Cyberattaques au Japon en 2026 : panorama par secteur

Votre entreprise a une filiale, une usine, des fournisseurs ou un site marchand au Japon ? Les incidents rendus publics en 2026 y ont touché un brasseur, un logisticien du froid, un hôpital universitaire, un assureur, un service d’autopartage, une chaîne de restaurants et un fournisseur de cloud utilisé par près de 500 entreprises et collectivités.

Cet article dresse le panorama de ces incidents par secteur, à partir des communiqués officiels des organisations touchées et des statistiques publiques japonaises. Il en dégage les schémas récurrents, les compare à la situation décrite par l’ANSSI pour la France, puis propose les questions qu’un siège français peut poser à sa filiale et à ses fournisseurs japonais.

Les chiffres sont ceux publiés à la mi-octobre 2026. Plusieurs enquêtes sont encore en cours et les bilans peuvent évoluer.

L’essentiel en trois points

• Le rançongiciel reste la première menace, et il entre surtout par les accès distants. La police japonaise a recensé 226 signalements en 2025 et 123 au premier semestre 2026, un record pour un semestre. Les équipements VPN sont la première porte d’entrée déclarée par les victimes.
• De plus en plus souvent, c’est le prestataire qui est touché. Un cloud ou un outil SaaS de gestion des demandes clients est compromis, et chacune des entreprises clientes doit ensuite évaluer l’incident, le déclarer si nécessaire et prévenir les personnes concernées.
• Les fuites de bases clients se comptent en millions. En 2026, une application de fidélité de restaurants a perdu 10,8 millions de fiches membres, un service d’autopartage 6,6 millions de comptes et un assureur les données de 4,4 millions de clients.

Ce que disent les statistiques japonaises

Deux publications officielles donnent la tendance de fond. L’Agence nationale de la police (National Police Agency, NPA) publie chaque semestre un état de la menace. L’Agence de promotion des technologies de l’information (Information-technology Promotion Agency, IPA), qui dépend du ministère de l’Économie, du Commerce et de l’Industrie (METI), classe chaque année les dix principales menaces pour les organisations.

Le nombre de rançongiciels signalés est stable à un niveau élevé entre 2024 et 2025, puis atteint un record semestriel en 2026. La NPA note aussi que des attaquants volent des données sans les chiffrer, puis menacent de les publier.

Panorama par secteur des incidents de 2026

Nous ne retenons ici que des faits publiés par les organisations elles-mêmes. Les communiqués japonais distinguent les données dont la fuite est confirmée de celles dont la fuite est possible. Nous reprenons cette distinction.

Industrie et logistique

Asahi Group Holdings (brasseur). L’attaque par rançongiciel date du 29 septembre 2025, mais l’essentiel du bilan a été publié en 2026. Selon le communiqué du 18 février 2026, l’attaquant est entré environ dix jours plus tôt par un équipement réseau situé sur un site du groupe. Il a ensuite exploité des mots de passe faibles pour obtenir des droits d’administrateur dans le principal centre de données, et il a mené ses reconnaissances surtout en dehors des heures de bureau. Les systèmes de commande et d’expédition ont été arrêtés et remplacés par un traitement manuel. La prise de commandes électronique n’a repris qu’au début de décembre 2025, et la logistique n’est revenue à la normale qu’en février 2026. L’impact s’est limité aux systèmes gérés au Japon.

Côté données, la fuite de 115 513 enregistrements est confirmée (5 117 salariés et 110 396 personnes chez des partenaires commerciaux). Le 17 juillet 2026, après des échanges avec la Commission de protection des informations personnelles (Personal Information Protection Commission, PPC), Asahi a étendu le périmètre des données « potentiellement exposées » à toutes celles dont la fuite ne peut être totalement exclue : environ 2,29 millions d’enregistrements au total.

Nichirei (agroalimentaire et logistique du froid). Le 13 juillet 2026, une cyberattaque a provoqué l’arrêt des entrées et sorties dans les entrepôts frigorifiques du groupe et des expéditions de surgelés, au Japon uniquement. Tous les sites ont repris une activité normale le 24 juillet. Le 18 septembre, Nichirei a confirmé une fuite de données : 3 308 destinataires de livraisons, 6 849 salariés de partenaires et 43 709 salariés, membres de leur famille et candidats. Pour ces derniers, les données comprennent les salaires, les primes et le statut de résidence.

