Sony confirme une faille de sécurité dans les puces IC FeliCa antérieures à 2017 : quelles conséquences pour les transports et les paiements au Japon ?

Faille de sécurité des puces FeliCa de Sony : une grave préoccupation pour les infrastructures japonaises

Fin août 2025, Sony Corporation a reconnu publiquement l’existence d’une faille de sécurité critique dans d’anciennes versions de ses puces IC sans contact FeliCa. Élément essentiel des cartes de transport et des systèmes de paiement électronique au Japon, cette technologie a été intégrée à plus de 1,8 milliard d’unités depuis son lancement. Découverte par un groupe de recherche basé à Tokyo et signalée par l’intermédiaire de l’Agence japonaise pour la promotion des technologies de l’information (IPA), la faille pourrait permettre à des attaquants de contourner le chiffrement et de modifier les données enregistrées sur les cartes concernées. Aucun cas d’exploitation n’a été détecté à ce jour, mais cette révélation a suscité de vives inquiétudes quant aux infrastructures japonaises de transport public, de paiement et d’identification.

Qu’est-ce que FeliCa et pourquoi cette technologie est-elle si importante ?

FeliCa est une technologie propriétaire de carte à puce RFID sans contact développée par Sony, lancée à la fin des années 1990. Elle est largement utilisée au Japon et sur plusieurs autres marchés asiatiques pour sécuriser les transactions et l’authentification. FeliCa équipe notamment :

• Des cartes de transport comme Suica et Pasmo, utilisées chaque jour par des millions de personnes dans les trains et les bus
• Des cartes de monnaie électronique comme Edy et Nanaco
• Des cartes d’identification pour les salariés et les étudiants
• Des badges d’accès à des sites sécurisés

Cette technologie est intégrée aussi bien aux cartes physiques qu’aux appareils mobiles, comme les smartphones compatibles NFC. Sa rapidité, sa fiabilité et sa sécurité en ont fait un pilier de confiance de la société japonaise sans espèces et de ses infrastructures publiques.

Comment fonctionne FeliCa

Les cartes FeliCa utilisent l’identification par radiofréquence (RFID) pour communiquer avec les lecteurs. Lorsqu’une carte est passée devant un lecteur, des données chiffrées sont échangées afin de permettre une authentification et un paiement rapides. La sécurité de ces transactions repose sur des clés de chiffrement stockées dans la puce, qui sont censées être inaccessibles aux personnes extérieures.

Détails de la faille : que s’est-il passé ?

La faille concerne certaines puces IC FeliCa livrées avant 2017. Selon le communiqué officiel de Sony, des opérations spécifiques, mises en évidence par des chercheurs externes, pourraient permettre de lire ou de modifier les données stockées sur ces puces. Plus grave encore, les clés de chiffrement qui protègent les systèmes FeliCa pourraient être dérobées, ce qui permettrait potentiellement à des attaquants de :

• Modifier le solde ou la validité de cartes de transport
• Perturber des systèmes de paiement électronique
• Contrefaire des badges de salariés ou d’étudiants donnant accès à des sites sensibles

Des experts en cybersécurité ont qualifié cette faille de « problème extrêmement grave », susceptible de saper la confiance dans les infrastructures qui soutiennent la vie quotidienne au Japon. Elle a été confirmée en laboratoire, mais aucun cas d’exploitation dans des conditions réelles n’a été signalé à ce jour.

Découverte et divulgation

Un groupe de recherche tokyoïte a découvert la faille et l’a signalée en juillet 2025 par l’intermédiaire de l’IPA, conformément aux recommandations du partenariat japonais d’alerte précoce en matière de sécurité de l’information. Sony a confirmé son existence après avoir été interrogé par Kyodo News et d’autres médias. L’entreprise a souligné que la sécurité des services utilisant FeliCa dépend non seulement de la puce elle-même, mais aussi de l’architecture globale du système et de la surveillance des systèmes centraux.

Qui est concerné ?

