Cyberattaques contre l’e-commerce au Japon en 2026 : cas et obligations

Votre marque vend au Japon sur son propre site, ou exploite des boutiques et un programme de fidélité via une filiale japonaise ? En 2026, les incidents publiés par des e-commerçants et des enseignes japonaises se sont succédé : code malveillant caché dans des pages de paiement, compte d’administration volé par hameçonnage, rançongiciel qui ferme des magasins, plateforme e-commerce mutualisée compromise. La marque de cosmétiques naturels Weleda a dû, elle aussi, fermer sa boutique en ligne japonaise.

Pour une entreprise française, les techniques d’attaque sont connues. Ce qui change, c’est le cadre : au Japon, la sécurité d’un site marchand est encadrée par une ligne directrice sectorielle relayée par les contrats d’acquisition, et la notification d’une fuite relève de la loi japonaise sur la protection des informations personnelles (APPI), pas du RGPD. Les délais de détection, de déclaration et de communication observés dans les cas de 2026 sont aussi très différents de ce que l’on voit en France.

Cet article s’appuie uniquement sur les communiqués officiels des entreprises concernées et sur des sources publiques (état au 19 octobre 2026). Lorsqu’une entreprise parle de fuite « possible », nous le précisons. Les enquêtes en cours peuvent faire évoluer les chiffres.

L’essentiel en trois points

• Trois scénarios dominent : le vol des données de carte dans la page de paiement (web skimming), le vol de comptes d’administration ou de comptes clients, et le rançongiciel qui arrête à la fois les magasins et l’expédition des commandes en ligne. Une plateforme e-commerce mutualisée, Shopserve, a aussi exposé les données d’environ 23,36 millions de personnes liées à 7 858 boutiques.
• Les e-commerçants détectent rarement eux-mêmes : dans la plupart des cas de skimming, l’alerte est venue d’une société de cartes. Entre cette alerte et la publication des détails, il s’est écoulé de 98 à 232 jours, et le paiement par carte est resté coupé pendant des mois.
• Les obligations japonaises sont précises : la Credit Card Security Guideline exige de tout site marchand une liste de mesures (restriction d’accès et double authentification sur l’interface d’administration, verrouillage après 10 échecs au plus, tests de vulnérabilité réguliers…), en plus d’EMV 3-D Secure. L’APPI impose une déclaration rapide à l’autorité japonaise (en pratique 3 à 5 jours pour le rapport préliminaire).

Le contexte en chiffres

Selon la Japan Consumer Credit Association (JCA), la fraude à la carte au Japon a atteint 22,13 milliards de yens au premier semestre 2026. L’usage frauduleux de numéros de carte, c’est-à-dire la fraude au paiement à distance, en représente 93,1 % (20,61 milliards de yens). La JCA a changé de méthode d’enquête en 2026 : ces chiffres ne se comparent donc pas directement à ceux des années précédentes.

Le lien avec l’e-commerce est direct. Un numéro de carte volé dans une page de paiement japonaise est réutilisé pour des achats à distance, et chaque fuite chez un e-commerçant alimente cette fraude.

Les incidents publiés en 2026

Le tableau ci-dessous reprend les cas les plus instructifs pour une marque qui vend au Japon. Plusieurs attaques ont eu lieu en 2024 ou 2025 et n’ont été rendues publiques qu’en 2026.

Scénario 1 : le skimming de la page de paiement

Ce qui s’est passé

Bonform, Saga Hirakawaya et Ink Kakumei décrivent le même mécanisme, presque dans les mêmes termes : un tiers a exploité une vulnérabilité du système et a modifié le code de la page de paiement. La page reste identique pour le client. Mais les numéros de carte, dates d’expiration et cryptogrammes saisis partent aussi vers un serveur de l’attaquant.

