Violation de données interne chez Benesse

Le 9 juillet 2014, Benesse Holdings, le plus grand prestataire japonais d'enseignement par correspondance, a révélé que les données personnelles de millions de ses clients avaient fuité. Le bilan final — 35,04 millions d'enregistrements — en a fait le plus grand vol de données interne de l'histoire du Japon et un moment décisif pour le régime de protection des données du pays.

Ce qui s'est passé

La violation n'était pas un piratage externe. Masaomi Matsuzaki, un ingénieur système employé par un sous-traitant du groupe Benesse (Synform), disposait d'un accès légitime à la base de données dans le cadre de son travail. À l'aide de ses identifiants, il a copié des enregistrements clients sur un smartphone personnel et un support de stockage amovible, puis a vendu les données à plusieurs courtiers. Les enquêteurs ont retrouvé par la suite environ 22,6 millions de fichiers clients sur son seul smartphone.

Matsuzaki a admis avoir vendu les informations dérobées à environ 15 courtiers en données pour environ 2,5 millions de yens, motivé par des dettes personnelles liées au jeu et aux dépenses courantes. Les enregistrements divulgués — provenant de familles abonnées aux produits éducatifs « Shinken Seminar » et « Kodomo Challenge » de Benesse — comprenaient noms, dates de naissance, adresses, numéros de téléphone et liens parent/enfant, dont une grande partie concernait des enfants.

Impact

• 35,04 millions d'enregistrements confirmés divulgués.
• Benesse a établi un fonds d'indemnisation de 20 milliards de yens (environ 190 millions de dollars), offrant à chaque foyer affecté un bon-cadeau de 500 yens ou un don équivalent à une fondation pour l'enfance nouvellement créée.
• L'entreprise a subi un fort exode de clients : les inscriptions à ses cours phares par correspondance ont chuté d'environ 940 000 membres sur un an d'ici avril 2015.
• En novembre 2014, l'autorité japonaise de protection de la vie privée a révoqué le Privacy Mark de Benesse.
• Les victimes ont déposé des recours collectifs, donnant lieu à certaines des plus importantes actions multi-plaignants en matière de violation de données qu'ait connues le Japon.

Pourquoi c'est important

Benesse a cristallisé la menace interne pour les entreprises japonaises et exposé les faiblesses des contrôles d'accès des tiers / sous-traitants — l'ingénieur était un employé d'un prestataire, et non un salarié de Benesse. L'ampleur et l'implication de données d'enfants ont provoqué l'indignation publique et influencé directement l'amendement de 2015 à la loi japonaise sur la protection des informations personnelles (APPI), qui a renforcé les règles sur le traitement et la revente de données personnelles ainsi que sur la supervision des sous-traitants. Il demeure le cas japonais de référence pour montrer que les contrôles techniques doivent s'étendre aux initiés privilégiés et au personnel externalisé, et pas seulement aux attaquants externes.