Step Golf dit que des dossiers de membres, des photos et certains comptes bancaires non chiffrés ont pu fuir

Step Golf, qui gère des écoles de golf intérieures au Japon sous le nom STEPGOLF, a indiqué dans un deuxième rapport (en japonais) le 10 novembre 2026 qu’un accès non autorisé à ses systèmes d’affaires et de réservation avait pu laisser fuir des renseignements de membres, y compris des photos et certains détails de comptes bancaires stockés sans chiffrement. Les chiffres publiés sont le nombre de dossiers pouvant avoir été concernés, pas un décompte confirmé de personnes. Voici ce que l’entreprise a divulgué, et ce que les membres devraient faire.

Chronologie

L’entreprise a d’abord décrit l’incident dans un avis le 7 novembre (en japonais). Dans la mise à jour du 10 novembre, elle dit avoir détecté une activité inhabituelle dans ses systèmes le 5 novembre 2026, avoir enquêté, et avoir constaté un accès non autorisé. L’examen de journaux plus anciens a ensuite montré des accès non autorisés les 23 et 25 octobre également, et que des fichiers de sauvegarde de bases de données contenant des renseignements personnels avaient très probablement été sortis de l’entreprise.

Step Golf dit avoir signalé l’affaire à la Commission japonaise de protection des renseignements personnels et avoir consulté la police. Elle a retenu un cabinet de sécurité externe, bloqué l’accès, changé les identifiants et resserré les contrôles d’accès. Les réservations et les leçons, dit-elle, se déroulent comme d’habitude.

Ce qui a pu être pris

Le rapport du 10 novembre vise les personnes qui, au 23 octobre 2026, figuraient dans les systèmes de l’entreprise comme candidates à un essai gratuit ou comme membres actuels ou anciens. L’exposition possible, par nombre de dossiers, est la suivante :

• 114 605 dossiers personnels. Ils peuvent comprendre le nom, l’adresse, la date de naissance, le téléphone et l’adresse courriel, ainsi que l’état du contrat, l’historique des réservations et des achats, des notes de leçons, et des renseignements que la loi japonaise considère comme nécessitant une attention particulière. L’entreprise n’a pas dit quelles catégories de ce dernier type étaient conservées.
• 107 781 photos, y compris des photos encore conservées pour certaines personnes déjà parties.
• 12 707 relevés de comptes bancaires, comprenant le nom de la banque, de la succursale, le numéro de compte et le nom du titulaire utilisés pour les prélèvements. L’entreprise dit que ces renseignements n’étaient pas stockés sous forme chiffrée.

Step Golf est prudente sur le calcul. Ces chiffres sont le nombre de dossiers enregistrés qui ont pu fuir, pas un décompte confirmé des dossiers ou des personnes effectivement pris. Une même personne peut figurer dans plus d’une catégorie, donc ces nombres ne doivent pas être additionnés comme un total de personnes distinctes. Ce qui était conservé varie aussi d’une personne à l’autre.

Les données de cartes de crédit et les pièces d’identité, dit l’entreprise, n’étaient pas détenues dans le système touché.

Ce que l’entreprise demande aux membres

Step Golf dit n’avoir confirmé aucun préjudice secondaire pour l’instant, mais elle demande de se méfier des courriels, textos ou appels inattendus qui se font passer pour l’entreprise ou pour une banque. N’ouvrez pas de liens ou de pièces jointes inconnus, et n’entrez pas de NIP ou de mots de passe en réponse.

Elle précise qu’un numéro de compte et un nom ne suffisent pas à eux seuls pour retirer de l’argent, mais elle demande quand même aux membres de surveiller les fraudes qui détourneraient des données de compte, et de vérifier leurs relevés bancaires pour des retraits qu’ils ne reconnaissent pas.

Une adresse courriel dédiée, support@cs.stepgolf.co.jp, est ouverte pour les questions. L’entreprise dit qu’un service téléphonique est encore en cours de mise en place, qu’elle communiquera individuellement avec les personnes touchées une fois prête, et que les magasins ne peuvent pas répondre aux questions détaillées sur l’incident.

Ce que vous pouvez faire

1. Si vous avez fait un essai, réservé une leçon ou détenu un abonnement chez Step Golf, attendez le courriel de l’entreprise plutôt qu’un message surprise qui vous demande de « confirmer » votre compte ou vos données bancaires.
2. Vérifiez vos relevés bancaires pour des retraits ou de nouveaux prélèvements que vous ne reconnaissez pas, surtout si vous aviez mis en place des virements avec l’école.
3. Traitez comme suspectes les demandes inattendues de photos, de pièces d’identité ou de paiement. L’entreprise dit que les cartes et les pièces d’identité n’étaient pas dans ce système.
4. Utilisez l’adresse officielle si vous avez des questions : support@cs.stepgolf.co.jp. N’utilisez pas un numéro ou un lien provenant d’un message non sollicité.
5. Apprenez à reconnaître les tactiques. Voyez comment les fraudeurs utilisent les données divulguées pour personnaliser l’hameçonnage.

Comment Frame peut aider

Ajoutez cette fuite à une adresse courriel vérifiée dans Frame : Frame montre ce qu’elle a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Frame ne recueille ni ne conserve jamais les enregistrements divulgués eux-mêmes.

À lire aussi

• Assistance routière au Japon : jusqu’à 5,5 millions de dossiers ont fuité, dont des données bancaires : un autre incident japonais dans un service, qui comprenait aussi certaines données de comptes bancaires.
• Comment les fraudeurs utilisent les données divulguées pour personnaliser l’hameçonnage, et comment le repérer : pourquoi un message qui connaît déjà votre nom ou votre abonnement peut quand même être faux.

Sources

• Step Golf, Excuse et rapport concernant la possible fuite de renseignements personnels due à un accès non autorisé à nos systèmes d’affaires (deuxième rapport) (en japonais), 10 novembre 2026
• Step Golf, Excuse et rapport concernant la possible fuite de renseignements personnels due à un accès non autorisé à nos systèmes d’affaires (premier rapport) (en japonais), 7 novembre 2026