Violation de données de JTB Corporation

Le 14 juin 2016, JTB Corporation — la plus grande agence de voyages du Japon — a révélé une violation de données susceptible d'avoir exposé les informations personnelles de jusqu'à 7,93 millions de clients. L'intrusion a commencé par un seul e-mail malveillant et constitue l'un des exemples les plus cités d'attaque par logiciel malveillant ciblé (PlugX) contre une entreprise japonaise.

Ce qui s'est passé

En mars 2016, un employé d'une société du groupe JTB a ouvert une pièce jointe d'e-mail déguisée en billet électronique / confirmation de réservation aérienne. La pièce jointe a installé PlugX, un cheval de Troie d'accès à distance depuis longtemps associé à des attaques ciblées de type espionnage. Une fois exécuté, le logiciel malveillant s'est propagé dans le réseau et a donné aux attaquants l'accès à un serveur interne contenant des données clients.

L'activité malveillante a été active pendant des semaines avant que son ampleur ne soit pleinement comprise. JTB a confirmé en interne le 13 mai 2016 que des données avaient été exfiltrées, et a divulgué l'incident publiquement le mois suivant.

Impact

• Les données personnelles de jusqu'à 7,93 millions de clients pourraient avoir été compromises.
• Les champs exposés comprenaient noms, adresses postales, adresses e-mail et informations de passeport.
• Parmi les enregistrements figuraient plus de 4 300 numéros de passeport valides — rendant la violation particulièrement dangereuse pour la fraude à l'identité, puisque les données de passeport sont durables et difficiles à modifier.
• JTB a mis en place des lignes d'assistance dédiées et a collaboré avec la police ; aucun usage criminel confirmé des données n'a été rapporté dans l'immédiat.

Pourquoi c'est important

La violation de JTB a souligné que les attaques ciblées de type PlugX — historiquement associées à l'espionnage lié à des États — étaient désormais dirigées contre des bases de données commerciales ordinaires contenant de précieux documents d'identité. Elle a révélé des lacunes dans la sensibilisation à la sécurité des employés et la gestion des pièces jointes au sein de l'une des entreprises les plus en vue du Japon, et a amplifié un débat national, déjà aiguisé par la violation du Service des retraites du Japon de 2015, sur la préparation du pays face aux intrusions sophistiquées. La présence de numéros de passeport en a fait un cas marquant pour la protection des données du secteur du voyage, rappelant que les documents d'identité des clients exigent une segmentation réseau, du chiffrement et un contrôle d'accès strict plutôt qu'un stockage sur des serveurs à usage général accessibles depuis un seul poste piégé par hameçonnage.