Menaces, réglementation et incidents au Japon, analysés par les experts AEVUS.
Au Japon, le TLPT est une mesure recommandée des lignes directrices de cybersécurité de l’Agence des services financiers (FSA), sans désignation ni attestation. Comparaison avec DORA, le règlement délégué (UE) 2025/1190 et TIBER-FR, et réponse à la question des groupes français : un TLPT de groupe couvre-t-il l’entité japonaise ?
Au Japon, les attaques via les fournisseurs sont la 2e menace pour les organisations, et un cloud local touché en octobre 2026 a affecté 495 clients. Incidents récents, futur label SCS, exigences de NIS 2, DORA et du RGPD, questions à poser et clauses à prévoir : ce qu’une entreprise française doit savoir pour encadrer ses fournisseurs japonais.
Asahi, Nichirei, Murata, Swagelok FST Japan : les cyberattaques rendues publiques par des industriels japonais en 2026 ont surtout entraîné des arrêts de production et de livraisons. Cas vérifiés dans les communiqués officiels, comparaison avec NIS 2 et le Cyber Resilience Act, et exigences à poser à vos usines et fournisseurs au Japon.
Au Japon, clients et donneurs d’ordre demandent très souvent un certificat « ISMS », c’est-à-dire ISO/IEC 27001. Fonctionnement de la certification japonaise (ISMS-AC, JIS Q 27001, registre public, fin de la transition 2022), comparaison avec le COFRAC, HDS et SecNumCloud, et choix entre certificat de groupe et certificat propre pour votre filiale japonaise.
Depuis octobre 2024, la FSA range les audits de vulnérabilités et les tests d’intrusion réguliers parmi les mesures fondamentales de tous les établissements financiers supervisés au Japon. Périmètre exigé, normes FISC, comparaison avec les articles 24 et 25 de DORA et avec la pratique PASSI : ce qu’un groupe financier français doit prévoir pour tester son entité japonaise.
Aflac, Awa Bank, Daiwa Securities, prise de contrôle de comptes-titres : en 2026, les attaques contre la finance japonaise sont passées par des accès légitimes. Cet article résume les incidents officiels, compare les attentes de la FSA avec DORA, l’ACPR et l’AMF, et liste ce que le RSSI d’un groupe français doit vérifier dans son entité japonaise.
Skimming des pages de paiement, comptes d’administration volés, rançongiciel, plateforme mutualisée compromise : les incidents publiés en 2026 par l’e-commerce et le commerce de détail japonais, d’après les communiqués officiels. Ce qu’exigent la Credit Card Security Guideline et l’APPI, ce qui diffère de PCI DSS, de la DSP2 et de la CNIL, et ce que votre marque doit vérifier sur son site japonais.
Rançongiciels entrés par les VPN, prestataires cloud et SaaS compromis, bases clients de plusieurs millions de personnes : les principaux incidents de 2026 au Japon, secteur par secteur, d’après les communiqués officiels. Avec une comparaison avec le Panorama de l’ANSSI et les questions qu’un siège français peut poser à sa filiale et à ses fournisseurs japonais.
Au Japon, tout site marchand qui accepte la carte doit déclarer à son acquéreur ou à son PSP l’état de ses mesures de sécurité, même sans stocker de données de carte. Contenu de cette « Security Checklist » depuis avril 2025, différences avec un SAQ PCI DSS et points à vérifier quand une agence locale exploite votre site.
MirrorFace, BlackTech, Lazarus : ce que la police japonaise a publiquement attribué, et pourquoi les filiales, centres de R&D et coentreprises de groupes étrangers au Japon sont exposés. Comparaison avec le panorama de l’ANSSI, nouvelle loi japonaise de cyberdéfense active et mesures concrètes pour sécuriser identités, VPN et messagerie.
Une fuite touche votre filiale japonaise et des données européennes ? La loi japonaise APPI et le RGPD imposent deux notifications aux règles différentes : catégories fixées par les textes contre analyse du risque, rapport en deux temps contre 72 heures, information des personnes systématique ou non. Comparatif, réforme japonaise de 2026 et organisation à prévoir.
Depuis fin mars 2025, le Japon attend de tous les e-commerçants qu’ils mettent en place l’authentification EMV 3-D Secure. Base juridique, différences avec la DSP2, absence d’exemptions réglementaires et points à vérifier avec votre PSP : ce qu’une entreprise française doit savoir pour vendre en ligne au Japon.
Une question sur nos articles ou sur la sécurité de vos activités au Japon ? Écrivez-nous.
Nous contacter