La fuite chez Bookoff Group pourrait exposer les données de jusqu'à 6,43 millions de clients

Le 9 octobre 2026, Bookoff Group — l'un des plus grands distributeurs de produits d'occasion du Japon, connu pour sa chaîne de magasins de livres, de médias et d'articles de seconde main — a révélé qu'un tiers avait obtenu un accès non autorisé au système de gestion des membres de l'une de ses filiales, divulguant potentiellement les données personnelles de jusqu'à environ 6,43 millions d'enregistrements de membres. L'entreprise a précisé que ce chiffre correspond à des numéros de membres plutôt qu'à des individus uniques, de sorte que le nombre de personnes concernées pourrait être inférieur.

Selon l'annonce, les informations potentiellement exposées comprennent les noms, dates de naissance, adresses, adresses e-mail, numéros de membre et identifiants de programme de fidélité, ainsi que des valeurs de mots de passe hachées. Bookoff a indiqué que les informations de paiement telles que les coordonnées bancaires ne sont pas stockées sur le système concerné et ne faisaient pas partie de la fuite potentielle, et qu'elle n'avait confirmé aucune utilisation frauduleuse des données.

Réponse

Bookoff a indiqué avoir détecté l'intrusion le 6 octobre, bloqué la voie d'accès de l'attaquant et renforcé la sécurité du système touché. L'entreprise collabore avec les autorités compétentes, prépare la notification individuelle des membres concernés et met en garde ses clients contre le risque d'hameçonnage. Elle a souligné qu'elle ne demandera jamais de mots de passe ni d'informations financières par e-mail, SMS ou téléphone, et a invité ses membres à se méfier de tout message en ce sens. La fenêtre d'intrusion et le vecteur d'attaque n'ont pas été rendus publics.

Contexte

Cette fuite a été révélée la même semaine qu'un incident distinct chez l'exploitant de karaokés Daiichi Kosho, où une infection par un logiciel malveillant chez un sous-traitant a menacé les données d'environ 8,72 millions de personnes — s'inscrivant dans une série de fuites de données de grande ampleur signalées par des entreprises japonaises début octobre 2026. Bien que les mots de passe de Bookoff aient été hachés et qu'aucune donnée de paiement n'ait été concernée, la combinaison de noms, de dates de naissance, d'adresses et de coordonnées donne tout de même aux fraudeurs suffisamment d'informations personnelles vérifiées pour élaborer des tentatives crédibles d'hameçonnage et d'usurpation d'identité visant les membres concernés.