Faccloud Holdings signale 77 millions d'adresses e-mail exposées via Arara Message
Le service d'envoi d'e-mails japonais reste entièrement suspendu et les entreprises sous contrat concernées pourraient atteindre environ 380, selon la société mère.
Faccloud Holdings, société mère du service japonais d'envoi d'e-mails professionnels Arara Message, a indiqué le 2 novembre 2026 dans un second avis officiel qu'environ 77 millions d'adresses e-mail avaient été divulguées ou potentiellement divulguées, contre un chiffre initial d'environ 3,01 millions, rapporte dailysecu.com.
La société a confirmé une exfiltration de données sur 97 serveurs liés à des entreprises sous contrat, le nombre de sociétés touchées étant estimé jusqu'à environ 380. Les données concernées comprennent les adresses e-mail, noms, sexes, dates de naissance, numéros de téléphone, numéros de membre, adresses et historiques de livraison enregistrés par ces entreprises. Arara précise qu'elle ne conserve pas de numéros de carte bancaire dans le cadre du service.
Pour l'environnement partagé précédemment évoqué, avec environ 3,01 millions d'adresses concernées, 3 386 187 adresses e-mail uniques et jusqu'à 411 827 données clients enregistrées par cinq entreprises sous contrat ont été confirmées comme exfiltrées.
Attaques et mise à l'arrêt du service
Les attaquants ont utilisé deux environnements pour envoyer jusqu'à environ 7,13 millions d'e-mails suspects usurpant l'identité d'une société de cartes de crédit entre le 28 et le 30 octobre. Arara a invalidé les identifiants détournés et bloqué les communications serveur le 31 octobre, achevant l'arrêt complet du service à 19 h 53 ce jour-là.
La date de redémarrage du service n'est pas fixée : l'entreprise tranchera après avoir enquêté sur la voie d'intrusion et vérifié la sûreté du système. Un troisième avis, avec l'ampleur et le périmètre exacts de la fuite, est prévu à l'issue de l'enquête.
En bref
Quand le service Arara Message redémarrera-t-il ?
Aucune date n'est fixée. La société décidera après avoir enquêté sur la voie d'intrusion et vérifié la sûreté du système.
Quelles données ont été divulguées ?
Des adresses e-mail, noms, sexes, dates de naissance, numéros de téléphone, numéros de membre, adresses et historiques de livraison enregistrés par les entreprises sous contrat. Arara indique ne pas conserver de numéros de carte bancaire.
Combien d'entreprises sous contrat sont concernées ?
Le nombre de sociétés touchées est estimé jusqu'à environ 380, selon le second avis officiel de Faccloud Holdings.