Telco giant KDDI says data breach affects over 12 million people

Fuite de données massive chez KDDI : 12 millions d’utilisateurs impactés

Le géant japonais des télécommunications KDDI a été victime d’une intrusion sur une plateforme de messagerie partagée par cinq fournisseurs d’accès internet (ISP). L’attaque a compromis les données personnelles de plus de 12 millions de clients actuels, anciens ou inactifs.

Points clés

• Étendue de l’incident : 12 233 087 adresses e-mail exposées et 7 616 173 mots de passe compromis.
• Chronologie : L’intrusion a eu lieu le 16 mai 2026 via un logiciel tiers ; elle a été découverte et stoppée par KDDI le 17 juin 2026.
• Sécurisation : Les mots de passe étaient stockés de manière hétérogène (chiffrés, hachés ou potentiellement en clair), rendant le risque d’usurpation variable selon les comptes.

Vulnérabilités

• Exploitation de type Zero-Day : L’intrusion a été rendue possible par l’exploitation d’une faille inconnue (Zero-Day) dans un logiciel tiers. Aucune référence CVE n’est disponible à ce jour, le fournisseur du logiciel travaillant encore à la divulgation publique de la vulnérabilité.

Recommandations et mesures prises

• Réinitialisation forcée : KDDI impose le changement des mots de passe pour tous les comptes affectés, en priorité pour les utilisateurs inactifs.
• Renforcement de la détection : Déploiement d’outils EDR (Endpoint Detection and Response) pour identifier précocement toute tentative d’intrusion future.
• Audit de sécurité : Réalisation d’un audit forensique complet pour confirmer la remédiation de la faille et l’absence d’autres vulnérabilités sur les systèmes.
• Conformité : Notification des autorités japonaises compétentes (Commission de protection des informations personnelles et Ministère des Affaires intérieures).

Source