APT au Japon : protéger votre filiale et ses liens avec le siège

Votre groupe possède une filiale, un centre de R&D ou une coentreprise au Japon ? Cette entité est probablement reliée à votre système d’information par un VPN, un annuaire Active Directory ou un locataire Microsoft 365 commun. Pour un attaquant étatique qui s’intéresse aux technologies japonaises, ou qui cherche une porte d’entrée vers votre siège, c’est une cible de choix.

Les autorités japonaises ont publiquement mis en cause plusieurs groupes de menace persistante avancée (APT, pour Advanced Persistent Threat) ces dernières années. Leurs constats recoupent largement ceux de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) en France : espionnage d’origine étatique, exploitation des équipements de bordure, abus d’outils légitimes. Mais l’implantation japonaise d’un groupe français cumule des risques propres : elle est souvent plus petite, administrée à distance et liée au siège par des relations de confiance que peu de monde surveille.

Cet article présente ce que les autorités japonaises ont effectivement attribué, et à qui. Il compare ensuite ces constats avec ceux de l’ANSSI, résume la nouvelle loi japonaise dite de cyberdéfense active et propose des mesures concrètes pour protéger l’entité japonaise et ses liens avec le siège français.

L’essentiel en trois points

• Des attributions officielles et documentées : l’Agence nationale de la police japonaise (NPA) a publiquement mis en cause MirrorFace (soupçon d’implication de la Chine, janvier 2025) et TraderTraitor, rattaché au groupe Lazarus nord-coréen (vol d’environ 48,2 milliards de yens chez DMM Bitcoin, décembre 2024). Elle a aussi cosigné avec les agences américaines un avis sur BlackTech, qui passe des filiales à l’étranger vers le siège.
• Les mêmes portes d’entrée qu’en France : VPN et équipements de bordure vulnérables, courriels ciblés très crédibles, faux recruteurs. L’ANSSI relève elle aussi que les équipements de bordure restent une cible très prisée et que les acteurs liés à la Russie et à la Chine dominent l’espionnage contre les intérêts français.
• Un nouveau cadre au Japon : depuis le 1er octobre 2026, la loi n° 42 de 2025 impose aux opérateurs d’infrastructures essentielles désignés de déclarer leurs incidents et autorise des mesures de neutralisation des serveurs d’attaque. Si votre entité japonaise n’est pas un opérateur désigné, elle peut en être le fournisseur ou le prestataire.

Ce que les autorités japonaises ont attribué publiquement

Au Japon, la plupart des attributions publiques viennent de la police, au terme d’enquêtes judiciaires, souvent en lien avec le Centre national de préparation aux incidents et de stratégie pour la cybersécurité (NISC). Depuis le 1er juillet 2025, le NISC a laissé la place au Bureau national de la cybersécurité (National Cybersecurity Office, NCO), rattaché au secrétariat du Cabinet.

MirrorFace : trois campagnes depuis 2019

L’alerte du 8 janvier 2025 décrit trois campagnes. Selon la NPA, leur but principal est le vol d’informations liées à la sécurité nationale et aux technologies de pointe japonaises.

• Campagne A (2019-2023) : courriels piégés envoyés à des groupes de réflexion, à des agents publics (y compris retraités), à des responsables politiques et à des médias. Les expéditeurs se faisaient passer pour d’anciens dirigeants de l’organisation visée ou pour des experts du domaine. Les pièces jointes (Word, Excel, images disque VHD ou ISO) installaient le logiciel malveillant LODEINFO à l’activation des macros.
• Campagne B (à partir de 2023) : intrusion par des failles de VPN et d’équipements exposés sur Internet, par des identifiants volés (certificats clients compris) ou par injection SQL sur des serveurs publics. Cibles principales : semi-conducteurs, industrie, technologies de l’information et de la communication, recherche universitaire, aérospatial. Une fois à l’intérieur, les attaquants ont compromis des serveurs Active Directory, accédé à Microsoft 365 et à des serveurs de virtualisation, et copié des images de machines virtuelles. Certaines compromissions se sont prolongées jusqu’en 2024.
• Campagne C (depuis juin 2024) : courriels contenant un lien de téléchargement, avec des fichiers raccourcis (.lnk) déguisés en documents Office, pour installer le logiciel malveillant ANEL. Les messages reprenaient de véritables échanges volés, légèrement modifiés : rien ne paraît anormal au destinataire.

