46 000 comptes de streaming d’anime touchés par une annulation massive soudaine
Le service de streaming d’anime de Bandai Namco a subi une suppression massive de plus de 46 000 comptes utilisateurs à la suite d’une cyberattaque menée à l’aide d’un script généré par IA.
Selon Kyodo News, un lycéen de 15 ans, originaire de la préfecture de Saitama au Japon, a utilisé un programme assisté par ChatGPT pour supprimer 46 812 comptes utilisateurs de Bandai Channel, la plateforme de streaming d’anime appartenant à Bandai Namco Filmworks (anciennement Sunrise). L’attaque a eu lieu le 4 novembre 2025, entre 17h et 20h46, lorsque le suspect a transmis de fausses informations depuis son ordinateur personnel vers les serveurs gérés par Bandai.
Cette cyberattaque a compromis une partie de la base d’utilisateurs actifs de la plateforme, qui propose une vaste bibliothèque d’anime et de titres tokusatsu. Bandai Namco Filmworks a été contrainte de suspendre les opérations de Bandai Channel le 6 novembre 2025 pour effectuer une évaluation du réseau. Le site est resté fermé pendant plus d’un mois avant de reprendre pleinement ses activités le 19 décembre 2025.
Un adolescent utilise ChatGPT pour supprimer 46 000 comptes de streaming d’anime
À l’époque des faits, Bandai avait signalé l’attaque à la division de lutte contre la cybercriminalité de la police métropolitaine de Tokyo (MPD), qui a retracé le suspect en examinant les enregistrements de communication et les données des serveurs. Le jeune homme avait d’abord été appréhendé le 13 juin 2026 pour violation de la loi sur l’accès non autorisé aux ordinateurs, après avoir accédé à 15 profils utilisateurs sur la plateforme à l’aide de identifiants obtenus frauduleusement.
La MPD a finalisé son arrestation le 4 juillet 2026, après avoir réuni des preuves confirmant que l’adolescent avait généré et exécuté le code malveillant. Lors de son interrogatoire, le suspect a reconnu les faits, mais a précisé que ses actes n’étaient pas motivés par une rancœur envers l’entreprise : « J’ai commencé à utiliser des ordinateurs en CM1 et j’ai tout appris par moi-même. J’ai simplement eu accès aux informations, et je n’avais rien contre la société ». Il est actuellement détendu pour entrave frauduleuse à l’activité commerciale.
Une faille exploitée grâce à l’IA
D’après les enquêteurs, l’élève, qui était alors en troisième année de collège, a identifié une vulnérabilité du système en surveillant et en analysant le trafic réseau vers et depuis les serveurs de Bandai Channel. Il a ensuite utilisé ChatGPT pour générer un script automatisé conçu pour résilier les abonnements utilisateurs.
Lorsque Bandai Namco Filmworks a détecté la première vague d’anomalies, elle a tenté de bloquer sa connexion. L’adolescent a contourné les défenses en changeant son adresse IP environ 30 fois pour maintenir le script en activité.
Des données personnelles exposées, mais pas les mots de passe
Après l’attaque, Bandai a confirmé que jusqu’à 1,36 million d’informations personnelles, notamment des adresses e-mail, des pseudos et des méthodes de paiement, avaient été compromises. L’entreprise a cependant assuré que les mots de passe et les détails des cartes bancaires n’avaient pas été exposés.
Néanmoins, la facilité avec laquelle un mineur a pu compromettre la plateforme a suscité de vives critiques envers l’infrastructure de cybersécurité de Bandai Channel.
Bandai Namco, une cible récurrente
Ce n’est pas la première fois que Bandai Namco est victime d’une cyberattaque majeure. En juillet 2022, l’entreprise avait confirmé avoir subi une attaque par ransomware ciblant plusieurs filiales du groupe en Asie (hors Japon). Le groupe de cybercriminels ALPHV, également connu sous le nom de BlackCat, avait revendiqué la responsabilité de l’intrusion et menacé de divulguer des informations confidentielles liées aux activités de l’entreprise.
Plus tôt cette année, Crunchyroll a également été victime d’une fuite de données, au cours de laquelle plus de 100 Go de données utilisateurs ont été exfiltrés par un acteur malveillant.
