Illustration de l’idée de l’article : deux avis de violation de données lus avec la même liste de questions. Image conceptuelle. Les logos servent à identifier les entreprises, et l’image n’affirme rien de plus que l’article.
Deux avis de violation de données la même semaine, l’un d’un éditeur de jeux vidéo, l’autre d’une banque. Les six mêmes questions montrent ce que chacun confirme, ce qu’il ne confirme pas et ce que vous devez faire.
Le chiffre du titre est rarement celui qui compte
Un avis de violation de données vous dit ce que l’entreprise a confirmé jusqu’ici, dans les mots choisis par ses juristes, et ses silences font partie du message.
La semaine du 19 octobre 2026, deux organisations ont annoncé que des données de clients avaient été dérobées. Capcom, l’éditeur japonais de jeux vidéo, a signalé un accès non autorisé à son système de comptes CAPCOM ID. La State Bank of India (SBI) a indiqué à ses bourses de cotation, dans une déclaration du 21 octobre, avoir subi « un incident impliquant la perte de certaines données ».
Cet article s’adresse à toute personne qui reçoit un e-mail de notification de violation, qui aide ceux qui en reçoivent, ou qui devra un jour en rédiger un. Il s’appuie sur ces deux avis pour présenter six questions applicables à n’importe quel avis. Il ne raconte pas l’histoire d’une attaque, car aucune des deux organisations n’a dit comment l’attaque s’est déroulée.
Question 1 : qu’est-ce qui est compté ?
Selon Capcom, 11 774 247 enregistrements dans le monde ont vu leurs adresses e-mail et certains identifiants système exposés. Certains titres de presse en ont fait 11,7 millions de comptes.
Un enregistrement est une ligne de données, par exemple un compte. Ce n’est pas toujours une personne, car une même personne peut détenir plusieurs comptes. Les chiffres sont proches, mais ils ne désignent pas la même chose.
Le cas de SBI montre le même problème sous une autre forme. Sa déclaration indique qu’une analyse préliminaire d’environ 375 000 enregistrements disponibles sur le dark web a permis de trouver 3897 enregistrements de clients contenant des informations personnelles.
Les 375 000 correspondent à peu près au volume annoncé par un vendeur criminel. Les 3897 sont ce que la banque dit avoir identifié jusqu’ici. Ces chiffres répondent à des questions différentes, et aucun ne vous dit combien de personnes sont touchées.
Question 2 : quels champs ont été dérobés ?
La liste des champs vous indique le risque : lisez-la lentement. Capcom cite les adresses e-mail, la date de création du compte, la date de la dernière connexion, le nombre de connexions et l’adresse réseau utilisée lors de la dernière connexion. Pour 43 enregistrements, elle cite aussi la date de naissance, le genre, le pays ou la région, et le pseudonyme. Capcom précise que les informations de carte bancaire ne sont pas concernées.
La déclaration de SBI indique que les informations exposées « auraient inclus » les noms, les numéros de mobile enregistrés, les dates de naissance, le genre, les adresses e-mail et postales, les identifiants d’agence et de client (CIF), des identifiants de prospects (lead IDs) et des métadonnées sur les dossiers de prêts et de prospects. Elle ne cite ni numéros de compte, ni soldes, ni mots de passe, ni données de carte. Cette absence est rassurante, mais un nom, un numéro de téléphone et un détail de prêt suffisent largement pour un appel téléphonique convaincant. Capcom avertit d’ailleurs elle-même que les données pourraient servir à des e-mails d’hameçonnage se faisant passer pour Capcom.
Question 3 : les données ont-elles été lues, modifiées, ou les deux ?
Capcom indique que les mots de passe de 196 comptes ont été modifiés sans autorisation et qu’elle les a réinitialisés. Elle affirme n’avoir confirmé aucune fuite des mots de passe définis par les clients. Ce sont deux faits distincts, et l’avis les garde séparés.
Selon notre lecture, modifier un mot de passe signifie que l’intrus pouvait écrire dans le système de comptes, et pas seulement le lire. Capcom ne le dit pas. C’est une déduction tirée du fait, et une bonne raison de se demander ce que cet accès permettait d’autre.
