d’autres pièces d’identité n’en font pas partie. Selon les listes publiées jusqu’ici, les données ne comprennent ni mots de passe ni numéros de carte.

Ce que l’entreprise demande de faire

SMBC Consumer Finance dit qu’elle joindra les clients touchés par courriel ou par SMS dès qu’elle aura déterminé qui est visé, après avoir discuté avec les institutions partenaires. D’ici là, elle prévient que des appels, courriels et textos suspects se faisant passer pour elle ou pour une institution financière sont possibles. Si l’un d’eux vous semble louche, elle demande de ne pas ouvrir de lien ni de saisir de renseignements personnels, et de contacter plutôt sa ligne dédiée ou la police. La ligne clientèle est le 0120-362-167 ou le 03-5677-9228, ouverte de 9 h à 18 h tous les jours, dit-elle (en japonais).

Ce que ça signifie pour vous

Un numéro de permis de conduire avec un salaire et un montant de prêt donne une image plus complète des finances d’une personne que la plupart des fuites. Cela peut rendre un faux appel de votre « banque » ou d’un « agent de recouvrement » étonnamment précis. Le numéro de permis ne se change pas facilement, mais un numéro seul n’est pas une image de permis; le risque tient donc surtout à l’usurpation d’identité et à l’ingénierie sociale, plutôt qu’à la possibilité de présenter une pièce d’identité.

Ce que vous pouvez faire

1. Consultez d’abord l’avis de votre banque. Si vous avez un prêt sur carte, cherchez la déclaration sur le site de votre banque et utilisez les coordonnées qui s’y trouvent.
2. Considérez tout contact inattendu au sujet de votre prêt comme suspect, même si l’interlocuteur connaît votre revenu ou le montant de votre prêt. Raccrochez et composez le numéro du site de votre banque ou de votre carte.
3. Ne cliquez pas sur les liens des textos ou des courriels à ce sujet. L’entreprise vous joindra par courriel ou par SMS : allez donc sur le site ou l’appli de la banque pour confirmer quoi que ce soit.
4. Passez en revue vos relevés de prêt et de compte pour repérer tout ce que vous ne reconnaissez pas, et interrogez votre banque.
5. Méfiez-vous de ceux qui offrent de « régler » le problème moyennant des frais. Les avis de fuite attirent souvent les fraudeurs. Voyez comment les fraudeurs utilisent les données divulguées.

Comment Frame peut aider

Ajoutez cette fuite à une adresse courriel vérifiée dans Frame : Frame montre ce qu’elle a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Les alias de courriel de Frame vous permettent aussi de donner à chaque service une adresse qui lui est propre, pour qu’un faux message arrivé à la mauvaise adresse se remarque. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

À lire aussi

• Fuite chez Arara : Bic Camera, SMBC et d’autres clients avisent leurs clients : l’incident distinct, chez un service de courriel, qui touche aussi Sumitomo Mitsui Banking Corporation.
• Comment les fraudeurs utilisent les données divulguées pour personnaliser l’hameçonnage : à quoi s’attendre après une fuite de ce genre.
• La fuite chez IDScan.net : ce que veut dire une fuite de pièces d’identité numérisées : un cas apparenté, où des données d’identité étaient en cause.

Sources

• SMBC Consumer Finance, 当社保証システムへの不正アクセスによるお客さま情報の漏えいについて (PDF, en japonais), 5 novembre 2026
• SMBC Consumer Finance, お客さま専用窓口へのフリーダイヤル追加のお知らせ (en japonais), 6 novembre 2026
• Docomo SMTB Net Bank, SMBCコンシューマーファイナンス（保証提携先）への不正アクセスによる当社カードローンのお客さま情報の漏えいについて (en japonais), 5 novembre 2026
• ITmedia NEWS, 年収やローン保証額、免許証番号など最大32万人分漏えい (en japonais), 6 novembre 2026
• Nikkei, 三井住友系の消費者金融大手、カードローン契約額など32万人分漏洩 (en japonais), 5 novembre 2026