Pour le détail des autres cas industriels, voir notre panorama des cyberattaques contre l’industrie japonaise.

Santé

Hôpital Musashi Kosugi de la Nippon Medical School. Le 9 février 2026 vers 1 h 50, des terminaux d’appel infirmier sont tombés en panne. Le fournisseur du système a constaté que ses serveurs avaient subi une attaque par rançongiciel. La porte d’entrée était un boîtier VPN servant à la maintenance à distance d’un système de surveillance des constantes vitales. D’abord estimée à environ 10 000 patients, la fuite a été réévaluée à environ 130 000 patients, plus environ 1 700 membres du personnel et étudiants en stage clinique. À la date du cinquième communiqué, aucune fuite de dossiers médicaux, de données de carte bancaire ou de numéros d’identification personnels (My Number) n’avait été constatée. Les soins ont continué normalement. L’hôpital a depuis restreint les adresses autorisées à se connecter et n’ouvre plus le VPN de maintenance qu’à la demande.

Assurance, banque et bourse

Aflac Life Insurance Japan. Une première fuite a eu lieu le 10 juin 2026. Les données d’environ 4,4 millions de clients ont fuité, dont environ 220 000 avec les coordonnées du compte de prélèvement des primes, ainsi que celles d’environ 40 000 agences. Dans son rapport d’enquête du 31 juillet 2026, l’assureur explique que les requêtes de l’attaquant avaient « le même format qu’une utilisation normale » et n’ont donc pas été détectées tout de suite, que rien ne surveillait ni ne limitait un grand volume de requêtes en peu de temps, et que ni la revue de conception ni les tests d’intrusion avant mise en production n’avaient envisagé ce scénario.

Comptes de courtage. La vague de 2025, rendue possible par des identifiants volés par hameçonnage, a conduit l’Agence des services financiers (Financial Services Agency, FSA) à réviser en octobre 2025 ses lignes directrices de supervision. Elles imposent désormais une authentification multifacteur résistante à l’hameçonnage (des passkeys, par exemple) pour les opérations importantes : connexion, retrait, changement du compte bancaire de destination. Voir aussi notre panorama du secteur financier japonais.

Services grand public et e-commerce

Times Car (Park24). Le service d’autopartage a détecté un accès frauduleux à son système web le 25 septembre 2026. Le 28 septembre, il a confirmé l’obtention par un tiers des données d’environ 6,6 millions de comptes. Cela inclut les anciens membres et les inscriptions jamais finalisées. Les données concernées sont les noms, adresses, dates de naissance, numéros de téléphone, e-mails et informations de permis de conduire, ainsi que les mots de passe, conservés sous une forme non réversible. Le 29 septembre, il a précisé que des images de pièces justificatives (permis de conduire, justificatifs de domicile, etc.) avaient fuité pour environ 1,6 million de comptes. Les données de carte bancaire ne sont pas concernées.

Yakiniku King (Monogatari Corporation). L’accès frauduleux au système de gestion des membres de l’application de cette chaîne de restaurants a été constaté le 2 octobre 2026 et la fuite le 3 octobre. Elle a été rendue publique le 5 octobre. Sur 10 808 784 inscrits, 10 788 963 fiches ont fait l’objet d’une fuite : numéro de membre, nom d’inscription, e-mail et téléphone. Les mots de passe et l’historique d’utilisation n’ont pas fuité, et l’entreprise ne conserve pas de données de paiement. Pour les autres cas du commerce, voir notre panorama e-commerce et distribution.

Cloud et SaaS : quand le prestataire est touché

IDCF Cloud (IDC Frontier). Le 7 octobre 2026 vers 3 h 40, une attaque par rançongiciel a arrêté une partie de la région Est-Japon 1 de ce cloud. Le fournisseur indique que 495 entreprises et collectivités sont touchées. Le 8 octobre, il jugeait les données de quatre zones difficiles à récupérer : la restauration ne semblait possible qu’à partir des sauvegardes conservées par les clients eux-mêmes. Plusieurs clients ont alors annoncé, par précaution, une fuite possible des adresses e-mail de leurs membres. JR Kyushu, par exemple, l’a fait le 9 octobre pour environ 1,3 million de membres web.

