Vol de données d'enquêtes internes de Nintendo via la plateforme tierce TinyPulse

Le 18 juin 2026, Nintendo of America a confirmé que des attaquants avaient dérobé des données d'enquêtes internes auprès des employés sur TinyPulse, une plateforme tierce d'engagement et de retour RH (exploitée par WebMD Health Services) qu'elle utilisait en interne. Cette divulgation faisait suite aux revendications du groupe d'extorsion SHADOWBYT3$, qui affirmait avoir exfiltré environ 859 Mo de données et réclamait une rançon de 2 millions de dollars.

Ce qui s'est passé

SHADOWBYT3$ a formulé sa revendication vers le 13 juin 2026, affirmant que les données TinyPulse dérobées comprenaient des noms d'employés, des adresses e-mail, des analyses et réponses aux enquêtes, ainsi que des rapports internes connexes. Le groupe a menacé de publier ces éléments à défaut de paiement de Nintendo. Les attaquants ont eux-mêmes précisé que l'incident ne touchait pas l'activité de jeu vidéo de Nintendo, décrivant son impact comme limité à « un petit nombre d'employés de Nintendo ayant utilisé TinyPulse ».

Nintendo of America a confirmé le vol de données d'enquêtes internes auprès du service tiers, tout en insistant sur le fait que ses propres systèmes n'avaient pas été compromis et qu'aucune donnée personnelle de client ni donnée financière n'avait été consultée. Les informations concernées se limitaient à du contenu d'enquêtes internes impliquant un petit sous-ensemble d'employés.

Pourquoi c'est important

Cet incident rappelle que le risque fournisseur est un risque de première partie : même lorsque les systèmes centraux d'une entreprise tiennent bon, des données sensibles d'employés confiées à une plateforme RH externe peuvent devenir un levier d'extorsion. Pour une marque aussi scrutée que Nintendo, une simple revendication de fuite par un attaquant génère une attention considérable, indépendamment de la portée relativement restreinte, et l'épisode souligne pourquoi les organisations doivent recenser les tiers qui détiennent les données de leurs effectifs et leur imposer les mêmes normes de sécurité et de réponse aux incidents qu'à leurs systèmes internes.