La NPA cite trois vulnérabilités exploitées : CVE-2023-28461 (Array Networks AG et vxAG), CVE-2023-27997 (Fortinet FortiOS et FortiProxy) et CVE-2023-3519 (Citrix ADC et Gateway). Elle décrit aussi deux techniques de dissimulation : l’exécution du logiciel malveillant dans Windows Sandbox, à l’abri de l’antivirus et de l’EDR de la machine hôte, et le détournement des tunnels de développement de Visual Studio Code comme outil de prise de contrôle à distance.

BlackTech : de la filiale au siège

C’est l’avis le plus directement utile pour un groupe multinational. Selon l’avis conjoint américano-japonais de septembre 2023, BlackTech cible les routeurs des succursales, ces petits équipements qui relient un bureau distant au siège. Il en modifie le micrologiciel sans être détecté, puis exploite la relation de confiance dont bénéficient ces routeurs dans le réseau de l’entreprise pour remonter vers le siège. Les sièges au Japon et aux États-Unis sont ses cibles principales.

Pour une entreprise française, la leçon est la même dans l’autre sens. Votre filiale japonaise est un « site distant » de votre réseau. Si son routeur ou son VPN est compromis, c’est un chemin de confiance vers votre siège.

TraderTraitor : le faux recruteur

Le vol chez DMM Bitcoin montre une autre méthode. Fin mars 2024, l’attaquant s’est présenté comme recruteur sur LinkedIn auprès d’un employé de Ginco, éditeur japonais de portefeuilles de cryptoactifs pour entreprises. Il lui a envoyé, sous couvert de test d’embauche, un script Python malveillant hébergé sur GitHub. À partir de mi-mai 2024, il a réutilisé les cookies de session de cet employé pour se faire passer pour lui, puis a modifié une demande de transaction légitime. Résultat : 4 502,9 bitcoins perdus. La NPA rattache TraderTraitor au groupe Lazarus, présenté comme une organisation subordonnée aux autorités nord-coréennes.

Ce que disent, et ne disent pas, ces attributions

Le vocabulaire compte. Pour MirrorFace, la NPA parle d’une activité « dont l’implication de la Chine est soupçonnée », sans désigner de service précis. Pour Tick, elle conclut à l’implication « probable » d’une unité militaire chinoise. Les noms de groupes varient aussi selon les sources : l’éditeur slovaque ESET considère depuis mars 2025 MirrorFace comme un sous-groupe d’APT10, mais c’est l’analyse d’un éditeur, pas celle de la police japonaise.

ESET a d’ailleurs observé MirrorFace hors du Japon : en août 2024, le groupe a compromis un institut diplomatique d’Europe centrale avec un courriel prenant pour prétexte l’Exposition universelle d’Osaka 2025. Selon ESET, c’était la première fois que MirrorFace visait une entité européenne. Des organisations européennes en relation avec le Japon peuvent donc elles-mêmes constituer des cibles.

Pourquoi les implantations japonaises des groupes étrangers sont exposées

Les publications japonaises ne visent pas spécifiquement les entreprises françaises. Mais trois de leurs constats s’appliquent directement aux filiales, centres de R&D et coentreprises d’un groupe étranger.

