Les fuites potentielles de données au Japon dépassent les 165 millions d’enregistrements alors que les entreprises révèlent l’ampleur des violations

Des millions d’enregistrements exposés dans des services du quotidien

Les informations personnelles susceptibles d’avoir été divulguées à la suite d’accès non autorisés au Japon en 2026 dépassent les 165 millions d’enregistrements, selon un décompte de la société de sécurité Macnica. Les divulgations concernent les transports ferroviaires, les achats, le karaoké, les logiciels, la livraison de colis et l’autopartage, y compris des informations appartenant à des personnes qui avaient déjà fermé leur compte.

Sourcenext a annoncé à elle seule, le 15 octobre, que 22 519 960 enregistrements clients auraient pu être divulgués. Adventure, qui exploite le site de réservation de voyages Skyticket, a fait état d’une possible fuite portant sur environ 14,64 millions d’enregistrements. Yamato Transport a ensuite recensé 5,31 millions d’enregistrements concernés, liés à son service de paiement différé.

Le chiffre de 165 millions comptabilise cumulativement les informations personnelles concernées par différents incidents. Une personne dont les informations figurent dans plusieurs services touchés peut donc être comptée plusieurs fois. Le total inclut également les fuites potentielles, ainsi que les divulgations pour lesquelles les entreprises ont confirmé que des informations avaient été compromises.

L’analyse plus détaillée de Macnica portant sur une catégorie particulière de violations de sites web a recensé 119 divulgations publiques au 6 octobre, soit déjà davantage que les 84 enregistrées sur l’ensemble de 2025. Parmi ces 119 divulgations, 81 ont eu lieu à partir de juillet.

L’Agence japonaise pour la promotion des technologies de l’information, connue sous le nom d’IPA, a lancé un avertissement urgent le 9 octobre, appelant les dirigeants d’entreprise à vérifier les services accessibles sur Internet, les comptes et les données stockées. Ses recommandations portent sur deux tâches immédiates : repérer les intrus et réduire la quantité d’informations personnelles qu’ils pourraient dérober.

Pour les clients, les conséquences dépendent des informations détenues par chaque service. Certaines bases de données concernées contenaient des coordonnées. D’autres pouvaient inclure des mots de passe, des données de carte bancaire ou des images de pièces d’identité. Ces divulgations montrent aussi qu’une attaque contre un prestataire peut toucher simultanément les clients de plusieurs entreprises.

Ce que Macnica a comptabilisé et pourquoi la hausse est importante

L’analyse des violations de sites web de Macnica a examiné 265 incidents divulgués publiquement concernant des organisations nationales entre janvier 2024 et le 6 octobre 2026. Le nombre annuel est passé de 62 en 2024 à 84 en 2025, puis à 119 pour la période incomplète de 2026.

Le décompte de 2026 dépassait déjà de 35 incidents, soit environ 42 %, celui de l’année complète précédente. Les 81 divulgations intervenues à partir de juillet représentaient environ 68 % du total annuel et près de 31 % des 265 incidents examinés.

Yutaka Sejiyama, du centre de recherche en sécurité de Macnica, a réalisé l’analyse des divulgations publiques, avec des contributions à l’analyse des attaques de Motohiko Sato, d’Itochu Cyber & Intelligence, et de Yosuke Hasegawa, directeur technique de Secure Sky Technology.

Les chercheurs ont retenu les incidents qui, selon eux, présentaient des caractéristiques similaires. Leur base de données exclut les attaques par rançongiciel et certains autres types d’attaques, notamment les tentatives d’accès à des comptes clients à l’aide de mots de passe volés sur des services sans lien avec ceux visés. Lorsque plusieurs clients ont signalé des dommages dus à un même incident chez un prestataire commun, les chercheurs n’ont comptabilisé cet incident qu’une seule fois.

Les divulgations d’entreprises présentées ci-dessous incluent également des incidents liés à des rançongiciels. Il faut donc distinguer deux mesures : la quantité d’informations clients potentiellement exposées et le nombre d’incidents de sites web sélectionnés et suivis dans l’enquête technique de Macnica.

Quelles entreprises ont signalé les expositions les plus importantes ?

Sourcenext a indiqué que les informations potentiellement concernées incluaient les noms, adresses, numéros de téléphone, lieux de travail, adresses e-mail et mots de passe. L’entreprise de logiciels a détecté le 13 octobre un accès non autorisé à son système d’information des membres et annoncé deux jours plus tard une possible exposition des données.

Adventure a signalé des attaques contre ses serveurs et le système de gestion de l’activité de Skyticket, susceptibles d’avoir touché environ 14,64 millions d’enregistrements de données personnelles. L’entreprise a précisé que les numéros de carte bancaire et de passeport n’avaient pas été divulgués.