Le 14 octobre, IDC Frontier a indiqué n’avoir trouvé, avec un prestataire spécialisé, aucune trace de consultation ni d’exfiltration des données des serveurs virtuels touchés, et a conclu à l’absence de fuite. Il a aussi annoncé que les sauvegardes de 194 des 495 clients, ceux qui utilisaient la fonction d’instantanés, pouvaient finalement être récupérées. Le lendemain, JR Kyushu a informé ses membres qu’aucune fuite n’avait été constatée. L’incident reste avant tout une perte de disponibilité, dont la durée dépend des sauvegardes de chaque client.

i-ask (Scala Communications). Dans la nuit du 2 au 3 octobre 2026, un tiers s’est connecté sans autorisation au site d’administration de cet outil de FAQ et de gestion des demandes clients, puis a installé un programme malveillant sur le serveur. Les demandes clients de cinq entreprises utilisatrices au plus, hébergées sur le même serveur, ont pu être récupérées : 713 126 demandes au maximum. Parmi ces clients, Daiwa Securities a annoncé la fuite possible des noms, e-mails et numéros de compte d’environ 110 000 clients, en précisant que ces données ne permettent ni d’accéder aux comptes ni de passer des ordres.

Le 7 octobre 2026, la PPC a publié une mise en garde à l’intention des entreprises qui détiennent de grands volumes de données personnelles.

Trois schémas qui reviennent

1. Le rançongiciel entre par l’accès distant d’un site ou d’un prestataire

Chez Asahi, l’entrée s’est faite par un équipement réseau d’un site du groupe. À l’hôpital Musashi Kosugi, par le VPN de maintenance d’un fournisseur d’équipement médical. Les statistiques de la NPA vont dans le même sens. Ces équipements échappent souvent à l’inventaire du siège : ils ont été installés pour une usine, un entrepôt ou un contrat de maintenance, et personne ne suit leurs correctifs ni leurs comptes.

2. Le prestataire devient le point de fuite

IDCF Cloud et i-ask montrent qu’un seul prestataire compromis produit une série d’annonces, une par entreprise cliente. Ces clients doivent communiquer vite, souvent avant de connaître les conclusions du prestataire : JR Kyushu a annoncé une fuite possible le 9 octobre, puis l’absence de fuite constatée le 15 octobre. Au Japon, la responsabilité de la déclaration à la PPC et de l’information des personnes reste à l’entreprise qui a confié les données. Nous détaillons ce point dans notre article sur les attaques par la chaîne d’approvisionnement.

3. Les grandes bases clients sont vidées en une seule fois

Yakiniku King a perdu 99,8 % de sa base de membres. Aflac explique ne pas avoir vu l’attaque parce que les requêtes ressemblaient à un usage normal. Chez Times Car, la fuite touche aussi d’anciens membres et des inscriptions inachevées, ce qui pose la question de la durée de conservation. Contre ce type de fuite, la protection du périmètre ne suffit pas : il faut aussi limiter les volumes consultables, détecter les extractions anormales et ne pas garder les données plus longtemps que nécessaire.

Japon et France : des menaces proches, des cadres différents

Le Panorama de la cybermenace 2025 de l’ANSSI, publié le 11 mars 2026, décrit des tendances très proches. L’Agence a traité 3 586 événements de sécurité, dont 1 366 incidents. Elle a eu connaissance de 128 compromissions par rançongiciel, un chiffre légèrement inférieur à celui de 2024, mais de 196 incidents d’exfiltration de données, contre 130 en 2024. Elle relève des attaquants qui passent des systèmes d’un prestataire à ceux de ses clients, des compromissions d’environnements cloud allant jusqu’au chiffrement des ressources, et des équipements de sécurité de bordure compromis à répétition. Qilin est la souche la plus représentée dans ses incidents (21 %).

Ces chiffres ne se comparent pas directement : la NPA compte les signalements faits à la police, l’ANSSI les incidents portés à sa connaissance, avec des périmètres différents. Les mécanismes, eux, sont les mêmes : accès distants vulnérables, prestataires compromis, exfiltration de données.