• Les secteurs visés. La campagne B de MirrorFace cible les semi-conducteurs, l’industrie, les technologies de l’information, la recherche et l’aérospatial. Un centre de R&D ou une coentreprise industrielle au Japon détient précisément ce type d’informations, parfois avec un partenaire japonais qui intéresse lui aussi les attaquants.
• Les équipements de bordure gérés localement. Les intrusions de la campagne B passent par des VPN et des équipements exposés. Dans une petite filiale, ces équipements sont souvent installés par un intégrateur local, peu journalisés et mis à jour au rythme de la maintenance locale plutôt que de la politique du groupe.
• Les relations de confiance avec le siège. BlackTech exploite justement les liens de confiance entre succursales et siège. Approbations entre domaines Active Directory, tunnels VPN site à site, comptes d’administration partagés, locataire cloud commun : chacun de ces liens peut transformer une compromission locale en compromission du groupe.

Pour une coentreprise, s’ajoute une question de gouvernance : qui administre le réseau, qui reçoit les alertes et à qui l’incident doit être signalé. Ces points sont rarement écrits dans le pacte d’associés.

Japon et France : des constats proches

Le Panorama de la cybermenace 2025 de l’ANSSI, publié le 11 mars 2026, dresse un tableau très proche de celui des autorités japonaises. L’ANSSI y constate que les modes opératoires d’attaque (MOA) qui ont visé les intérêts français sont liés à la Russie et à la Chine, principalement à des fins d’espionnage ou de pré-positionnement. Elle note aussi que les équipements de bordure restent une cible très prisée et que leur compromission répétée a fortement mobilisé ses équipes de réponse à incident.

Un exemple cité par l’ANSSI rappelle la campagne B de MirrorFace : fin 2024, le MOA réputé chinois Houken a visé des entités gouvernementales françaises ainsi que les secteurs des télécommunications, des médias, de la finance et des transports, en exploitant des vulnérabilités jour zéro d’équipements Ivanti (CVE-2024-8190, CVE-2024-8963 et CVE-2024-9380).

Côté russe, la France a officiellement attribué le 29 avril 2025 au service de renseignement militaire russe (GRU) le mode opératoire APT28, utilisé depuis 2021 contre une dizaine d’entités françaises, dont des services publics et des entreprises privées.

La loi japonaise de cyberdéfense active

Le Japon s’est doté en 2025 d’une loi relative à la prévention des dommages causés par des actes illicites contre les ordinateurs importants (loi n° 42 de 2025, promulguée le 23 mai 2025), présentée par le gouvernement comme la loi de renforcement des capacités de cyberdéfense. Elle introduit ce que le gouvernement appelle la cyberdéfense active. Ses principales dispositions s’appliquent depuis le 1er octobre 2026.

• Qui est visé : les opérateurs d’infrastructures essentielles désignés au titre de la loi japonaise sur la sécurité économique. Le gouvernement en compte 258, dans 15 secteurs (finance, électricité, eau, télécommunications, transport aérien et ferroviaire, cartes de crédit, entre autres).
• Déclaration des systèmes : ces opérateurs doivent déclarer les produits informatiques qui font fonctionner leurs équipements critiques, avant le 31 mars 2027 pour ceux déjà en place, puis dans les quatre mois suivant chaque nouvelle installation.
• Déclaration des incidents : un premier rapport sous 3 à 5 jours après la prise de connaissance pour un rançongiciel ou une autre cyberattaque (dès que possible pour un DDoS), puis un rapport détaillé sous 30 jours. Le guide officiel précise que l’obligation s’applique aussi lorsque l’équipement compromis se trouve hors du Japon.
• Partage d’informations : un conseil public-privé doit diffuser des informations sur les menaces, dont certaines classifiées, à ses membres, qui doivent être environ 100 au démarrage.
• Mesures offensives encadrées : l’accès aux serveurs d’attaque et leur neutralisation par l’État sont possibles depuis octobre 2026, sous le contrôle d’une commission créée par la loi, dont l’approbation est en principe requise. L’analyse des données de communication par le gouvernement doit entrer en vigueur à l’automne 2027.