Daiichikosho, qui exploite la chaîne de karaoké Big Echo, a indiqué qu’environ 8,72 millions d’enregistrements personnels auraient pu être exposés par l’intermédiaire d’un système géré par un prestataire externe. L’incident impliquait un logiciel malveillant présent chez le sous-traitant.

JR East a indiqué qu’environ 6,09 millions de comptes clients auraient pu être compromis, tandis que JR Kyushu a évalué l’exposition potentielle à environ 1,3 million de comptes. Les deux entreprises ont relié leurs incidents à une attaque par rançongiciel contre IDC Frontier, une filiale de SoftBank spécialisée dans les services cloud. Leurs chiffres cumulés représentent environ 7,39 millions de comptes.

Bookoff Group Holdings a d’abord signalé une possible exposition concernant jusqu’à 6,43 millions de clients, après un accès non autorisé chez sa filiale chargée de gérer les données des membres. Une communication ultérieure a évalué à environ 6,38 millions le nombre de personnes concernées par la fuite, dont près de 210 000 anciens membres.

Lawson a signalé un accès non autorisé à plus de 2,15 millions d’enregistrements clients, qui pouvaient inclure des noms, des adresses e-mail et des informations de carte bancaire. Uzabase, exploitant de NewsPicks, a indiqué que certaines informations d’utilisateurs avaient pu être exposées après un accès non autorisé à un outil de gestion.

Lawson, Daiichikosho et Uzabase ont déclaré n’avoir constaté aucune utilisation frauduleuse au moment de leurs annonces. Les opérateurs ferroviaires, Bookoff et Adventure ont également indiqué n’avoir trouvé aucun signe d’utilisation abusive par des tiers et ont invité leurs clients à se méfier des e-mails et appels téléphoniques suspects.

Les données de livraison, les outils de développement et les établissements scolaires touchés

Yamato Transport a annoncé le 16 octobre que 5,31 millions d’enregistrements de données personnelles appartenant à certains utilisateurs de son service de paiement différé avaient été compromis. L’entreprise avait signalé la fuite une première fois le 29 septembre.

Les informations concernées incluaient des noms, des adresses et des numéros de téléphone recueillis à partir du 1er octobre 2018, sur une période d’environ huit ans. Cette longue période de collecte montre qu’une seule intrusion peut exposer des informations accumulées au fil de nombreuses années d’activité des clients.

Nikkei Inc. a signalé environ 1,83 million d’enregistrements compromis, dont des noms, des adresses et des adresses e-mail, après un accès non autorisé à un service cloud utilisé pour le développement de systèmes. Un service de développement sert à créer ou à maintenir des logiciels, ce qui place une autre partie de l’environnement technologique d’une entreprise à la portée d’attaquants.

Le ministère japonais de l’Éducation a également indiqué que huit établissements scolaires, principalement des universités, avaient signalé des violations entre la fin septembre et le jeudi précédant les dernières divulgations. L’enquête de Macnica a recensé des services touchés aussi variés que la recherche dans les catalogues de bibliothèques, les réservations de trains touristiques, les réservations de logements universitaires et la gestion des remboursements de billets.

Chronologie des divulgations

Plusieurs incidents ont été rendus publics à quelques semaines d’intervalle, tandis que les enquêtes se poursuivaient pour déterminer l’ampleur des données concernées. Le récit de Sourcenext fournit des horaires particulièrement précis sur l’intrusion et la réaction de l’entreprise.

• 29 septembre : Yamato Transport annonce sa fuite pour la première fois. Park24 révèle fin septembre une fuite de données liée à son service d’autopartage.
• 6 octobre : à la date limite retenue pour ses recherches, Macnica a recensé 119 divulgations sélectionnées de violations de sites web en 2026.
• 8 octobre : Macnica ajoute une référence à un avertissement connexe de JPCERT/CC, l’organisme japonais de réponse aux incidents de sécurité informatique.
• 9 octobre : l’IPA publie ses recommandations urgentes de vérification. JR East, Bookoff, Daiichikosho et Adventure figurent parmi les entreprises dont les divulgations sont rendues publiques ce jour-là. Sourcenext situera plus tard le début de son intrusion vers 10 heures le 9 octobre.
• 13 octobre : Sourcenext détecte un accès non autorisé vers 9 heures et prend des mesures d’urgence pour le bloquer dans l’après-midi.
• 15 octobre : Sourcenext annonce que 22 519 960 enregistrements pourraient avoir été exposés.
• 16 octobre : Yamato détaille les 5,31 millions d’enregistrements concernés, Nikkei révèle sa fuite et Park24 annonce vouloir achever la suppression des images de pièces d’identité d’ici la fin octobre.