Ce scénario explique une idée reçue fréquente. Ne pas stocker les données de carte ne protège pas contre le skimming, puisque les données sont capturées au moment de la saisie. La ligne directrice japonaise le dit elle-même : des fuites de données de carte se produisent aussi chez des e-commerçants qui ne conservent pas ces données. Chez Bonform, même les clients qui ont saisi leur carte sans finaliser leur achat sont potentiellement concernés.

Des fuites longues, détectées par d’autres

• Bonform : le code malveillant a été actif de mars 2021 à novembre 2024. L’alerte d’une société de cartes n’est arrivée que le 14 janvier 2026.
• Saga Hirakawaya : fuite possible de mars 2025 à mars 2026, alerte d’une société de cartes le 9 mars 2026, publication des détails le 15 juin (98 jours plus tard). L’entreprise précise qu’un fichier malveillant avait été placé sur le serveur d’un prestataire.
• Ink Kakumei : fuite possible d’avril à décembre 2025, alerte d’une société de cartes le 9 décembre 2025, paiement par carte coupé le lendemain, publication le 29 juillet 2026 (232 jours plus tard).
• APORITO (RIZAP) : seul cas de détection interne. Un programme d’envoi externe suspect a été découvert le 5 août 2026 et le site a été fermé le jour même à 15 h 30. RIZAP prévoit la fin de l’enquête et la réouverture du site fin janvier 2027.
• Beauty Garage : paiement par carte coupé le soir même de l’alerte, le 6 février 2026. Plus de six mois plus tard, l’entreprise indiquait ne pas avoir établi les faits et avait confié une nouvelle enquête à un autre prestataire. Ses clients paient en attendant par PayPay, sur facture ou à la livraison.

Ink Kakumei et Bonform expliquent leur délai de la même façon : publier des informations incertaines aurait semé la confusion, et ils ont préféré attendre les résultats de l’enquête et la coordination avec les sociétés de cartes. Le premier a pourtant déclaré l’incident à la PPC dès le 11 décembre 2025, deux jours après l’alerte. Déclaration rapide à l’autorité, communication publique tardive : ce décalage est fréquent dans les cas japonais de fuite de cartes.

Scénario 2 : comptes d’administration et comptes clients

Kindal : un compte sans double authentification

Le communiqué de Treasure Factory, maison mère de Kindal, détaille l’attaque. Un employé a reçu un courriel d’hameçonnage se faisant passer pour l’éditeur de la plateforme e-commerce, et a saisi les identifiants de son compte sur un faux site. Le premier accès frauduleux a suivi immédiatement. Le 23 août 2026, l’attaquant a changé l’adresse électronique du compte, puis lancé deux exports complets du fichier clients. L’anomalie a été découverte le 24 août, lors d’un export de routine.

Le compte n’avait pas de double authentification, et son mot de passe n’était pas assez robuste. Le fichier exporté couvre 136 464 clients : nom, adresse, téléphone, date de naissance, courriel, nombre et montant des commandes, historique de points. Il ne contient ni données de carte ni mots de passe clients. Kindal a rendu la double authentification obligatoire sur tous les comptes de la plateforme et a déclaré l’incident à la PPC le 27 août.

Pour une maison de luxe ou de mode, le cas est parlant. Le site lui-même n’a pas été piraté : l’attaquant s’est simplement connecté avec un compte légitime, puis a utilisé une fonction normale de la plateforme.

Charm : des comptes clients et des données conservées trop longtemps

Charm, grand site d’animalerie, a détecté un accès non autorisé le 12 août 2026 et fermé sa boutique principale le jour même. Il a déclaré l’incident à la PPC le 13 août. Ses rapports successifs ont fait évoluer le périmètre : environ 230 000 enregistrements en fuite possible au départ, puis environ 370 000 en fuite confirmée et 20 000 en fuite possible le 2 septembre. Les données de carte ne sont pas concernées.