Pour une filiale française, la question pratique est simple : votre entité japonaise est-elle un opérateur désigné, ou fournit-elle des systèmes ou des services à l’un d’eux ? Dans le premier cas, l’obligation de déclaration s’applique directement. Dans le second, attendez-vous à des demandes contractuelles d’information et de notification de la part de votre client japonais. Si certains systèmes concernés sont hébergés ou administrés depuis la France, prévoyez aussi comment transmettre les informations demandées. Le guide officiel signale lui-même que les règles de localisation des données propres à certains pays peuvent compliquer ces transmissions.

Protéger l’entité japonaise et ses liens avec le siège

Les mesures ci-dessous reprennent, pour l’essentiel, les recommandations de la NPA (alerte MirrorFace) et de l’avis conjoint sur BlackTech, appliquées au cas d’une implantation japonaise reliée à un siège français.

1. Identités et Active Directory

• Cartographiez les approbations entre domaines, les comptes d’administration partagés et les rôles d’administration du locataire cloud qui relient la filiale au siège. Supprimez ce qui n’est pas indispensable.
• Séparez les comptes d’administration de la filiale de ceux du groupe et imposez une authentification multifacteur résistante à l’hameçonnage pour tous les administrateurs.
• Réduisez la durée de vie des sessions et surveillez les réutilisations de cookies de session : c’est ainsi que TraderTraitor s’est fait passer pour un employé.
• Recherchez régulièrement les comptes inactifs et désactivez ceux qui ne servent plus. La NPA demande aussi de limiter par adresse IP l’accès des comptes d’administration et de maintenance, et de rapprocher leurs connexions des demandes d’intervention.

2. VPN, routeurs et équipements de bordure

• Inventoriez tous les équipements exposés de l’entité japonaise, y compris ceux installés et gérés par un intégrateur local, et intégrez-les à la gestion des vulnérabilités du groupe. Suivez le catalogue KEV de la CISA et les alertes de JPCERT/CC.
• Vérifiez que le VPN enregistre correctement l’adresse IP source des connexions. La NPA a constaté des journaux où celle-ci apparaissait comme une adresse de bouclage (par exemple 127.0.0.2).
• Surveillez les connexions « inhabituelles » : depuis l’étranger alors que les utilisateurs sont au Japon, avec un navigateur (User-Agent) différent de l’habitude, ou, côté siège, depuis le Japon à des heures improbables.
• Surveillez l’activité interne dont la source est le VPN lui-même (accès à l’Active Directory ou aux serveurs de fichiers). Une porte dérobée installée sur l’équipement apparaît souvent avec son adresse côté réseau interne.
• Pour les routeurs reliés au siège, suivez l’avis sur BlackTech : vérifiez l’intégrité du micrologiciel, contrôlez les journaux pour repérer des redémarrages ou mises à jour non prévus, bloquez les connexions sortantes des interfaces d’administration et privilégiez les équipements à démarrage sécurisé.
• Un équipement compromis doit être remplacé. La NPA prévient qu’un correctif ou une mise à jour du micrologiciel ne supprime pas forcément une porte dérobée déjà installée.

3. Messagerie et ingénierie sociale

• Formez les équipes japonaises, et les équipes françaises qui échangent avec elles, aux leurres décrits par la NPA : faux anciens dirigeants, faux experts, faux journalistes demandant une interview, fils de discussion authentiques réutilisés.
• Traitez comme suspects les formats inhabituels dans vos échanges : ZIP protégé par mot de passe, images disque VHD ou ISO, raccourcis .lnk, liens de téléchargement OneDrive ou Google Drive inattendus. Bloquez l’exécution des macros venues d’Internet.
• Appliquez SPF, DKIM et DMARC à tous les domaines du groupe, y compris le domaine .jp de la filiale.
• Sensibilisez les ingénieurs et les développeurs aux faux recruteurs et aux « tests techniques » à exécuter sur un poste professionnel.

