Le Japon envisage de bloquer un site après une fuite de données chez GMO, au risque de porter atteinte à la confidentialité des communications

Une fuite de données remet en lumière une mesure exceptionnelle

Le Japon prévoit d’examiner le blocage de sites web dans le cadre d’un plan d’urgence en matière de cybersécurité, après la publication par des attaquants de données personnelles dérobées lors d’une cyberattaque visant GMO Internet. Le 27 octobre, le ministère des Affaires intérieures et des Communications a demandé aux opérateurs de télécommunications japonais d’empêcher l’accès au site qui hébergeait ces informations, invoquant un risque réel de préjudices supplémentaires.

La demande a été adressée aux principaux opérateurs de télécommunications par l’intermédiaire d’une organisation professionnelle. Elle visait à leur faire vérifier les destinations des connexions des utilisateurs et à refuser celles dirigées vers le site concerné. Cette approche met en jeu deux formes de protection de la vie privée : celle des personnes dont les données ont été dérobées et celle des internautes, qui ne doivent pas voir leurs communications examinées.

Le site est ensuite devenu inaccessible à la suite de la suspension de son nom de domaine. Cette mesure aurait été prise par un prestataire aux États-Unis. Les opérateurs japonais n’auraient, semble-t-il, pas procédé au blocage.

Le gouvernement entend désormais examiner les questions juridiques liées au blocage et les autres moyens d’empêcher l’utilisation abusive de données dérobées. Aucun calendrier n’a été communiqué pour achever cet examen ou adopter le plan d’urgence.

Que s’est-il passé après la publication des données ?

L’incident concernait des services de trading sur marge de devises, communément appelé FX, au sein du groupe GMO Internet. Ces services permettent aux clients d’acheter et de vendre des devises en utilisant les fonds déposés comme garantie. Au cœur du débat sur le blocage se trouve la publication de données personnelles obtenues par un accès non autorisé.

La chronologie situe la demande du gouvernement entre la publication des données et l’indisponibilité du site :

• Avant le 27 octobre : un accès non autorisé a touché des services du groupe GMO Internet liés au trading sur marge de devises.
• Le 27 octobre : les attaquants ont publié des données personnelles obtenues lors de l’incident, et le ministère des Communications a demandé aux opérateurs japonais de bloquer l’accès au site.
• Après la publication : le nom de domaine du site a été suspendu, le rendant inaccessible. Un prestataire aux États-Unis serait intervenu.
• À la suite de l’incident : le gouvernement a prévu d’inclure l’examen du blocage dans un plan d’urgence en matière de cybersécurité.

Il importe de distinguer une demande d’une restriction effectivement mise en œuvre pour comprendre ce qui s’est passé. Il a été demandé aux opérateurs de mettre en place un blocage, mais l’intervention sur le nom de domaine du site semble avoir rendu cette mesure immédiatement superflue.

Pourquoi le gouvernement voulait empêcher l’accès au site

Les données personnelles peuvent continuer à nuire à leurs propriétaires après la fin de l’intrusion initiale. Une fois publiées, elles peuvent être copiées et transmises à d’autres personnes. Selon leur nature, des criminels peuvent s’en servir pour rendre des messages frauduleux plus crédibles ou cibler des individus en vue d’autres abus.

Le ministère des Communications a invoqué un risque réel de préjudices indirects. En clair, il s’agit des dommages causés par l’utilisation ou la diffusion de données dérobées après le vol lui-même. Empêcher l’accès au site de publication pourrait limiter les possibilités de récupérer ces données pendant que d’autres mesures sont prises.

Le secrétaire général du Cabinet, Kihara, s’est exprimé sur l’atteinte à la vie privée causée par la publication de données personnelles en ligne. Il a déclaré :

Il ne devrait pas être permis de publier des données personnelles en ligne et de porter atteinte au droit à la vie privée.

Sa déclaration explique pourquoi le gouvernement souhaitait intervenir. Les personnes dont les données ont été exposées ne peuvent pas en récupérer elles-mêmes tous les exemplaires, et chaque téléchargement supplémentaire peut compliquer leur confinement. Les autorités sont donc incitées à agir suffisamment vite pour limiter la poursuite de leur diffusion.

Comment le blocage touche les autres internautes

Le blocage d’un site web s’effectue au niveau de l’opérateur de télécommunications, au lieu de supprimer les informations du site lui-même. L’opérateur repère une connexion destinée au site ciblé et l’interrompt. L’utilisateur n’a pas à consentir à cette restriction.

Pour repérer les connexions à interrompre, les opérateurs doivent vérifier les destinations des communications des utilisateurs. C’est pourquoi la proposition concerne aussi des personnes qui ne sont pas clientes des services touchés par l’incident chez GMO. Il s’agit d’examiner les connexions des utilisateurs d’un opérateur afin d’identifier celles qui se dirigent vers le site visé.

La Constitution japonaise et d’autres lois protègent le secret des communications. Cette protection garantit la confidentialité des communications, y compris des informations sur leurs destinations. La destination peut elle-même révéler des éléments privés, même si le contenu d’un message n’est pas examiné.

