Good Smile Company, fabricant japonais des célèbres figurines Nendoroid et figma, a confirmé une fuite de données après un accès non autorisé à sa boutique en ligne. Des informations personnelles, des historiques de commandes et certaines données bancaires partielles ont pu être consultés par un tiers. Pour les collectionneurs, notamment ceux qui suivent les nouvelles figurines Dragon Ball Z, cet incident soulève des questions importantes sur la sécurité des achats et des précommandes. Good Smile Company précise toutefois que les numéros complets des cartes bancaires et leurs codes de sécurité ne figurent pas parmi les informations concernées.
L'entreprise a publié un premier communiqué le 23 octobre 2026, complété le 26 octobre. L'incident concerne Good Smile Company Online Store, et non l'ensemble des boutiques régionales du fabricant. Quelles données ont pu être exposées ? PayPal et Amazon Pay sont-ils concernés ? Les précommandes restent-elles valables ? Voici les informations confirmées et les précautions recommandées.
Fuite de données Good Smile Company : que s'est-il passé ?
Un tiers non autorisé a consulté à plusieurs reprises des informations présentes dans le système d'administration de Good Smile Company Online Store entre le 19 octobre 2026, peu après 15 heures, et le 22 octobre, vers 22 heures, heure japonaise.
L'entreprise a été alertée le 23 octobre, peu après 6 heures, par le prestataire chargé du développement et de la maintenance de sa boutique. Elle a immédiatement fermé le site concerné et engagé des investigations.
Ces informations figurent dans le communiqué officiel de Good Smile Company, actualisé le 26 octobre 2026.
Selon la société, une vulnérabilité de son système aurait permis l'intrusion. Good Smile Company affirme avoir corrigé la faiblesse identifiée comme cause probable et renforcé ses protections, mais l'enquête se poursuit. Elle précise que cet incident n'a pas été causé par la vulnérabilité PHP récemment signalée, traitée séparément pendant une maintenance effectuée les 21 et 22 octobre.
Au 29 octobre 2026, les informations officielles disponibles ne permettent pas d'établir le nombre définitif de clients concernés ni de communiquer une date précise de réouverture de la boutique.
Quelles données personnelles ont pu être exposées ?
Good Smile Company distingue plusieurs catégories d'informations susceptibles d'avoir été consultées. Il est important de différencier les données potentiellement exposées de celles que le fabricant indique ne pas avoir été incluses dans l'accès non autorisé.
Noms, adresses et coordonnées des clients
Les informations personnelles potentiellement concernées comprennent :
- Le nom et sa transcription phonétique.
- Le genre renseigné dans le profil.
- L'adresse postale.
- Le numéro de téléphone.
- L'adresse e-mail.
Ces renseignements peuvent être utilisés pour préparer des tentatives d'hameçonnage crédibles. Un faux service client connaissant votre adresse ou votre numéro de téléphone pourrait, par exemple, vous envoyer une notification frauduleuse concernant une livraison ou une précommande.
Historique des commandes et informations de livraison
L'intrusion a également pu concerner des informations commerciales enregistrées dans la boutique :
- La date des commandes et les produits achetés.
- Les quantités et les montants des achats.
- L'adresse de livraison.
- Le nom et le téléphone du destinataire lorsqu'ils ont été enregistrés séparément.
- La méthode de paiement utilisée.
- Le statut du paiement, effectué ou non.
Pour un collectionneur ayant précommandé une Nendoroid ou une figma, le risque concret est de recevoir un message frauduleux mentionnant une commande réelle. La connaissance du produit acheté, du montant et du statut de paiement peut rendre une tentative d'escroquerie particulièrement convaincante.
Cartes bancaires : quelles informations ont réellement fuité ?
La question des données bancaires est particulièrement sensible. Good Smile Company identifie précisément trois informations de carte susceptibles d'avoir été consultées :
- La marque de la carte bancaire.
- Les quatre derniers chiffres du numéro de carte.
- La date d'expiration.
Les numéros complets et les codes CVV sont-ils concernés ?
Non, selon le communiqué officiel. Good Smile Company indique explicitement que les informations concernées ne comprennent pas :
- Le numéro complet de la carte bancaire.
- Les autres chiffres du numéro, en dehors des quatre derniers.
