Le détaillant japonais de meubles et d’articles pour la maison Nitori a révélé un incident majeur de cybersécurité qui aurait pu exposer jusqu’à 37,62 millions de dossiers clients. L’entreprise a découvert un accès non autorisé à l’un de ses systèmes le 6 novembre 2026, mais les enquêteurs pensent que l’intrusion a peut-être commencé plusieurs semaines plus tôt.
Nitori Holdings a annoncé l’incident le 9 novembre, avertissant que des informations personnelles appartenant à des clients individuels, des membres du siège et des acheteurs en ligne auraient pu être consultés par un tiers non autorisé. La société n’a pas confirmé que tous les dossiers potentiellement affectés ont été volés, et l’ampleur finale de cette exposition reste en cours d’enquête.
Le détaillant exploite un vaste réseau de magasins à travers le Japon et d’autres marchés asiatiques. Nitori compte 879 magasins au Japon et 219 autres points de vente en Chine, en Corée du Sud, à Taïwan, en Thaïlande, à Singapour et à Hong Kong.
Les informations potentiellement compromises incluent les noms des clients, les numéros de membre, les adresses e-mail, les adresses résidentielles, les numéros de téléphone, les dates de naissance et le sexe. Pour les clients d’entreprise, les dossiers concernés peuvent également contenir des noms d’entreprise, des informations départementales, des adresses commerciales et des coordonnées de représentants de l’entreprise.
Les informations associées aux achats effectués via Nitori Net et les boutiques officielles de l’entreprise sur des places de marché en ligne tierces ont également pu être exposées. La combinaison spécifique d’informations personnelles varie selon les clients.
Nitori a souligné que les mots de passe des comptes et les informations de carte bancaire n’étaient pas inclus dans les données potentiellement compromises. La société n’a pas signalé de transactions de paiement non autorisées résultant de l’incident.
Les enquêteurs ont identifié des signes d’activités suspectes remontant à la mi-fin octobre, ce qui suggère que les attaquants ont pu accéder à l’environnement affecté avant la détection de la brèche le 6 novembre. Cependant, l’entreprise n’a pas établi la date précise de l’intrusion initiale ni expliqué comment les attaquants sont entrés dans ses systèmes.
Après avoir découvert cet accès non autorisé, Nitori a bloqué les attaquants présumés et a commencé à enquêter sur l’infrastructure affectée avec l’aide de spécialistes externes de la cybersécurité. L’entreprise a également traité les vulnérabilités identifiées et renforcé ses systèmes de surveillance.
L’enquête comprend la relecture des journaux système et la comparaison des dossiers afin de déterminer la quantité d’informations accessibles et si les attaquants ont obtenu des copies des données. Nitori a reconnu que le nombre estimé de dossiers affectés pourrait évoluer au fur et à mesure de l’avancement de l’enquête.
Le détaillant a signalé l’incident à la Commission japonaise de protection des informations personnelles et a consulté la police ainsi que d’autres autorités compétentes. Il se prépare également à contacter les clients concernés individuellement par e-mail ou notifications postales.
Nitori a averti que les informations de contact exposées pourraient être exploitées dans des courriels de phishing, des tentatives d’ususurisation d’identité et des appels téléphoniques frauduleux. Les criminels pourraient potentiellement utiliser des informations clients authentiques ou des achats antérieurs pour rendre les communications trompeuses plus crédibles.
L’entreprise a précisé qu’elle ne demande pas de mots de passe, de numéros de carte bancaire ou de numéros d’identification personnels par e-mails ou appels téléphoniques non sollicités.