Le choix politique consiste donc à protéger différentes personnes au moyen de mesures qui tirent dans des directions opposées. Les autorités veulent restreindre l’accès à des données dérobées, tandis que les opérateurs de télécommunications doivent tenir compte de leur obligation de préserver le secret des communications de leurs utilisateurs. L’examen juridique envisagé devra prendre en compte ces deux responsabilités.

Pourquoi les propositions antérieures ont été accueillies avec prudence

Le Japon a exceptionnellement accepté le blocage de sites diffusant des contenus pédocriminels, qualifiés dans le débat de sites pédopornographiques. Cette mesure a été justifiée par les préjudices graves et durables subis par les enfants lorsque ces contenus continuent de circuler, ainsi que par la nécessité de limiter les atteintes au secret des communications.

Des propositions visant à bloquer des sites de piratage et des casinos en ligne ont également été examinées, mais leur mise en œuvre a été abandonnée. Ces précédents aident à comprendre pourquoi le recours à la même mesure en réponse au vol de données personnelles est particulièrement sensible.

L’incident chez GMO introduirait le blocage dans un autre contexte : celui d’une tentative urgente de limiter les dégâts après une cyberattaque. Le gouvernement examine comment une mesure jusqu’ici admise uniquement dans des circonstances exceptionnelles pourrait s’inscrire dans sa réponse à des fuites de données graves.

Les critiques de la demande se sont demandé si le danger était suffisamment immédiat et si tous les autres moyens d’empêcher la publication avaient été épuisés. Les appels à des règles juridiques claires répondent à une préoccupation pratique : les opérateurs doivent savoir dans quelles circonstances ils peuvent restreindre l’accès, quelles conditions s’appliquent et selon quelles modalités la décision peut être réexaminée.

La demande soulève aussi un problème de transparence

Le gouvernement a formulé sa demande sans discussion préalable au sein de l’exécutif ni au sein de la Diète, le Parlement national japonais. Le ministère des Communications n’a pas non plus reconnu publiquement l’avoir faite, malgré le récit de son approche auprès des opérateurs le 27 octobre.

Cette absence de confirmation ne permet pas au public de disposer d’une explication complète de la décision. La base juridique de la demande, les raisons de son caractère urgent et les conditions qui l’accompagnaient sont essentielles pour déterminer si la mesure était justifiée.

La question est d’autant plus sensible que la restriction proposée aurait été appliquée par des opérateurs privés de télécommunications. Ceux-ci auraient dû répondre à une demande du gouvernement tout en tenant compte des protections juridiques accordées à leurs utilisateurs.

Certains ont estimé que la demande constituait une réponse appropriée à une menace immédiate pour la vie privée. Des détracteurs l’ont jugée précipitée et ont réclamé des explications publiques avant que le blocage ne devienne un outil plus courant de la politique de cybersécurité. Le débat porte à la fois sur la nécessité de protéger les victimes et sur la procédure suivie pour autoriser les restrictions.

Ce que change la suspension du nom de domaine

La suspension du nom de domaine des auteurs présumés de l’attaque a rendu le site inaccessible à son adresse habituelle. Un nom de domaine est le nom qui permet d’accéder à un site web. Sa suspension interrompt cet accès, tandis qu’un blocage par les opérateurs japonais restreindrait les connexions passant par leurs réseaux.

Dans ce cas, l’intervention sur le nom de domaine semble avoir résolu le problème immédiat d’accès avant la mise en place d’un blocage par les opérateurs japonais. Le site a ensuite été décrit comme supprimé, bien que le récit précis de l’interruption de l’accès fasse état de la suspension du nom de domaine et d’une intervention présumée d’un prestataire aux États-Unis.

Cet épisode place au cœur de l’examen gouvernemental les liens entre le blocage et les autres mesures de lutte. Les autorités devront déterminer la rapidité d’action de chaque option, les organisations habilitées à intervenir et les circonstances qui justifient une restriction par l’intermédiaire des opérateurs nationaux.

Le blocage n’en est encore qu’au stade de l’examen dans le cadre du plan d’urgence. L’enjeu principal est de traduire une réponse urgente en règles compréhensibles : quand une intervention est justifiée, qui l’autorise et comment protéger la confidentialité des communications tout en tentant de limiter les dégâts causés par une fuite.

Points clés

• Après l’incident chez GMO Internet, le Japon prévoit d’examiner le blocage de sites web dans le cadre d’un plan d’urgence en matière de cybersécurité.
• Le 27 octobre, au moment où les attaquants ont publié des données personnelles dérobées, le ministère des Communications a demandé le blocage du site.
• La demande a été transmise aux principaux opérateurs de télécommunications japonais par l’intermédiaire d’une organisation professionnelle.
• Le nom de domaine du site visé a ensuite été suspendu et, semble-t-il, le blocage par les opérateurs japonais n’a pas été mis en œuvre.
• Le blocage oblige les opérateurs à vérifier les destinations des communications, ce qui soulève des questions au regard des garanties japonaises relatives au secret des communications.
• Le ministère n’a pas reconnu publiquement avoir formulé la demande, et aucun calendrier n’a été communiqué pour l’examen juridique.