- Le nom du titulaire de la carte.
- Le code de sécurité CVV ou CVC.
Il serait donc incorrect d'affirmer que des numéros complets de cartes bancaires ont été dérobés. Les données partielles peuvent néanmoins être utilisées pour crédibiliser une tentative d'usurpation d'identité ou de fraude par hameçonnage.
La distinction est importante : connaître les quatre derniers chiffres et la date d'expiration d'une carte ne revient pas à disposer de toutes les informations nécessaires pour réaliser un paiement. Cela ne dispense cependant pas de surveiller ses transactions et les communications suspectes.
PayPal, Amazon Pay et boutiques européennes : quels services sont épargnés ?
Dans sa mise à jour du 26 octobre, Good Smile Company apporte des précisions sur les moyens de paiement et les plateformes utilisant des systèmes distincts.
Les informations bancaires PayPal et Amazon Pay
Les informations de carte bancaire associées aux achats réalisés avec PayPal ou Amazon Pay n'étaient pas stockées sur les serveurs concernés. Le fabricant indique donc qu'elles ne pouvaient pas être consultées à travers cet accès non autorisé.
Cette précision concerne les informations bancaires gérées par ces services. Elle ne signifie pas nécessairement que les coordonnées personnelles et les historiques de commandes enregistrés dans la boutique Good Smile Company étaient protégés.
Good Smile Company Europe, US et UK sont-ils concernés ?
Le fabricant annonce que les services suivants ne sont pas affectés par cet incident :
- Good Smile Company US.
- Good Smile Company Europe Online Shop.
- Good Smile Company Europe.
- Good Smile Company UK.
- Nendoroid Face Maker.
- La boutique GOOD SMILE STORE sur Rakuten Ichiba.
Cette distinction est essentielle pour les collectionneurs européens. Posséder une figurine Good Smile Company ou avoir acheté sur une boutique régionale ne signifie pas automatiquement que ses informations ont été exposées.
La première vérification consiste donc à identifier précisément le service utilisé pour effectuer ses achats ou précommandes.
Que faire après la fuite de données Good Smile Company ?
La priorité est de consulter directement les communications officielles et de se méfier des messages inattendus concernant une commande. Good Smile Company met notamment en garde contre les tentatives de fraude utilisant les informations personnelles de ses clients.
- Identifiez la boutique utilisée : vérifiez si votre compte et vos achats concernent Good Smile Company Online Store ou une boutique régionale indépendante.
- Surveillez les e-mails et les SMS suspects : méfiez-vous des messages mentionnant une véritable commande et exigeant un paiement urgent, une confirmation de livraison ou une vérification bancaire.
- Contrôlez vos opérations bancaires : consultez régulièrement vos transactions et contactez votre établissement bancaire en cas de mouvement suspect.
- Sécurisez vos identifiants : si vous réutilisez le même mot de passe sur plusieurs services, remplacez-le par un mot de passe unique. Cette précaution ne signifie pas qu'une fuite de mots de passe a été confirmée.
- Contactez uniquement le support officiel : évitez de transmettre des informations personnelles ou bancaires en réponse à un message dont l'expéditeur n'est pas clairement authentifié.
Les clients peuvent utiliser le formulaire officiel d'assistance Good Smile Company, hébergé sur un système distinct de la boutique compromise.
Cette affaire rappelle également la cyberattaque contre Comic CMOA et ses conséquences pour les lecteurs de mangas. Les deux incidents sont indépendants et les catégories de données concernées ne sont pas identiques. Ils illustrent néanmoins les risques liés à la conservation d'informations personnelles sur les plateformes consacrées à la culture japonaise.
Les précommandes Good Smile Company sont-elles annulées ?
Non, la fermeture temporaire de la boutique ne signifie pas l'annulation automatique des commandes et précommandes existantes.
Good Smile Company précise que le traitement et l'expédition des commandes et précommandes prévues pour octobre se poursuivent progressivement malgré l'indisponibilité de son site.
Que faire en cas d'échec de paiement ?
Un cas particulier concerne les clients ayant reçu une notification automatique d'échec de paiement. Lorsque la fermeture de la boutique empêche de renouveler la tentative de paiement, l'entreprise leur demande de contacter directement son service client.