Question 4 : quand l’intrusion a-t-elle commencé et quand a-t-elle été découverte ?
Les avis donnent généralement une date de détection et restent silencieux sur le début. Capcom dit avoir repéré une activité suspecte le 19 octobre, constitué une équipe de réponse le 20 octobre, prévenu la police et l’autorité japonaise de protection des données le 21 octobre, et publié sa déclaration le 22 octobre. Elle ne dit pas quand les attaquants sont entrés pour la première fois.
La chronologie de SBI est moins détaillée et d’une autre nature. Selon sa déclaration, la banque a reçu le 16 octobre des alertes de trois émetteurs, son fournisseur de renseignement sur les menaces, la Defence Cyber Agency et le CERT-In, concernant l’exposition présumée de données de clients sur le dark web, et elle a publié sa déclaration le 21 octobre. Le moment où les données ont quitté la banque, si elles l’ont quittée, n’est pas précisé. Le temps qui s’écoule entre la fuite, la première alerte et l’avis est un temps pendant lequel les données peuvent être exploitées de manière abusive.
Question 5 : que dit-on de la cause ?
Aucune des deux organisations n’a révélé comment l’intrus est entré. Capcom dit avoir identifié la méthode d’attaque et y avoir répondu, mais ne la décrit pas. SBI n’a avancé aucune cause, et sa déclaration ne dit pas si les données provenaient de la banque, d’un prestataire ou d’un tiers. C’est normal au début d’une enquête.
Cela signifie aussi que tout article qui nomme une cause fait une supposition.
La déclaration de SBI parle elle-même d’une « exposition présumée » et d’une « compromission alléguée », et indique qu’une enquête approfondie était nécessaire pour établir si les données sont authentiques et complètes.
Méfiez-vous tout particulièrement des affirmations des criminels eux-mêmes. Un vendeur affirme détenir d’autres documents provenant de SBI. Personne ne l’a confirmé, nous n’en reprenons donc pas les détails. Faire de la publicité pour une violation fait partie de la manière dont ces vendeurs gagnent de l’argent.
Question 6 : à qui l’avis s’adresse-t-il, et que vous demande-t-il de faire ?
La déclaration de Capcom s’adresse aux clients. Elle indique que les personnes concernées seront contactées individuellement, par étapes, elle liste les canaux d’assistance par région, et elle demande de ne pas ouvrir les liens ni les pièces jointes des messages inattendus.
La déclaration de SBI s’adresse aux investisseurs et aux régulateurs. Elle indique que l’incident n’a aucun impact significatif sur les activités principales de la banque, ses résultats financiers ou la continuité de ses activités, et que la banque a fait appel à une agence de cybersécurité indépendante agréée par le CERT-In, l’équipe nationale indienne de réponse aux urgences informatiques.
La déclaration ne dit pas si les clients concernés ont été ou seront informés. L’Internet Freedom Foundation, une organisation de défense des droits, estime qu’il s’agit d’une lacune. La banque a peut-être communiqué par d’autres canaux.
Les six questions côte à côte
| Question | Capcom | SBI |
|---|---|---|
| Qu’est-ce qui est compté ? | 11 774 247 enregistrements. Les personnes ne sont pas comptées. | Environ 375 000 enregistrements sur le dark web, selon la déclaration (le volume annoncé par un vendeur). 3897 qui, selon la banque, contiennent des données personnelles. |
| Quels champs ? | E-mail, dates du compte, nombre de connexions, adresse de la dernière connexion. Date de naissance, genre, pays, pseudonyme pour 43 enregistrements. | Nom, numéro de mobile, date de naissance, genre, e-mail, adresse, identifiants de client (CIF) et d’agence, identifiants de prospects, métadonnées de prêts et de prospects. |
| Lues ou modifiées ? | Lues, et mots de passe modifiés sur 196 comptes. | Présenté comme une perte de données. Rien de plus n’est précisé. |
| Début et détection ? | Détection le 19 octobre. Début non précisé. | Alertes le 16 octobre. Déclaration le 21 octobre. Début non précisé. |
| Cause ? | Méthode identifiée, non révélée. | Non révélée. |
| Pour qui ? | Les clients, avec des canaux d’assistance et un contact par étapes. | Les investisseurs et les régulateurs. Le plan de contact des clients n’est pas précisé dans la déclaration. |
Que faire si vous êtes client
Les conseils sont les mêmes dans les deux cas, et ils n’ont rien d’exotique. Partez du principe qu’un message qui utilise vos vraies informations peut être un piège. Ne cliquez pas sur les liens et n’ouvrez pas les pièces jointes des messages inattendus, même s’ils mentionnent correctement votre compte. Rendez-vous sur le site ou l’application officiels de l’entreprise en saisissant vous-même l’adresse, et utilisez les canaux de contact que l’entreprise a publiés.
