La plateforme de streaming anime Crunchyroll a confirmé être en train d'enquêter sur une possible violation de données, après qu'un acteur malveillant ait affirmé avoir volé les informations personnelles d'environ 6,8 millions d'utilisateurs.
Déroulement de l'attaque
Selon l'attaquant, la violation a eu lieu le 12 mars après qu'il ait utilisé un logiciel malveillant pour dérober les identifiants d'un agent d'assistance employé par Telus International, une entreprise BPO gérant le support client de Crunchyroll. En utilisant le compte Okta SSO de l'agent, l'attaquant a accédé à plusieurs plateformes internes dont Zendesk, Google Workspace, Slack et Mixpanel.
Données exposées
Les attaquants ont téléchargé environ 8 millions de tickets d'assistance depuis l'instance Zendesk de Crunchyroll. Parmi ces enregistrements, on recense environ 6,8 millions d'adresses e-mail uniques. Les données exposées comprennent les noms, identifiants, adresses e-mail, adresses IP, localisations géographiques approximatives et le contenu des tickets d'assistance.
Sur les données bancaires
Certains médias ont évoqué un vol de données bancaires. En réalité, des informations de carte ne sont présentes que dans les rares tickets où des utilisateurs les avaient eux-mêmes insérées. La grande majorité de ces cas ne concerne que des informations partielles (quatre derniers chiffres ou date d'expiration). Selon l'attaquant, très peu de tickets contenaient un numéro de carte complet.
Demande d'extorsion et réponse de Crunchyroll
L'attaquant affirme avoir envoyé des e-mails à Crunchyroll exigeant 5 millions de dollars pour ne pas divulguer publiquement les données volées. Crunchyroll n'a pas répondu à cette demande. La société a indiqué travailler avec des experts en cybersécurité pour élucider l'incident. La fenêtre d'accès de l'attaquant a duré environ 24 heures, limitant les données volées aux enregistrements antérieurs à mi-2025.
Pourquoi les entreprises BPO sont une cible privilégiée
Les entreprises BPO sont devenues un vecteur d'attaque croissant contre de grandes organisations. En compromettant un seul employé BPO, les attaquants peuvent potentiellement accéder aux données de plusieurs sociétés clientes simultanément. Des incidents récents ont montré des attaquants utilisant l'ingénierie sociale, la corruption d'informateurs ou des logiciels malveillants pour compromettre des comptes BPO — menant à des vols de données ou des attaques par rançongiciel. Cet incident est distinct d'une précédente violation signalée chez Telus Digital.