Le fabricant assure que les précommandes concernées ne seront pas automatiquement annulées pour cette raison.
Peut-on supprimer son compte pendant la fermeture ?
Les demandes de fermeture de compte restent possibles par l'intermédiaire du support officiel, même pendant l'interruption de la boutique.
En revanche, supprimer son compte aujourd'hui ne garantit pas que des informations éventuellement consultées avant cette suppression puissent être récupérées ou effacées chez un tiers.
Quelles mesures de sécurité Good Smile Company a-t-elle annoncées ?
Le fabricant indique avoir renforcé la sécurité de son infrastructure et engagé des corrections techniques, tout en poursuivant l'enquête sur l'origine et l'étendue de l'accès non autorisé.
Good Smile Company a également signalé l'incident à l'autorité japonaise chargée de la protection des informations personnelles.
Dans sa communication actualisée, l'entreprise annonce plusieurs mesures d'information :
- L'envoi d'e-mails à l'ensemble des membres de la boutique concernée.
- L'information des anciens membres ayant fermé leur compte à la suite de l'incident.
- Des notifications individuelles aux utilisateurs potentiellement concernés au fur et à mesure de l'avancement des vérifications.
- La poursuite des investigations et le renforcement des protections techniques.
Ces démarches ne signifient pas que tous les utilisateurs inscrits ont nécessairement subi une exposition de l'ensemble de leurs informations personnelles.
L'étendue exacte de l'incident et le nombre définitif de clients concernés restent à établir.
Fuite Good Smile Company : les réponses aux questions essentielles
Les données de tous les clients Good Smile Company ont-elles fuité ?
Non, cela n'est pas établi. L'incident concerne la boutique en ligne touchée par l'accès non autorisé. Les investigations se poursuivent et le nombre définitif de personnes concernées n'a pas été communiqué.
Faut-il faire opposition à sa carte bancaire ?
Le communiqué ne confirme pas l'exposition des numéros complets ni des codes de sécurité des cartes. Il convient de surveiller ses opérations et de contacter sa banque en cas de transaction suspecte. Une opposition systématique ne peut pas être déduite des seules informations actuellement confirmées.
Les commandes passées avec PayPal sont-elles protégées ?
Good Smile Company indique que les informations de carte bancaire gérées par PayPal et Amazon Pay n'étaient pas stockées sur les serveurs concernés. Les autres données associées au compte ou à la commande peuvent toutefois relever du périmètre de l'incident.
Quand la boutique Good Smile Company rouvrira-t-elle ?
Au 29 octobre 2026, aucune date précise de réouverture n'est confirmée dans les communications officielles consultées. Le fabricant poursuit ses vérifications et ses mesures de sécurité.
Ce qu'il faut retenir de la fuite de données Good Smile Company
L'intrusion ayant touché Good Smile Company est confirmée. Des informations personnelles, des historiques de commandes et certaines données bancaires partielles ont pu être consultés par un tiers entre le 19 et le 22 octobre 2026.
Les informations bancaires potentiellement concernées se limitent, selon le fabricant, à la marque de la carte, ses quatre derniers chiffres et sa date d'expiration. Le numéro complet et le code CVV ne figurent pas parmi les données exposées.
Les boutiques régionales américaines et européennes ainsi que plusieurs services indépendants sont annoncés comme épargnés. Les commandes et précommandes existantes continuent d'être traitées, tandis que la boutique touchée reste temporairement fermée.
Pour les collectionneurs de figurines Nendoroid, figma et autres produits japonais, la priorité est de vérifier l'authenticité des communications reçues, de surveiller les tentatives d'hameçonnage et de suivre directement les annonces du fabricant.
Aucun chiffre définitif sur le nombre de clients affectés ne doit être avancé tant que l'enquête n'est pas terminée.
Note éditoriale : aucune vidéo YouTube officielle spécifiquement consacrée à cet incident n'a pu être vérifiée. Aucune vidéo sans rapport avec la fuite n'est donc intégrée. Informations établies à partir du communiqué officiel de Good Smile Company publié le 23 octobre et actualisé le 26 octobre 2026, ainsi que des publications spécialisées des 26 au 28 octobre 2026. Dernière vérification : 29 octobre 2026.
