L’exploitant de Gin no Sara avertit que jusqu’à 6,5 millions d’enregistrements pourraient avoir été exposés après une attaque par rançongiciel

Les données des clients de trois enseignes de livraison potentiellement exposées

Ride On Express Holdings a annoncé le 13 octobre 2026 que les données personnelles de quelque 6,5 millions d’enregistrements créés sur les sites et applications officiels de Gin no Sara, Kamatora et Sushi Joto pourraient avoir été exposées à la suite d’une cyberattaque visant un serveur externe. Les données potentiellement concernées comprennent les adresses postales, les numéros de téléphone, les dates de naissance, les empreintes de mots de passe et l’historique des commandes.

L’entreprise n’a pas confirmé que les attaquants avaient récupéré ces données. Au moment de son annonce, les enquêteurs n’avaient trouvé aucun élément probant attestant d’une fuite et n’avaient pas déterminé si des données avaient été divulguées ni quel volume était concerné. Le chiffre de 6,5 millions correspond au nombre maximal d’enregistrements potentiellement touchés, et non à un décompte confirmé des enregistrements volés ou à un nombre établi de personnes distinctes.

Dans son troisième avis sur l’incident, Ride On Express Holdings a indiqué que l’exploitant du serveur lui avait signalé une attaque par rançongiciel, puis l’avait averti qu’il serait difficile de récupérer ou de restaurer les données qui lui avaient été confiées. Les commandes sur les sites et applications mobiles officiels des trois enseignes restaient suspendues, sans date de réouverture annoncée.

Dans son deuxième avis sur l’incident, publié le 13 octobre, l’entreprise a également révélé l’exposition potentielle des données, après un premier avis diffusé le 8 octobre. Elle a présenté ses excuses aux clients, aux partenaires commerciaux et aux autres personnes concernées, et déclaré avoir décidé d’avertir les clients potentiellement touchés bien que l’enquête n’ait établi ni l’existence d’une fuite ni son ampleur.

Cette révélation a élargi le périmètre d’un incident initialement présenté, le 7 octobre, comme une interruption de service. L’exposition potentielle pourrait également concerner des personnes qui ne détiennent pas de compte : les membres de la famille et les destinataires des livraisons, lorsque des clients ont saisi leurs données. Les informations de carte bancaire sont exclues, l’entreprise indiquant ne pas les conserver.

Déroulement de l’incident

La chronologie communiquée par l’entreprise commence avant l’interruption des systèmes de commande. Ride On Express Holdings a indiqué avoir détecté, à partir du 5 octobre, un accès non autorisé par un tiers à des serveurs qu’elle utilisait, puis avoir commencé à examiner le mode opératoire de l’attaque et l’étendue des dommages éventuels.

Une panne a touché certains serveurs tôt le 7 octobre. Après avoir été informée par l’exploitant du serveur d’une attaque par rançongiciel, Ride On Express Holdings a mis ses systèmes à l’arrêt et constitué une cellule de crise le jour même. Celle-ci a commencé à enquêter sur une éventuelle divulgation d’informations et à étudier des mesures pour éviter que les clients ne subissent d’autres préjudices.

• À partir du 5 octobre 2026 : un accès non autorisé a été détecté, déclenchant une enquête sur le mode opératoire de l’attaque et les dommages éventuels.
• 7 octobre : certains serveurs sont tombés en panne tôt le matin. L’exploitant a signalé un rançongiciel, Ride On Express Holdings a suspendu ses systèmes et une cellule de crise a été constituée.
• À partir du 8 octobre : les commandes par téléphone, à emporter en magasin et via Demae-can et Uber Eats étaient possibles. Les menus et la recherche de magasins sur les sites officiels fonctionnaient également.
• 13 octobre : l’entreprise a révélé que jusqu’à quelque 6,5 millions d’enregistrements pourraient être concernés, sans avoir établi l’existence d’une fuite ni son ampleur.

L’entreprise a précisé que la décision de publier l’avis du 13 octobre avait été prise après des discussions au sein de sa cellule de crise. Elle a choisi d’informer les clients potentiellement touchés alors que l’enquête n’était pas terminée, plutôt que d’attendre la confirmation d’un vol de données.

Quelles données pourraient être concernées ?

L’exposition potentielle concerne les personnes ayant déjà enregistré des données sur les sites ou applications officiels de l’une des trois enseignes. L’avis ne limite pas le risque aux commandes récentes ou aux clients actuellement actifs et ne précise pas la date à partir de laquelle les inscriptions sont concernées.

Les données énumérées comprennent les noms, adresses, numéros de téléphone, adresses électroniques, le sexe, les dates de naissance, les empreintes de mots de passe, l’historique des commandes et les identifiants de membre Deli Point. Deli Point est le programme de fidélité commun aux trois enseignes.