Charm a aussi constaté des connexions frauduleuses aux comptes de 239 clients, avec des adresses électroniques et des mots de passe dont l’origine n’est pas identifiée. Le 7 octobre, l’entreprise a ajouté environ 25 000 enregistrements d’anciens clients, conservés après leur désinscription pour des obligations légales ou le service après-vente. Elle annonce désormais supprimer les données dont la durée de conservation est échue. Le même jour, la PPC a publié une alerte qui rappelle aux entreprises de supprimer sans délai les données devenues inutiles, car leur conservation aggrave certaines fuites.

Scénario 3 : le rançongiciel qui ferme les magasins et le site

REXT Holdings exploite plusieurs enseignes de détail (WonderGOO, WonderREX, Shinseido, HAPiNS, JEANS MATE). Le 9 août 2026, des serveurs et postes du siège et des magasins ont été chiffrés, ce qui a arrêté les caisses (POS) et la comptabilité. Conséquences annoncées dès le lendemain : fermeture temporaire de magasins, paiements sans espèces restreints, rachat et points de fidélité suspendus, retards d’expédition des commandes en ligne. Tous les magasins ont rouvert le 16 août.

L’évolution de la communication est instructive. Le 14 août, REXT jugeait une fuite « extrêmement peu probable ». Le 11 septembre, l’entreprise constatait que des informations lui appartenant étaient publiées sur Internet. Le 9 octobre, le rapport final distinguait :

• la fuite confirmée : 310 fichiers (environ 54 Mo) publiés par les attaquants, contenant des données de candidats, de salariés, de membres et des factures de fournisseurs avec leurs coordonnées bancaires ;
• la fuite possible : 1 044 906 enregistrements stockés sur les serveurs chiffrés, sans preuve d’exfiltration, mais auxquels l’accès ne peut être exclu. Aucune donnée de carte n’est concernée.

L’enquête conclut que l’attaquant était présent dans le réseau avant le chiffrement et qu’il est très probablement entré par un équipement réseau.

Scénario 4 : la plateforme partagée et la marque européenne

Shopserve : une faille, des milliers de boutiques

Shopserve, plateforme japonaise de création et de gestion de boutiques en ligne exploitée par Estore, a été attaquée du 21 mai au 1er août 2026. Le rapport final du 16 octobre établit qu’une vulnérabilité d’une application de la plateforme a permis d’exécuter un programme qui envoyait le contenu de la base de données vers l’extérieur.

Le bilan est d’environ 23 356 000 personnes et 7 858 boutiques, actuelles ou anciennes. Pour environ 2 096 900 personnes, la fuite comprend le nom du porteur, une partie du numéro de carte (6 premiers et 4 derniers chiffres) et la date d’expiration ; le numéro complet et le cryptogramme n’étaient pas stockés. Les identifiants de l’interface d’administration des boutiques ont aussi fuité. Estore a déclaré l’incident à la PPC et au bureau régional des télécommunications du ministère des Affaires intérieures.

Une boutique hébergée sur ce type de plateforme peut donc être touchée sans avoir rien modifié de son côté. C’est un risque de chaîne d’approvisionnement à intégrer dans le choix et le contrat de la solution e-commerce.

Weleda Japan : une marque européenne sans boutique en ligne depuis l’été

Weleda Japan a annoncé le 8 juillet 2026 une intrusion dans le système de sa boutique en ligne officielle. L’entreprise redoute une fuite partielle de données personnelles et a fait appel à des spécialistes externes. Le 19 août, elle a suspendu la boutique pour établir les faits : plus de nouvelles commandes, livraisons d’abonnements arrêtées. À la mi-octobre, la boutique est toujours fermée et aucune date de réouverture n’est annoncée. Weleda oriente ses clients vers des boutiques officielles tierces, dont Amazon et Rakuten Ichiba.

La cause et l’ampleur n’ont pas été publiées. Mais le cas montre ce qu’une marque étrangère perd en pratique : la vente directe, les abonnements, et le lien avec les clients du programme de points, que Weleda a dû prolonger pour éviter leur expiration.