4. Journalisation et détection

• Centralisez les journaux de la filiale (VPN, Active Directory, Microsoft 365, EDR) hors des équipements eux-mêmes, que l’attaquant peut effacer, et conservez-les assez longtemps : plusieurs compromissions MirrorFace ont duré des mois.
• Assurez-vous que le centre opérationnel de sécurité (SOC) du groupe couvre réellement le Japon, malgré le décalage horaire avec la France (sept ou huit heures selon la saison).
• Désactivez Windows Sandbox sur les postes qui n’en ont pas besoin et contrôlez l’usage des tunnels de développement de VS Code : ce sont deux techniques documentées par la NPA pour échapper à l’EDR.

5. En cas de soupçon de compromission

• Isolez le poste ou le serveur sur toutes ses interfaces (filaire, Wi-Fi, VPN) sans l’éteindre, pour préserver la mémoire vive, puis réalisez des copies forensiques avant toute remise en état.
• N’éradiquez qu’une fois l’étendue de la compromission établie, faute de quoi l’attaquant peut se réinstaller par une autre voie.
• Décidez à l’avance qui prévient qui : la police japonaise et, si la filiale est concernée par la loi de 2025, les ministères compétents au Japon ; la Commission de protection des informations personnelles (PPC) au titre de la loi japonaise sur la protection des informations personnelles (APPI) en cas de fuite de données personnelles ; l’ANSSI ou la CNIL côté français. Les délais diffèrent : notre article sur les notifications de violation au titre de l’APPI et du RGPD les compare.

6. Tester le chemin filiale-siège

Un test d’intrusion ou un exercice de type red team qui part de la filiale japonaise permet de répondre à la question que posent les publications de la NPA : un attaquant qui compromet le VPN de Tokyo ou d’Osaka peut-il atteindre l’Active Directory ou les données du siège, et votre SOC le voit-il ?

Questions fréquentes

Q1. Une petite filiale commerciale au Japon intéresse-t-elle vraiment des attaquants étatiques ?

Pas forcément pour ce qu’elle détient, mais pour ce à quoi elle donne accès. L’avis sur BlackTech décrit précisément l’usage des filiales et des succursales comme point de rebond vers le siège. Une petite entité, moins surveillée et reliée au réseau du groupe, est un chemin commode.

Q2. Les attributions japonaises valent-elles une attribution politique, comme celle de la France contre APT28 ?

Pas toujours. La police japonaise publie le résultat de ses enquêtes et emploie souvent des formules prudentes, comme une implication « soupçonnée » ou « probable » d’un État. Le Japon a aussi pris des positions diplomatiques, par exemple sur APT10 en 2018. Côté français, l’ANSSI distingue l’imputation technique de l’attribution, qui est un acte politique : pour APT28, elle a été annoncée par le ministère de l’Europe et des Affaires étrangères.

Q3. Notre filiale japonaise est-elle soumise à la loi de cyberdéfense active ?

Seulement si elle fait partie des opérateurs d’infrastructures essentielles désignés (258 dans 15 secteurs, selon le gouvernement). Dans la plupart des cas, une filiale de groupe étranger sera plutôt fournisseur ou prestataire d’un opérateur désigné, et les exigences lui arriveront par contrat. Vérifiez auprès de votre conseil au Japon.

Q4. Faut-il gérer la sécurité de l’entité japonaise depuis la France ou sur place ?

Les deux. Les règles (gestion des identités, journalisation, correctifs, détection) doivent être celles du groupe et suivies par le SOC du groupe. Mais il faut sur place une personne capable d’agir vite, de dialoguer avec l’intégrateur local et, en cas d’incident, avec la police japonaise, en japonais.

Q5. Par où commencer ?

Par l’inventaire des équipements exposés de l’entité japonaise et des liens de confiance qui la relient au siège. Ce sont les deux points d’entrée que l’on retrouve dans les attributions japonaises comme dans le panorama de l’ANSSI.

