Le Japon renforce ses alertes cyber après des attaques contre plus de 20 entreprises

Le gouvernement japonais a demandé aux entreprises, aux banques et aux organismes publics de renforcer leurs cyberdéfenses le vendredi 9 octobre 2026. Plus de 20 grandes entreprises japonaises ont révélé des attaques ces dernières semaines. La plus grosse fuite, chez le service d'autopartage Times Car, a exposé environ 6,6 millions de comptes de membres, dont des images de permis de conduire. Un haut responsable de la cybersécurité au sein du parti au pouvoir a parlé d'« un état d'urgence dans le cyberespace ».

Ce que le gouvernement japonais a demandé aux entreprises

Le Bureau national de la cybersécurité a envoyé vendredi des instructions aux ministères, aux collectivités locales et aux entreprises, rapporte TNW. Il leur a demandé de mettre à jour leurs logiciels de sécurité, d'utiliser des mots de passe robustes et de renforcer la sécurité chez l'ensemble de leurs fournisseurs. Il a aussi mis en garde contre des attaquants se faisant passer pour des défenseurs, et a indiqué que l'IA rend plus complexes les points faibles des systèmes.

Selon Silicon Republic, le bureau a demandé aux entreprises d'envisager rapidement des mesures supplémentaires, y compris pour leurs sous-traitants. Il leur a demandé de corriger les points faibles connus et de renforcer l'authentification, c'est-à-dire les contrôles qui confirment qui se connecte. Le ministère des Affaires intérieures et des Communications a envoyé un avertissement similaire aux entreprises qu'il supervise.

Une réunion d'urgence s'est tenue le même vendredi. Masaaki Taira, ancien ministre du Numérique, a qualifié la situation d'« état d'urgence dans le cyberespace », selon des propos cités par le Financial Times. Les médias décrivent son rôle de façon différente. Selon TNW, il dirige le quartier général de la stratégie de cybersécurité du parti au pouvoir et n'est pas ministre. Silicon Republic appelle cet organe le quartier général national de la stratégie de cybersécurité.

« Les attaques sont de plus en plus sophistiquées », a déclaré le ministre de la Transformation numérique, Toshiharu Furukawa, selon TNW.

Les entreprises japonaises touchées

Le Financial Times a recensé plus de 20 grandes entreprises ayant révélé des attaques ces dernières semaines, rapporte TNW. Voici les plus grands cas nommés.

Entreprise	Ce qui a été rapporté	Rapporté par
Times Car (autopartage)	Environ 6,6 millions de comptes de membres, dont des images de permis de conduire ; révélé fin septembre	TNW, Silicon Republic
Lawson (supérettes)	Accès à 2,15 millions de fiches clients ; noms, e-mails et données de carte peut-être divulgués	Silicon Republic
JR East (chemin de fer)	1,67 million d'adresses e-mail de clients	TNW, OODAloop
IDC Frontier (filiale cloud de SoftBank)	Attaque par rançongiciel le 7 octobre	TNW, OODAloop
Daiwa Securities, Bookoff	Fuites de données clients	TNW

La panne d'IDC Frontier s'est largement propagée. TNW, citant l'Asahi Shimbun, indique qu'elle a touché 495 entreprises et collectivités locales. Elle a arrêté le système logistique de Nissui Logistics sur 17 sites et mis hors ligne les sites web de la préfecture d'Ibaraki. OODAloop relie la fuite de JR East à cette attaque par rançongiciel. TNW ne précise pas comment les adresses ont été dérobées.

L'Agence nationale de la police a enregistré 123 incidents de rançongiciel au premier semestre 2026, un record, selon TNW.

Les banques invitées à ne plus se fier au permis de conduire

L'Agence des services financiers a averti les établissements financiers le 9 octobre de prendre des « mesures appropriées », rapporte Silicon Republic. Cela comprend la révision de leur gestion des risques liés aux fournisseurs externes. La ministre des Finances, Satsuki Katayama, a déclaré le même jour que les banques devaient vérifier correctement l'identité lors de l'ouverture de nouveaux comptes, notamment en exigeant des pièces d'identité à puce.

Selon TNW, l'agence a demandé aux banques de n'accepter que des pièces d'identité à puce, comme les passeports et les cartes My Number, la carte d'identité nationale du Japon. Selon OODAloop, ce changement fait suite à la fuite de Times Car, qui a exposé des images de permis de conduire.

De nouveaux pouvoirs de défense et la question de l'IA

Le Japon dispose désormais d'un nouvel outil. En vertu de sa loi sur la cyberdéfense active, des pouvoirs permettant de prendre des mesures de « neutralisation d'accès » contre les outils des attaquants sont entrés en vigueur le 1er octobre. Le secrétaire général adjoint du Cabinet, Yusuke Nakanishi, a déclaré le 8 octobre que le gouvernement pouvait désormais les utiliser, rapporte TNW.

Le rôle de l'IA fait débat. Paul Ziegler, de la société de sécurité Reflare, a déclaré au Japan Times que les grands modèles de langage réduisent le coût des attaques : « Les LLM le font baisser de façon drastique. » Mais des experts ont aussi déclaré au journal qu'il n'existe aucune preuve solide que l'IA ait guidé ces attaques. Les experts cités par le Financial Times évoquent plutôt le vieillissement de la population japonaise, des habitudes de sécurité moins solides et la lenteur du passage aux systèmes numériques.

Ce que cela signifie pour les développeurs

Pour les équipes qui conçoivent, achètent ou exploitent des systèmes au Japon, ou qui servent des clients japonais :

• Cartographiez le risque fournisseurs. Une seule attaque par rançongiciel contre un fournisseur cloud a touché 495 clients. Listez les services externes capables de mettre votre produit hors service, et prévoyez comment continuer à fonctionner sans chacun d'eux.
• Ne conservez pas les images de pièces d'identité plus longtemps que nécessaire. La fuite de Times Car comprenait des images de permis de conduire. Si votre application collecte des photos de pièces d'identité, chiffrez-les et supprimez-les une fois la vérification terminée.
• Mettez à jour les vérifications d'identité pour les banques japonaises. Les parcours d'inscription qui acceptent une photo de permis de conduire devront peut-être passer aux pièces d'identité à puce, comme les cartes My Number ou les passeports.
• Activez des contrôles de connexion robustes pour les sous-traitants. Le gouvernement a demandé une authentification renforcée, y compris pour les sous-traitants. Exigez la connexion à deux facteurs sur chaque compte administrateur et fournisseur.
• Attendez-vous à du phishing. Les listes divulguées, comme les 1,67 million d'adresses e-mail de JR East, servent souvent à envoyer de faux e-mails. Prévenez vos utilisateurs et surveillez les tentatives de connexion qui réutilisent des données divulguées.