La chronologie de Sourcenext situe le début de l’accès non autorisé près de quatre jours avant sa détection. Les consignes de l’IPA, qui recommandent d’examiner l’activité récente puis d’étendre les recherches plus loin dans le passé, répondent précisément à la nécessité de reconstituer les faits survenus avant le déclenchement d’une alerte.

Les attaquants ont recherché des failles dans l’ensemble des services

L’analyse technique de Macnica décrit des attaquants examinant des sites web individuels et leurs interfaces de programmation d’applications, ou API. Une API est un canal par lequel une application ou un site web demande des informations à un autre système ou lui demande d’effectuer une tâche.

Les enquêteurs ont observé des failles telles que des API renvoyant plus d’informations que nécessaire, des fonctions dotées de permissions excessives et des fonctionnalités réservées aux membres accessibles à des visiteurs anonymes. D’autres problèmes concernaient les sessions de connexion, les règles de traitement et les paramètres d’accès.

Certains attaquants ont examiné des applications mobiles afin d’en extraire des clés d’API, des identifiants utilisés pour communiquer avec un service. Ils se sont ensuite servis de ces clés pour envoyer des requêtes semblables à du trafic ordinaire. Les chercheurs ont également constaté l’utilisation de mots de passe administrateur faibles et l’exploitation de vulnérabilités logicielles connues.

La réponse pratique ne se limite pas à installer une mise à jour logicielle. Un service peut devoir procéder à ses propres vérifications pour s’assurer que le serveur contrôle l’identité de l’auteur d’une requête ainsi que les enregistrements auxquels cette personne est autorisée à accéder. Les outils d’administration permettant d’exporter de grandes quantités d’informations nécessitent également une attention particulière.

La plupart des divulgations précisaient peu les causes

Parmi les 81 incidents sélectionnés et divulgués à partir de juillet, Macnica a classé neuf incidents comme liés à des vulnérabilités dans des produits logiciels ou des outils connexes, quatre comme résultant d’une utilisation abusive d’identifiants ou d’attaques par mot de passe, et trois comme liés à des paramètres de site ou à des défaillances du contrôle d’accès.

Les 65 divulgations restantes, soit environ 80,2 %, ne fournissaient pas assez d’explications pour en déterminer la cause. Les autres organisations disposent donc de peu d’éléments pour savoir quelles failles rechercher dans leurs propres systèmes.

Certaines annonces décrivaient les actions menées par les intrus après avoir obtenu l’accès. Onze incidents impliquaient l’installation ou l’exécution de programmes non autorisés, neuf la récupération ou la consultation d’informations via des API ou des bases de données, et six la création de comptes ou de clés d’authentification non autorisés. Ces catégories se recoupent, car un même incident peut impliquer plusieurs actions.

Macnica a également recensé au moins 25 divulgations à partir de juillet concernant des modifications de sites web ou des utilisations abusives sans risque particulier signalé de fuite de données personnelles. Parmi les exemples : rediriger les visiteurs vers des sites externes, afficher de fausses alertes, modifier des informations d’inscription ou utiliser abusivement des services cloud.

Les chercheurs ont évoqué la possibilité que l’intelligence artificielle serve à répéter des recherches sur un grand nombre de sites web. Le recours à l’IA et l’objectif final des attaquants n’ont pas été confirmés. Les activités observées portaient sur les permissions d’accès, les paramètres, l’authentification et les vulnérabilités connues. Ils avancent notamment l’hypothèse que les noms, les détails sur les services et les réservations collectés pourraient aider des criminels à rendre plus crédibles de futurs messages d’hameçonnage ou appels frauduleux.

Des anciens clients concernés par les violations

La fuite touchant Park24 concernait environ 6,6 millions d’enregistrements de membres, dont ceux d’anciens membres, et environ 1,6 million de documents de vérification d’identité, tels que des images de permis de conduire. Times Car avait conservé les pièces d’identité pendant sept ans après la fin de l’adhésion des clients.

Le 16 octobre, Park24 a indiqué vouloir achever la suppression des images de pièces d’identité d’ici la fin du mois. Cette réponse fixe une échéance concrète à une question également soulevée par l’IPA : les entreprises doivent vérifier si elles ont encore besoin des données qu’elles détiennent.

Les quelque 210 000 anciens membres de Bookoff représentaient environ 3,3 % des 6,38 millions de personnes recensées dans la description ultérieure de la fuite. Charm, détaillant d’articles pour animaux, a également indiqué que la plupart des quelque 25 000 enregistrements appartenant à d’anciens clients avaient été divulgués.