Parler à AEVUS

AEVUS est une entreprise de cybersécurité basée au Japon. Nous réalisons des tests d’intrusion externes et internes, des audits d’Active Directory, des exercices de type red team et des simulations d’hameçonnage, et nous accompagnons la réponse à incident. Pour un groupe français, nous pouvons tester en particulier le chemin entre votre implantation japonaise et votre siège, et travailler avec vos équipes en français ou en anglais, et avec vos interlocuteurs locaux en japonais. Si vous souhaitez évaluer l’exposition de votre filiale, de votre centre de R&D ou de votre coentreprise au Japon, contactez-nous.

En résumé

• La police japonaise a publiquement mis en cause MirrorFace (implication soupçonnée de la Chine), TraderTraitor (Lazarus, Corée du Nord) et Tick, et a cosigné l’avis sur BlackTech avec les agences américaines.
• Les portes d’entrée sont les mêmes qu’en France selon l’ANSSI : VPN et équipements de bordure, courriels ciblés crédibles, ingénierie sociale.
• Une implantation japonaise reliée au siège par VPN, Active Directory ou cloud commun peut servir de point de rebond, comme le décrit l’avis sur BlackTech.
• Depuis le 1er octobre 2026, la loi japonaise n° 42 de 2025 impose la déclaration d’incidents aux opérateurs d’infrastructures essentielles désignés, y compris pour des équipements situés hors du Japon.
• Priorités : inventaire des équipements exposés, revue des liens de confiance avec le siège, journalisation centralisée, détection couvrant le Japon, et un test du chemin filiale-siège.

Sources

• NPA et NISC, alerte sur les cyberattaques de MirrorFace, 8 janvier 2025 (en japonais, PDF)
• NPA et NISC, Alert: Cyberattacks by MirrorFace, traduction provisoire (en anglais, PDF)
• NSA, FBI, CISA, NPA et NISC, People’s Republic of China-Linked Cyber Actors Hide in Router Firmware (AA23-270A), 27 septembre 2023 (en anglais)
• NPA, cyberattaque de TraderTraitor contre des acteurs des cryptoactifs, 24 décembre 2024 (en japonais)
• NPA, Alert: Cyberattack by North Korean Cyber Actors, TraderTraitor, traduction provisoire (en anglais, PDF)
• NPA, Livre blanc de la police 2021, synthèse (affaire Tick et JAXA) (en japonais, PDF)
• Ministère japonais des Affaires étrangères, déclaration sur les cyberattaques du groupe APT10, décembre 2018 (en anglais)
• ESET, Operation AkaiRyū: MirrorFace invites Europe to Expo 2025, 18 mars 2025 (en anglais)
• ANSSI, Panorama de la cybermenace 2025, 11 mars 2026
• CERT-FR, Panorama de la cybermenace 2025 (CERTFR-2026-CTI-002), rapport complet
• Ministère de l’Europe et des Affaires étrangères, attribution de cyberattaques contre la France au GRU (APT28), 29 avril 2025
• Cabinet du Premier ministre, cérémonie de création du National Cybersecurity Office, 1er juillet 2025 (en japonais)
• Texte de la loi n° 42 de 2025 (e-Gov) (en japonais)
• NCO et Bureau du Cabinet, entrée en vigueur de la loi de renforcement des capacités de cyberdéfense, septembre 2026 (en japonais, PDF)
• Bureau du Cabinet et ministères concernés, guide du régime de déclaration des opérateurs d’infrastructures essentielles, 1er octobre 2026 (en japonais, PDF)
• Directive (UE) 2022/2555 (NIS 2), EUR-Lex

Articles connexes

• Attaques par la chaîne d’approvisionnement au Japon
• Cyberattaques contre l’industrie japonaise en 2026
• Les principales cyberattaques au Japon en 2026