Des violations de données dans 12 entreprises turques ont touché les informations personnelles de plus de 10,2 millions de clients et d’employés, a révélé mercredi le régulateur turc de la protection des données, le nombre restant encore inconnu pour l’une des entreprises.

Le régulateur a publié 12 avis de violation le 16 septembre après avoir décidé que ces incidents devaient être rendus publics. Les 11 entreprises qui ont pu déterminer le nombre de personnes touchées ont signalé un total de 10 218 802. İnternet Tekstil Sanayi ve Ticaret A.Ş. n’a pas encore déterminé combien de clients et de membres ont été affectés.

La plus grande violation concerne le détaillant de cosmétiques Eve Kozmetik, où les données de 6 263 305 clients ont été touchées. Les informations exposées comprenaient les noms, les adresses e-mail et les numéros de téléphone.

L’entreprise a informé le régulateur qu’un accès non autorisé s’était produit sur un serveur géré par un sous-traitant après que des attaquants ont exploité une vulnérabilité dans une bibliothèque logicielle tierce. Le sous-traitant a informé Eve Kozmetik de la violation le 10 septembre.

Shaya Mağazacılık a signalé que 2 298 726 clients et employés avaient été touchés après un accès non autorisé à des systèmes contenant des données de l’entreprise. Les noms, les adresses e-mail et les adresses personnelles figuraient parmi les informations affectées.

Une autre violation chez Shaya Kahve a touché 133 991 personnes supplémentaires.

Ces deux entreprises font partie du groupe Alshaya, basé au Koweït, qui représente des marques internationales en Turquie telles que Starbucks, Victoria’s Secret, Bath & Body Works et Shake Shack.

Deniz Deniz Butik a signalé 1 271 096 clients affectés. Les noms d’utilisateur, les numéros de téléphone et les adresses e-mail ont été touchés après que des attaquants ont exploité une vulnérabilité dans une bibliothèque logicielle tierce utilisée sur un serveur traitant les données de l’entreprise.

Les autres violations signalées ont touché 95 857 personnes chez Haşema Tekstil, 81 593 chez Yiğit Alışveriş Merkezleri, 32 292 chez Valmenti Mağazacılık, 29 265 chez Taşkınırmak Giyim, 6 547 chez İyileştiren Mamuller Gıda, 5 435 chez Back et Bond et 695 chez Mersin Mana Tarım.

Plusieurs des entreprises ont indiqué que des données de connexion ou de mots de passe figuraient parmi les informations affectées, ainsi que les noms, les adresses e-mail, les numéros de téléphone et les adresses postales.

İnternet Tekstil a déclaré que les noms, les numéros de téléphone, les adresses e-mail, les adresses postales et les informations de connexion pourraient avoir été affectés, mais n’a pas encore établi le nombre de personnes impliquées. L’entreprise a également lié l’accès non autorisé à une vulnérabilité dans une bibliothèque logicielle tierce.

Plusieurs des avis décrivent des violations impliquant des systèmes tiers ou des vulnérabilités logicielles, bien que le régulateur n’ait pas indiqué que les incidents faisaient partie d’une seule cyberattaque.

La loi turque sur la protection des données personnelles exige que les entreprises et autres organisations qui contrôlent des données personnelles informent les personnes concernées et le régulateur dès que possible lorsque des informations personnelles sont obtenues par des moyens illégaux. Le régulateur peut ensuite rendre publique la violation lorsqu’il le juge nécessaire.

Le régulateur a indiqué que ses examens des 12 violations se poursuivent.