Déclarer un incident : Japon, RGPD et NIS 2

Au Japon, la loi sur la protection des informations personnelles (Act on the Protection of Personal Information, APPI) impose de déclarer certaines fuites à la PPC : données sensibles, risque de préjudice financier, fuite d’origine malveillante (y compris un accès frauduleux) ou plus de 1 000 personnes concernées. La procédure se déroule en deux temps :

• un rapport préliminaire « rapide », que les lignes directrices de la PPC situent à environ 3 à 5 jours après la prise de connaissance ;
• un rapport définitif sous 30 jours, porté à 60 jours lorsque la fuite résulte d’un acte malveillant.

Les personnes concernées doivent aussi être informées. C’est l’entité japonaise qui traite les données, votre filiale par exemple, qui déclare. Un sous-traitant peut se contenter de prévenir son donneur d’ordre, qui déclare alors à sa place. Une révision de l’APPI a été promulguée le 17 juillet 2026. Elle crée notamment des sanctions pécuniaires administratives et assouplit l’information des personnes lorsque le risque est faible. Elle entrera en vigueur, pour l’essentiel, dans un délai de deux ans.

Dans l’Union européenne, le RGPD prévoit une notification à l’autorité de contrôle (la CNIL en France) dans les 72 heures lorsque c’est possible. La directive NIS 2 impose aux entités essentielles et importantes, en cas d’incident important, une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final un mois après celle-ci. En France, le projet de loi de transposition, adopté par le Sénat, a été retiré le 6 octobre 2026 de l’ordre du jour de l’Assemblée nationale prévu pour les 7 et 9 octobre. À la mi-octobre 2026, il n’était toujours pas adopté.

Pour un groupe français, il faut donc tenir plusieurs horloges en parallèle. Le délai japonais du rapport préliminaire paraît plus long que les 72 heures européennes, mais il court à partir du moment où un service quelconque de l’entité japonaise a connaissance des faits. Le cas Asahi montre en outre que le régulateur japonais pousse à retenir un périmètre large. Nous comparons les deux régimes en détail dans notre article APPI et RGPD.

Ce que le siège doit demander à sa filiale et à ses fournisseurs japonais

Les incidents de 2026 suggèrent une liste courte de questions, à poser par écrit et à suivre dans le temps.

Questions fréquentes

Q1. Un incident dans notre filiale japonaise doit-il être notifié en France ?

Au Japon, votre filiale déclare à la PPC au titre de l’APPI. L’application du RGPD ou de NIS 2 en plus dépend des données concernées et du rôle des entités du groupe établies dans l’Union, par exemple si le siège est responsable d’un traitement commun. Faites l’analyse à l’avance avec votre délégué à la protection des données et prévoyez une procédure qui couvre les deux régimes.

Q2. Nos systèmes ne sont pas touchés, mais notre prestataire japonais l’est. Sommes-nous concernés ?

Oui, si ce prestataire détient des données personnelles que vous lui avez confiées. Au Japon, c’est l’entreprise qui confie les données qui déclare à la PPC et informe les personnes, comme l’ont fait Daiwa Securities pour i-ask ou JR Kyushu pour IDCF Cloud en octobre 2026.

Q3. Peut-on comparer les chiffres japonais et français ?

Pas directement. La NPA compte les rançongiciels signalés à la police et l’ANSSI les incidents portés à sa connaissance. Les tendances, elles, convergent : accès distants vulnérables, prestataires compromis, hausse des exfiltrations de données.

Q4. Par où commencer ?

Par deux inventaires : celui des accès distants de chaque site japonais, y compris ceux de vos fournisseurs de maintenance, et celui des services externes qui détiennent des données de vos clients et salariés japonais. La plupart des incidents de 2026 sont passés par l’un ou l’autre.

Parler à AEVUS

AEVUS est une entreprise de cybersécurité basée au Japon. Nous réalisons des tests d’intrusion et des audits de la surface exposée (VPN, accès de maintenance, applications web, environnements cloud) pour des entreprises installées au Japon, et nous les accompagnons en cas d’incident. Si vous voulez savoir ce que votre filiale ou vos fournisseurs japonais exposent réellement, contactez-nous.