La fermeture d’un compte peut donc exposer un client pendant des années si l’entreprise conserve les données correspondantes. Les coordonnées peuvent aider des criminels à usurper l’identité d’un service familier, tandis que les mots de passe et les images de pièces d’identité présentent des risques supplémentaires. Macnica recommande d’examiner les données devenues inutiles, y compris les informations personnelles inattendues accumulées dans des champs de notes, et de désactiver les clés d’API lorsqu’un service ferme.

Les vérifications que l’IPA demande aux organisations d’effectuer dès maintenant

L’avis du 9 octobre de l’IPA appelle à inspecter d’urgence les applications accessibles sur Internet, les services et comptes externes, ainsi que les informations stockées. La responsabilité en incombe aux dirigeants d’entreprise, en particulier lorsque leur organisation traite de grandes quantités de données personnelles ou sensibles.

Pour les applications, l’IPA recommande d’examiner les journaux récents, c’est-à-dire les enregistrements d’activité conservés par les systèmes, et de vérifier l’installation des correctifs de sécurité. Les enquêteurs doivent commencer par examiner environ le dernier mois, puis étendre leurs recherches à trois mois, en repérant les volumes d’erreurs inhabituels et les écarts par rapport à l’activité normale.

Pour les services externes, notamment les services cloud et VPN, les entreprises doivent dresser la liste de ceux qui sont utilisés par l’organisation et les différents services. Elles doivent déterminer la durée de conservation des journaux, les personnes autorisées à les consulter et si le fournisseur détient des données auxquelles le client ne peut pas accéder directement.

Les vérifications des comptes doivent permettre de repérer les utilisateurs inconnus ainsi que les comptes redevenus actifs alors qu’ils avaient été désactivés ou supprimés. Les horaires et lieux de connexion inhabituels, ainsi que les tentatives répétées qui échouent, méritent également une attention particulière. L’IPA recommande de traiter les journaux ou comptes anormaux comme un incident de sécurité et de solliciter une enquête spécialisée.

Parmi les recommandations connexes de Macnica figurent la vérification des permissions appliquées côté serveur par les API, la suppression des secrets intégrés aux applications, la protection des comptes administrateur par plusieurs étapes d’authentification et la restriction de l’accès aux fonctions de gestion. La surveillance doit également s’accompagner d’une réaction humaine clairement définie : quelqu’un doit examiner les alertes, contacter les interlocuteurs compétents et lancer une enquête.

L’IPA prépare un dispositif d’évaluation de la sécurité des chaînes d’approvisionnement, appelé dispositif d’évaluation SCS, dont le lancement est prévu en mars 2027. Les critères communs d’évaluation visent à aider les clients et les prestataires à comprendre la situation en matière de sécurité des entreprises qui échangent des informations.

Des incidents similaires ont également eu lieu hors du Japon

Macnica a recensé 99 incidents similaires dans 13 pays et territoires, principalement entre juillet et septembre 2026. La Corée du Sud en comptait 30, la France 11 et la Pologne huit.

Les cas sud-coréens concernaient des sites web et des API liés aux achats, aux réservations, à l’éducation et aux aides financières. Cette diversité ressemble à celle des services touchés par les divulgations japonaises.

Les lois et pratiques en matière de divulgation influent sur le nombre d’incidents rendus publics dans chaque pays. Macnica a décrit le Japon comme un pays particulièrement présent dans son enquête, sans pour autant déterminer si les attaquants ciblaient spécifiquement le pays.

Dans les cas japonais, les priorités immédiates sont concrètes : détecter les activités non autorisées, sécuriser l’accès aux informations des clients et supprimer les données dont la conservation n’est plus nécessaire. Les incidents impliquant des prestataires et l’exposition des données d’anciens membres montrent pourquoi ces efforts doivent dépasser le seul site web principal d’une entreprise et sa liste de clients actuels.

À retenir

• Selon le décompte de Macnica, les informations personnelles susceptibles d’avoir été divulguées à la suite d’accès non autorisés en 2026 dépassent les 165 millions d’enregistrements ; certaines données peuvent être comptées plusieurs fois si elles figurent dans différents services.
• Son enquête plus ciblée sur les sites web a recensé 119 divulgations au 6 octobre, dont 81 à partir de juillet.
• Sourcenext a signalé 22 519 960 enregistrements potentiellement concernés ; Adventure en a signalé environ 14,64 millions.
• Les violations chez des prestataires ont touché les clients de grandes entreprises, tandis que des données conservées ont exposé d’anciens membres de Park24, Bookoff et Charm.
• L’IPA a appelé à examiner d’urgence les journaux, les correctifs, les comptes, les services externes et les données stockées.
• Park24 prévoyait d’achever la suppression des images de pièces d’identité d’ici la fin octobre. Le dispositif d’évaluation de la sécurité des chaînes d’approvisionnement de l’IPA doit être lancé en mars 2027.