Script IA de diffusion massive révèle 95 364 adresses e‑mail de Bee Cheng Hiang

En avril 2026, un collaborateur de Bee Cheng Hiang, le fabricant singapourien de snacks à base de viande séchée, a décidé d’utiliser un outil d’intelligence artificielle générative pour automatiser l’envoi d’une campagne promotionnelle. L’instruction donnée à l’IA était de produire un script Python capable de récupérer les adresses e‑mail stockées dans la base interne et de les envoyer via le service de messagerie SendGrid, sans préciser que les destinataires devaient rester invisibles les uns pour les autres.

Le code généré par l’IA a donc été intégré tel quel dans l’environnement de test. Au lieu d’utiliser le champ « CCI » (copie carbone invisible), le script a placé chaque groupe d’adresses dans le champ standard « À », ce qui a rendu visible l’ensemble des adresses de chaque lot à tous les destinataires du même lot.

Portée de la fuite

Lorsque le script a été déployé, il a envoyé le message promotionnel à 95 364 adresses client distinctes, exposant ainsi chaque adresse e‑mail à l’ensemble des autres destinataires du même envoi. Les seules données révélées étaient les adresses électroniques ; aucun mot de passe, aucune information de paiement et aucun contenu du message n’ont été compromis.

L’employé a consulté les journaux d’activité pendant la phase de test, mais il n’a jamais ouvert d’e‑mail de test pour vérifier concrètement la liste réelle des destinataires. Cette omission a permis à l’erreur de rester invisible jusqu’à ce que la diffusion massive soit déjà en cours.

Réaction des autorités

La Commission de protection des données personnelles de Singapour (PDPC) a qualifié cet incident de première fuite de données liée à l’IA signalée à l’autorité. Le régulateur a souligné que la cause était une erreur humaine dans le développement et le déploiement du script, et non un dysfonctionnement inhérent à l’outil d’IA.

La PDPC a précisé que les données exposées n’étaient ni traitées ni générées par un système d’IA, renforçant l’idée que la faille provenait de l’usage du code assisté par IA plutôt que d’un risque intrinsèque de la technologie.

Mesures correctives de Bee Cheng Hiang

• Arrêt immédiat de l’envoi massif d’e‑mails
• Correction du script pour imposer la CCI sur tous les lots de destinataires
• Notification de tous les clients concernés via un e‑mail dédié et un communiqué public
• Mise en place d’une politique de double vérification exigeant l’approbation de deux employés avant tout envoi massif

La PDPC n’a trouvé aucune preuve que les adresses divulguées aient été réutilisées pour des campagnes de phishing ou de spam. Au lieu d’une sanction financière, la commission a accepté un engagement volontaire de Bee Cheng Hiang visant à renforcer ses pratiques de protection des données.

Dans sa décision, le régulateur a recommandé aux organisations de réaliser des évaluations d’impact sur la protection des données lors du déploiement d’outils assistés par IA, d’élaborer des politiques claires encadrant l’usage de l’IA et d’effectuer des tests portant sur les sorties réelles – et non seulement les journaux – avant la mise en production du code.

Pour les entreprises francophones, cet incident illustre l’importance de vérifier concrètement les résultats lorsqu’une IA génère du code opérationnel. Se limiter à la lecture des logs peut laisser passer des défauts fonctionnels visibles uniquement dans les sorties réelles. Instaurer une relecture par les pairs, automatiser les tests des en‑têtes d’e‑mail et imposer systématiquement la CCI permettent de prévenir des expositions similaires de données personnelles.

Perspectives et bonnes pratiques

À la lumière de cet épisode, les experts en cybersécurité recommandent d’intégrer des contrôles de validation automatisés dans le pipeline de développement IA, d’utiliser des environnements sandbox pour simuler les envois massifs et de consigner systématiquement les résultats visibles par les destinataires avant toute mise en production.

À Singapour, les autorités continuent de surveiller de près l’usage croissant de l’IA dans les processus métier, rappelant que la responsabilité finale reste toujours entre les mains des opérateurs humains qui déploient les solutions générées par ces technologies.