La faille concerne uniquement les cartes FeliCa physiques produites avant 2017. Sont notamment concernés :

• Les cartes de transport (par exemple, Suica et Pasmo)
• Les cartes prépayées de monnaie électronique
• Les cartes d’identification de salariés et d’étudiants délivrées avant 2017

Il est important de noter que les appareils Mobile FeliCa, comme les smartphones utilisant les services Osaifu-Keitai (portefeuille mobile), ne sont pas concernés par cette faille. Les puces FeliCa récentes, livrées après 2017, sont également considérées comme sûres.

Les principaux partenaires de FeliCa, parmi lesquels JR East (exploitant de Suica), NTT Docomo (service de paiement iD), JCB (QUICPay) et JR West, ont publié des déclarations pour assurer aux utilisateurs que leurs produits et services restent sûrs. Ils collaborent étroitement avec Sony afin de suivre la situation et de renforcer la sécurité si nécessaire.

Risques potentiels et conséquences concrètes

Bien que cette faille soit importante sur le plan technique, ses conséquences concrètes pourraient être limitées par plusieurs facteurs :

• La faille n’a été démontrée qu’en laboratoire, et non dans le cadre d’attaques réelles.
• Même si les clés de chiffrement d’une carte étaient compromises, les systèmes centraux pourraient détecter et bloquer les cartes suspectes.
• Les fournisseurs de services disposent de dispositifs robustes de surveillance et de détection de la fraude.

NTT Docomo a par exemple souligné qu’il surveillait quotidiennement le service de paiement iD et qu’il était en mesure d’enquêter sur toute utilisation frauduleuse et d’y répondre. Selon un porte-parole de l’entreprise :

Nous surveillons chaque jour le service iD et, si nous détectons une utilisation frauduleuse, nous enquêtons au cas par cas et prenons les mesures qui s’imposent.

Le risque théorique n’en demeure pas moins. Si des attaquants parvenaient à exploiter la faille à grande échelle, ils pourraient perturber les transports, les paiements électroniques ou accéder sans autorisation à des sites sécurisés. Cela aurait de graves conséquences pour la confiance du public et la fiabilité opérationnelle.

Réaction des entreprises et des autorités

Sony a pris l’initiative de coopérer avec les fournisseurs de services et les institutions publiques. L’entreprise recommande officiellement aux parties concernées de continuer à utiliser les services reposant sur FeliCa en se référant aux informations communiquées par leurs fournisseurs respectifs. Sony n’a pas encore annoncé de mesures correctives précises. Une solution de fond pourrait toutefois nécessiter la désactivation de toutes les anciennes cartes concernées, ce qui représenterait un défi logistique considérable compte tenu du nombre de cartes en circulation.

L’Agence japonaise pour la promotion des technologies de l’information (IPA) a joué un rôle essentiel dans la coordination de la divulgation de la faille et de la réponse à y apporter. Ses recommandations en matière d’alerte précoce et de partage d’informations ont permis d’informer les fournisseurs de services et de les aider à évaluer les risques pour leurs systèmes.

Déclarations des principaux partenaires

JR East, exploitant de la carte de transport Suica, ainsi que d’autres grands partenaires, ont assuré aux utilisateurs que leurs systèmes restaient sûrs. Ils se sont engagés à travailler avec Sony et les autorités compétentes pour répondre à toute menace potentielle. Selon une analyse publiée par At a Distance, le problème est largement théorique et peut être géré au niveau des systèmes :

Même si les clés d’une puce de carte étaient compromises, il serait facile d’identifier et de bloquer ces cartes depuis les systèmes centraux.

Cette approche de sécurité à plusieurs niveaux, qui associe la protection de la puce à la surveillance des systèmes centraux, a jusqu’à présent permis d’éviter tout abus connu.

Couverture médiatique et perception du public

La faille a suscité une attention considérable dans les médias japonais et internationaux. Certains titres ont été critiqués pour avoir exagéré les risques, tandis que d’autres se sont concentrés sur les détails techniques et les conséquences pratiques. Des blogs spécialisés et des analystes du secteur ont souligné que cette faille n’était pas nouvelle pour les chercheurs en sécurité et que des problèmes similaires avaient été découverts dans d’autres systèmes de cartes à puce dans le monde.

Le traitement médiatique des questions de cybersécurité fait également l’objet d’un débat plus large. Certains experts mettent en garde contre tout alarmisme et estiment que le risque réel pour les consommateurs reste faible tant que les fournisseurs de services maintiennent des procédures robustes de surveillance et de réponse.