Lorsque des clients ont renseigné les noms et dates de naissance de membres de leur famille, ces données pourraient également être concernées. Les noms, adresses et numéros de téléphone saisis pour les lieux de livraison pourraient aussi être inclus. L’exposition potentielle s’étend donc aux personnes dont les données ont été saisies par le titulaire d’un compte, même si elles n’ont pas elles-mêmes créé de compte.

Les clients ayant commandé uniquement via Demae-can, Uber Eats ou par téléphone ne sont pas concernés selon le périmètre indiqué. Le terme uniquement est important : l’utilisation de l’un de ces canaux n’exclut pas les personnes qui ont aussi enregistré des données sur un site ou une application officielle par le passé.

Ce que signifie l’avertissement sur les mots de passe

Ride On Express Holdings cite les empreintes de mots de passe parmi les données potentiellement concernées. L’entreprise précise que ces données sont chiffrées et illisibles dans leur forme enregistrée. Une empreinte de mot de passe est une représentation transformée d’un mot de passe, et non le mot de passe écrit en clair.

La formulation exacte du deuxième avis sur l’incident est la suivante : « パスワードは暗号化されており、そのままでは読み取りできない情報です。 » En français : « Les mots de passe sont chiffrés et ne peuvent pas être lus tels quels. »

Cette distinction réduit l’utilité immédiate d’une valeur enregistrée pour un attaquant, mais ne permet pas d’affirmer que tous les mots de passe sont sécurisés. Selon la méthode de hachage et le mot de passe lui-même, les attaquants peuvent tenter de trouver une correspondance en testant différentes combinaisons. L’avis ne précise ni la méthode de hachage ni les autres protections techniques : il ne permet donc pas d’évaluer précisément la résistance de ces valeurs à de telles tentatives.

L’exclusion des données de carte bancaire est un point distinct. L’entreprise affirme ne pas conserver ces données ; elles ne sont donc pas concernées par cette exposition potentielle. Cela n’écarte pas les risques liés aux coordonnées, aux adresses de livraison ou à l’historique des commandes, qui pourraient rendre des messages frauduleux plus crédibles.

Les services encore accessibles aux clients

L’interruption de service ne signifie pas que toutes les commandes sont à l’arrêt. Ride On Express Holdings a indiqué qu’à partir du 8 octobre, les clients pouvaient commander par téléphone, retirer des commandes à emporter en magasin ou passer par Demae-can et Uber Eats.

Les menus et la recherche de magasins sur les sites officiels fonctionnaient également. Ces fonctions permettent aux clients de consulter les produits et de trouver des points de vente, même si les fonctions de commande des sites restaient suspendues.

Les commandes via les applications mobiles officielles étaient également indisponibles. Dans son avis du 13 octobre, l’entreprise indiquait ne pas être en mesure de prévoir la reprise de ces deux canaux de commande officiels et qu’elle communiquerait toute évolution dès que possible. Concrètement, il était possible de consulter un menu ou de trouver un magasin, mais pour passer commande, il fallait utiliser l’un des canaux encore opérationnels.

Mises en garde et numéro dédié

Ride On Express Holdings a déclaré n’avoir constaté aucun préjudice secondaire lié à une utilisation abusive des données personnelles. Elle a néanmoins appelé les clients à se méfier des appels téléphoniques et des courriels suspects, notamment des messages demandant un mot de passe ou présentant un objet inhabituel ou un contenu inattendu.

L’entreprise recommande de ne pas répondre aux courriels suspects, de ne pas cliquer sur leurs liens et de les supprimer. Cet avertissement porte sur une conséquence possible de l’exposition des données ; il ne signifie pas qu’une campagne de messages frauduleux en particulier ait déjà été liée à cet incident.

L’entreprise a mis en place une ligne d’information dédiée aux clients, au 0120-782-272. Les horaires publiés sont de 10 h à 20 h tous les jours jusqu’au 15 novembre, puis de 10 h à 20 h en semaine à partir du 16 novembre.

Le deuxième avis sur l’incident indique un autre contact pour les demandes adressées à l’entreprise : Kazumasa Watanabe (渡邊一正), directeur et vice-président exécutif, au 03-5444-3625. Il s’agit d’un numéro distinct de la ligne d’information destinée aux clients.

Ride On Express Holdings a également déclaré qu’elle présenterait ses excuses et transmettrait des consignes aux clients potentiellement concernés par étapes. Elle n’a pas précisé la date à laquelle ces notifications seraient terminées. Les personnes qui souhaitent savoir si leur inscription passée entre dans le périmètre de l’avertissement peuvent appeler le numéro dédié.

Une panne distincte dans le cloud a touché 495 organisations

Un incident lié à un rançongiciel a touché, à la même période, le service IDCF Cloud d’IDC Frontier. IDC Frontier, filiale de SoftBank, exploite cette plateforme. La panne a affecté 495 entreprises et organisations, illustrant comment un incident touchant un service cloud partagé peut interrompre de nombreuses activités autrement indépendantes.