En résumé

• Au Japon, les rançongiciels signalés à la police restent à un niveau élevé (226 en 2025) et atteignent un record semestriel au premier semestre 2026 (123).
• Les accès distants de sites et de fournisseurs de maintenance sont la première porte d’entrée, comme chez Asahi et à l’hôpital Musashi Kosugi.
• En octobre 2026, les incidents d’IDCF Cloud (495 clients touchés) et d’i-ask ont montré qu’un incident chez un prestataire oblige chaque client à évaluer, déclarer et communiquer lui-même.
• Les fuites de bases clients atteignent plusieurs millions de personnes (Yakiniku King, Times Car, Aflac) ; chez Aflac, les requêtes de l’attaquant ressemblaient à un usage normal.
• L’ANSSI décrit les mêmes mécanismes en France. Les régimes de notification diffèrent : rapport préliminaire en 3 à 5 jours environ et rapport définitif en 30 ou 60 jours au Japon, 72 heures pour le RGPD, 24 heures, 72 heures et un mois pour NIS 2.

Sources

• National Police Agency, Threats in Cyberspace in 2025, mars 2026 (en anglais, PDF)
• NPA, état de la menace au premier semestre 2026, septembre 2026 (en japonais, PDF)
• NPA, état de la menace en 2024, mars 2025 (en japonais, PDF)
• IPA, les dix principales menaces 2026 (en japonais)
• Asahi Group Holdings, mesures de prévention et renforcement de la gouvernance après la cyberattaque, 18 février 2026 (en japonais)
• Asahi Group Holdings, Regarding Personal Information That May Have Been Exposed Due to a Cyberattack, 17 juillet 2026 (en anglais)
• Nichirei, Regarding System Failures within the Nichirei Group, 13 juillet 2026 (en anglais, PDF)
• Nichirei, reprise normale des opérations, 24 juillet 2026 (en anglais, PDF)
• Nichirei, résultats de l’enquête sur la fuite de données, 18 septembre 2026 (en anglais, PDF)
• Hôpital Musashi Kosugi de la Nippon Medical School, cinquième communiqué sur la cyberattaque, 27 février 2026 (en japonais)
• Aflac Life Insurance Japan, résultats de l’enquête et mesures de prévention, 31 juillet 2026 (en japonais, PDF)
• FSA, réponses à la consultation sur la révision des lignes directrices de supervision des intermédiaires financiers, 15 octobre 2025 (en japonais, PDF)
• Times Car, deuxième communiqué sur l’accès frauduleux, 28 septembre 2026 (en japonais)
• Times Car, troisième communiqué (pièces justificatives), 29 septembre 2026 (en japonais)
• Monogatari Corporation, fuite de données de l’application Yakiniku King, 5 octobre 2026 (en japonais)
• IDC Frontier, troisième communiqué sur l’incident IDCF Cloud, 8 octobre 2026 (en japonais)
• IDC Frontier, cinquième communiqué : résultats de l’enquête et sauvegardes, 14 octobre 2026 (en japonais)
• JR Kyushu, suite de l’annonce sur la fuite possible d’adresses e-mail, 15 octobre 2026 (en japonais, PDF)
• Scala, accès frauduleux chez sa filiale Scala Communications (i-ask), 6 octobre 2026 (en japonais, PDF)
• Daiwa Securities Group, fuite possible chez un prestataire, 5 octobre 2026 (en japonais, PDF)
• PPC, mise en garde après des fuites de grande ampleur, 7 octobre 2026 (en japonais)
• PPC, lignes directrices générales de l’APPI (déclaration des fuites) (en japonais)
• PPC, promulgation de la loi de révision de l’APPI, 17 juillet 2026 (en japonais)
• ANSSI / CERT-FR, Panorama de la cybermenace 2025, 11 mars 2026 (PDF)
• Directive (UE) 2022/2555 (NIS 2), article 23
• Règlement (UE) 2016/679 (RGPD), article 33
• Assemblée nationale, relevé de conclusions de la Conférence des présidents, 6 octobre 2026

Articles connexes

• Cyberattaques contre l’industrie japonaise en 2026
• Cyberattaques contre le secteur financier japonais en 2026
• Attaques par la chaîne d’approvisionnement : se protéger au Japon