Si vous utilisez le même mot de passe sur d’autres sites, changez-le. Lorsqu’un site propose une clé d’accès (passkey) ou une application d’authentification, activez-la. Si vous avez un compte auprès de l’une de ces organisations, guettez les contacts officiels de sa part et traitez tout le reste avec méfiance.
Que faire si vous dirigez une équipe
Utilisez les six questions comme liste de contrôle pour votre propre avis d’incident. Comptez les personnes autant que les enregistrements, et précisez de quoi vous parlez.
Listez les champs en termes simples, et nommez chacun d’eux, y compris les adresses réseau. Dites ce que vous ne savez pas, et dites quand vous ferez une mise à jour. Rédigez une version pour les clients, pas seulement pour les juristes et les régulateurs.
Jusqu’où approfondir le sujet ?
Connaître : Tout le monde devrait savoir qu’un chiffre de titre et une liste de champs répondent à des questions différentes, et que « aucune preuve de » est plus faible que « cela ne s’est pas produit ». Lisez la liste des champs avant de lire les propos rassurants.
Appliquer : Les équipes de support, de helpdesk et de sécurité devraient savoir lire un avis, l’expliquer à un client et distinguer les faits confirmés, les affirmations de l’entreprise et celles des criminels.
Maîtriser : Les responsables d’incident et les responsables de la communication devraient concevoir les avis avant d’en avoir besoin. Cela signifie s’accorder sur qui compte quoi, comment les champs sont décrits, comment les mises à jour sont publiées et comment les clients sont informés.
Ce que vous pouvez ignorer pour l’instant
Vous n’avez pas besoin de suivre les noms des groupes ou des forums qu’utilisent les vendeurs. Ils changent chaque mois, et les traquer ajoute du risque pour peu de compréhension. Lisez l’avis, pas l’annonce du vendeur.
Une prochaine étape concrète
Retrouvez le dernier avis de violation de données que vous avez reçu, ou ouvrez la déclaration de Capcom, et répondez aux six questions avec vos propres mots. Notez ce que l’avis ne dit pas. Cette liste vous indique ce qu’il faudra surveiller ensuite.
Pour aller plus loin
- Capcom : déclaration sur l’accès non autorisé à CAPCOM ID, 22 octobre 2026, pour les chiffres, les dates et les canaux d’assistance.
- Capcom : traduction anglaise de la déclaration, pour les lecteurs qui ne lisent pas le japonais.
- BleepingComputer sur la violation de données chez Capcom, pour un résumé de la déclaration.
- SBI : déclaration à la BSE et à la NSE, Incident involving Data Loss, 21 octobre 2026, pour les propres mots de la banque.
- The Hacker News sur la fuite de données de SBI, pour le contenu rapporté de la déclaration.
- CyberPeace sur la fuite de SBI, pour ce que l’on sait et ce que l’on ignore.
- L’Internet Freedom Foundation sur la déclaration de SBI, pour la critique, par une organisation de défense des droits, de ce que la déclaration passe sous silence.
- À lire aussi sur ce site : Les attaques par hameçonnage (en anglais) et Les attaques d’ingénierie sociale (en anglais).
Les faits de cet article ont été vérifiés le 26 octobre 2026. Les deux enquêtes sont en cours, les chiffres peuvent donc évoluer. Les informations sur SBI proviennent de sa déclaration du 21 octobre 2026 aux bourses et des articles qui en ont rendu compte.