Certains serveurs virtuels d’une partie de la région 1 de l’est du Japon de la plateforme ont cessé de fonctionner vers 3 h 40 le 7 octobre. Les serveurs virtuels sont des environnements informatiques qui fonctionnent sur une infrastructure physique partagée. IDC Frontier a indiqué qu’il serait difficile de récupérer ou de restaurer les données stockées dans la zone touchée.

IDC Frontier a confirmé avoir détecté une attaque menée par un tiers et précisé qu’il s’agissait d’une attaque par rançongiciel. La région 1 de l’est du Japon concernée se trouve à Shirakawa, dans la préfecture de Fukushima. L’entreprise a déclaré que l’impact constaté à ce stade était limité à cette région et qu’elle vérifiait également la sécurité des autres zones.

La panne a eu des répercussions au-delà des sites web. Une filiale logistique du producteur alimentaire Nissui a déclaré qu’elle ne pouvait ni réceptionner ni expédier de marchandises dans ses 17 centres de distribution répartis au Japon. Des sites web destinés aux collectivités locales et à la préfecture de police d’Ibaraki étaient également inaccessibles.

IDC Frontier a indiqué avoir mis le système touché à l’arrêt afin d’éviter d’autres dégâts et vérifier si des données avaient été divulguées. Toutefois, Ride On Express Holdings n’a pas identifié l’exploitant de son serveur. La proximité des dates et les avertissements sur les difficultés de récupération des données ne permettent pas d’établir que l’incident de l’entreprise de restauration a eu lieu sur IDCF Cloud.

Faits établis et questions en suspens

Dans le récit de Ride On Express Holdings, les faits établis sont la détection d’accès non autorisés, les pannes de serveurs, le signalement d’une attaque par rançongiciel par l’exploitant, la suspension des systèmes et les difficultés à récupérer ou restaurer les données stockées. La question de savoir si des données personnelles ont effectivement été divulguées reste en suspens.

La perte d’accès aux données et leur vol sont deux situations distinctes. Un rançongiciel peut empêcher les utilisateurs légitimes d’accéder à des fichiers ou à des systèmes ; une fuite implique que des données parviennent à un tiers non autorisé. La preuve de l’un ne suffit pas, à elle seule, à établir l’autre. C’est pourquoi l’entreprise peut faire état d’une grave interruption de service tout en considérant que les 6,5 millions d’enregistrements ont été potentiellement exposés.

L’entreprise a indiqué avoir signalé l’incident à la Commission japonaise de protection des informations personnelles et au commissariat compétent. Elle s’est également engagée à renforcer ses dispositifs de sécurité de l’information, sans toutefois préciser de changements techniques, de date de clôture de l’enquête ni de calendrier de rétablissement.

Dans son deuxième avis sur l’incident, l’entreprise a indiqué que sa cellule de crise travaillait à rétablir les systèmes et prenait des mesures pour limiter les perturbations de ses activités. Elle a également précisé qu’elle orientait les clients vers les canaux de commande disponibles et estimait que le retour à la normale et au fonctionnement habituel des services prendrait encore du temps. Aucune mesure technique de sécurité précise n’a été détaillée.

Les questions en suspens sont donc concrètes : des données ont-elles quitté l’environnement touché, quels enregistrements étaient concernés, les données peuvent-elles être récupérées et quand les commandes officielles reprendront-elles ? L’avis indique les dates de modification des horaires de la ligne d’information, mais ne fixe aucune échéance pour résoudre ces questions.

À retenir

• Jusqu’à quelque 6,5 millions d’enregistrements effectués sur les sites et applications de Gin no Sara, Kamatora et Sushi Joto pourraient être concernés.
• Au 13 octobre 2026, aucun élément probant attestant d’une fuite n’avait été trouvé ; son existence et son ampleur n’étaient pas confirmées.
• Les données potentiellement concernées comprennent les coordonnées, les dates de naissance, les empreintes de mots de passe, l’historique des commandes ainsi que certaines informations sur les membres de la famille et les destinataires des livraisons.
• Les données de carte bancaire sont exclues. Les clients ayant commandé uniquement par téléphone, via Demae-can ou Uber Eats ne sont pas concernés selon le périmètre indiqué.
• Les commandes sur les sites et applications officiels restaient suspendues ; les commandes par téléphone, à emporter en magasin et via les plateformes de livraison externes étaient possibles.
• La ligne d’information destinée aux clients est joignable au 0120-782-272, de 10 h à 20 h selon les horaires publiés.
• Un incident distinct touchant le cloud d’IDC Frontier a affecté 495 organisations, mais Ride On Express Holdings n’a pas nommé l’exploitant de son serveur.