Plateforme d’infolettres piratée : 7 millions de courriels d’hameçonnage envoyés d’une adresse légitime
Votre PME envoie une infolettre chaque mois, des confirmations de commande, des rappels de rendez-vous. Pour ça, vous utilisez une plateforme d’envoi : Mailchimp, Brevo, Cyberimpact, ou celle intégrée à votre logiciel. Vos clients ont appris à faire confiance aux messages qui en sortent. Et si un pirate se servait de cette confiance?
C’est ce qui vient d’arriver au Japon. Arara Message, un service de distribution de courriels utilisé par des centaines d’entreprises, a été piraté. Entre le 28 et le 30 octobre 2026, jusqu’à 7,13 millions de courriels d’hameçonnage se faisant passer pour une société de cartes de crédit sont partis de l’adresse légitime news@arara.com. Le service est complètement arrêté depuis le 31 octobre.
Une plateforme d’infolettres piratée : la chronologie
Selon PayCloud Holdings, propriétaire du service, la cause combine une faille du serveur web et des problèmes dans l’environnement du système. Aucun numéro de carte de crédit n’était stocké. Le chiffre de 77 millions compte des adresses, pas des personnes uniques, et il reste provisoire.
À quoi ressemblait le courriel
Voici une reconstitution traduite et simplifiée, à partir des objets publiés par Arara. Les flèches montrent pourquoi ce genre de message passe si bien :
Pourquoi il trompe
- 1L’adresse d’envoi est réelle : les filtres et les gens la connaissent déjà.
- 2L’urgence et la menace de suspension poussent à cliquer sans réfléchir.
- 3Le lien mène à un faux site qui demande le numéro de carte et les codes.
Leçon clé : SPF et DKIM confirment seulement que le message vient bien de la plateforme. Ils ne disent pas que le contenu est honnête. Quand la plateforme elle-même est compromise, ces vérifications passent.
Trois idées reçues à oublier
❌ Mythe 1
« Si le courriel vient d’une adresse connue, il est sûr. »
✅ Fait 1
Une adresse légitime peut envoyer un faux message si le compte ou la plateforme est piraté. Vérifiez toujours en ouvrant vous-même le site ou l’application, jamais par le lien du courriel.
❌ Mythe 2
« Le piratage de notre fournisseur, c’est son problème. »
✅ Fait 2
Ce sont vos clients qui reçoivent l’hameçonnage en votre nom, et ce sont leurs adresses qui fuient. Selon la Loi 25, vous restez responsable des renseignements personnels confiés à un fournisseur.
❌ Mythe 3
« On lui a seulement donné des adresses courriel. »
✅ Fait 3
Chez Arara, l’attaquant est passé par le service pour atteindre les serveurs de clients. Des noms, des noms d’entreprises et d’autres données de membres ont aussi été exposés.
Nous avions vu un cas semblable avec la fuite de données chez le fournisseur Navigate360 : vos données vivent aussi chez vos fournisseurs, et leur sécurité devient la vôtre.
Votre liste de vérification d’ici vendredi
Votre plateforme d’envoi de courriels
- ☐ Activer l’authentification à deux facteurs pour chaque utilisateur du compte, et retirer les anciens employés.
- ☐ Faire l’inventaire des clés API et des intégrations (site web, boutique, CRM); supprimer celles qui ne servent plus et renouveler les autres.
- ☐ Limiter les droits : peu de personnes peuvent envoyer une campagne à toute la liste.
- ☐ Activer les alertes pour toute nouvelle connexion, nouvelle clé ou campagne inhabituelle.
- ☐ Vérifier ce que la plateforme conserve : seulement les champs utiles, pas de dates de naissance ni de notes inutiles.
- ☐ Prévoir un plan B pour les messages critiques (confirmations, réinitialisations de mot de passe) si le service s’arrête.
- ☐ Préparer un message type pour avertir vos clients si votre plateforme est touchée.
- ☐ Inscrire le fournisseur à votre registre Loi 25, avec son contact en cas d’incident.
Côté réception, rappelez à votre équipe qu’un courriel qui demande une action urgente sur un compte ou une carte se vérifie toujours par un autre moyen. Une bonne configuration de Microsoft 365 aide aussi : filtres, bannières pour les messages externes et signalement en un clic.
Comment NeoTech peut vous aider
Nos services de cybersécurité incluent la revue des comptes de vos fournisseurs infonuagiques (dont votre plateforme d’infolettres), la double authentification, le ménage des clés API et la configuration SPF, DKIM et DMARC de votre domaine. Notre surveillance automatisée 24/7 avec intervention du technicien de garde repère les connexions anormales à vos comptes et les vagues de courriels suspects.
Réservez votre Bilan cyber gratuit
En 30 minutes, nous regardons ensemble quels fournisseurs envoient des courriels en votre nom, qui y a accès et comment réagir si l’un d’eux est piraté.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Nos bureaux : 2572, boul. Daniel-Johnson, bureau 237, Laval.
Sources
- Arara — Rapport sur l’incident du service de distribution de courriels, 2 novembre 2026 (en japonais)
- Nippon.com (Jiji Press) — 77 M. Email Addresses Leak from Arara Message Due to Cyberattack, 2 novembre 2026 (en anglais)
- Security.io — Arara breach expands from one mail system to 97 client servers (en anglais)
- Nikkei xTECH — Fuite chez Arara : environ 77 millions d’adresses de plus, jusqu’à 7,13 millions de courriels suspects (en japonais)
Photo : Maksim Goncharenok, Pexels (licence Pexels).
One thought on “Plateforme d’infolettres piratée : 7 millions de courriels d’hameçonnage envoyés d’une adresse légitime”