Contexte technique : pourquoi les cartes à puce sont-elles vulnérables ?

Les cartes à puce comme FeliCa reposent sur des micropuces intégrées qui stockent des données sensibles et effectuent des opérations cryptographiques. Au fil du temps, les progrès des techniques de piratage, comme les attaques par canaux auxiliaires et le décapsulation des puces, ont révélé des failles dans les anciennes générations de puces. Dans le cas de FeliCa, les puces concernées ont été produites avant 2017, avant que certaines améliorations de sécurité ne deviennent la norme.

Comment les attaquants pourraient-ils exploiter la faille ?

En théorie, un attaquant ayant physiquement accès à une carte vulnérable pourrait utiliser du matériel spécialisé pour extraire les clés de chiffrement et modifier les données de la carte. Il pourrait ainsi :

• Ajouter sans autorisation du crédit sur une carte de transport ou de paiement
• Contrefaire des identifiants d’accès à des sites sécurisés
• Cloner des cartes à des fins frauduleuses

Toutefois, de telles attaques nécessitent une expertise et du matériel spécifiques. Il est peu probable qu’elles soient menées à grande échelle sans être détectées.

Que doivent faire les utilisateurs ?

Pour la plupart des consommateurs, aucune mesure immédiate n’est nécessaire. Les fournisseurs de services et les émetteurs de cartes surveillent toute activité suspecte et informeront les utilisateurs si une action est requise. Si vous utilisez une carte FeliCa physique délivrée avant 2017, il se peut qu’on vous demande à terme de la remplacer dans le cadre d’une mise à niveau générale de la sécurité. Les utilisateurs de portefeuilles mobiles ou de cartes plus récentes ne sont pas concernés.

Conseils des experts en sécurité

Les professionnels de la cybersécurité recommandent les bonnes pratiques suivantes :

• Consulter les annonces officielles de l’émetteur de votre carte ou de votre fournisseur de services
• Signaler immédiatement toute activité suspecte ou transaction non autorisée
• Remplacer les anciennes cartes si votre fournisseur vous le recommande

Un analyste en cybersécurité a déclaré au Mainichi :

Il s’agit d’un problème extrêmement grave qui sape la confiance dans les infrastructures, mais avec une surveillance et une réponse adaptées, le risque pour les utilisateurs au quotidien reste faible.

Conséquences plus larges pour la société japonaise sans espèces

La faille FeliCa met en évidence les difficultés que pose la sécurité de systèmes d’infrastructure de grande ampleur et conçus pour durer. Alors que le Japon et d’autres pays évoluent vers des sociétés sans espèces, la sécurité des systèmes de paiement et d’identification devient toujours plus cruciale. Cet incident souligne la nécessité de :

• Réaliser régulièrement des audits de sécurité et mettre à jour les systèmes anciens
• Assurer une communication transparente entre les fournisseurs de technologies, les exploitants de services et le public
• Investir dans du matériel et des logiciels sécurisés de nouvelle génération

Il rappelle également qu’aucun système n’est à l’abri des failles et qu’une sécurité à plusieurs niveaux, associant matériel, logiciels et surveillance des systèmes centraux, est indispensable à la résilience.

En bref

• Sony a confirmé une faille de sécurité critique dans les puces IC FeliCa livrées avant 2017, qui équipent des cartes physiques utilisées au Japon pour les transports, les paiements et l’identification.
• Cette faille pourrait permettre à des attaquants de contourner le chiffrement et de modifier les données stockées, mais aucun cas d’exploitation réelle n’a été détecté à ce jour.
• Les appareils Mobile FeliCa et les cartes plus récentes ne sont pas concernés.
• Les fournisseurs de services disposent de dispositifs robustes de surveillance et peuvent bloquer les cartes compromises au niveau du système.
• Sony et ses partenaires coopèrent avec les autorités et n’ont pas encore annoncé de mesures correctives précises, mais le remplacement des anciennes cartes pourrait s’avérer nécessaire.
• L’incident souligne l’importance des mises à jour régulières de sécurité et d’une communication transparente pour les systèmes d’infrastructure critiques.