Ce que ces cas ont en commun

• La détection vient de l’extérieur. Sur les cinq cas liés aux cartes (Bonform, Saga Hirakawaya, Ink Kakumei, Beauty Garage, APORITO), quatre ont été signalés par une société de cartes. Chez Kindal, l’anomalie a été vue par hasard. Un script dans la page de paiement ou une connexion avec un vrai mot de passe ressemblent à un fonctionnement normal.
• L’arrêt du paiement par carte dure. Plus de six mois chez Beauty Garage, environ six mois prévus chez APORITO. La ligne directrice japonaise prévoit que la reprise dépend de l’accord de l’acquéreur, après enquête et mesures correctives.
• L’authentification des comptes d’administration est le maillon faible. Identifiant et mot de passe seuls chez Kindal ; identifiants des interfaces d’administration de milliers de boutiques exposés chez Shopserve.
• Les données inutiles aggravent le bilan. Anciens clients chez Charm, données de clients remontant à 2021 chez Saga Hirakawaya.

Les obligations d’un e-commerçant au Japon

La Credit Card Security Guideline

Cette ligne directrice, rédigée par le conseil japonais pour la sécurité des transactions par carte (secrétariat assuré par la JCA), sert de référence pratique pour les obligations de sécurité prévues par la loi sur les ventes à tempérament (Installment Sales Act). Elle s’applique à votre entreprise par l’intermédiaire de votre contrat avec l’acquéreur ou le prestataire de paiement (PSP). La version en vigueur est la 6.1 de mars 2026, qui ne modifie pas les mesures de la version 6.0 de mars 2025.

Pour les e-commerçants, la ligne directrice exige de mettre en œuvre toutes les mesures suivantes contre les vulnérabilités, que le site conserve ou non des données de carte :

• restreindre l’accès à l’interface d’administration par adresse IP (ou, à défaut, par une authentification supplémentaire de type HTTP Basic), et y imposer la double authentification ;
• verrouiller le compte après 10 échecs de connexion au plus, conformément à PCI DSS v4.0.1 ;
• ne placer aucun fichier sensible dans les répertoires publics et limiter les types de fichiers téléversables ;
• faire des tests de vulnérabilité ou des tests d’intrusion réguliers, maintenir les extensions et les logiciels à jour, et faire relire le code des développements spécifiques ;
• installer et exploiter un antivirus ;
• appliquer au moins une mesure contre les tests de validité de cartes et la génération de numéros (credit master).

Ces mesures sont détaillées dans l’annexe de la ligne directrice consacrée aux e-commerçants, qui reprend l’ancienne « Security Checklist ». Nous les présentons dans notre article sur la Security Checklist.

S’y ajoutent EMV 3-D Secure, attendu de tous les e-commerçants depuis fin mars 2025 (voir notre article sur EMV 3-D Secure au Japon), et au moins une mesure contre les connexions frauduleuses : blocage d’adresses IP suspectes, double authentification, limitation des tentatives, notification des connexions et des changements de coordonnées, analyse comportementale ou empreinte d’appareil.

En cas de fuite, la ligne directrice prévoit de prévenir rapidement l’acquéreur ou le PSP, d’isoler la source, de suspendre le paiement par carte si nécessaire, de mener une investigation numérique et de vérifier la conformité à PCI DSS. La reprise du paiement par carte se décide avec l’acquéreur.

La loi sur la protection des informations personnelles (APPI)

L’APPI oblige l’entreprise à déclarer une fuite à la PPC et à informer les personnes concernées dans plusieurs cas, dont trois concernent presque toujours un e-commerçant attaqué :

• les données dont l’usage frauduleux peut causer un préjudice financier, comme les numéros de carte ;
• les fuites qui peuvent résulter d’un acte malveillant, comme un accès non autorisé ou un rançongiciel ;
• les fuites qui touchent plus de 1 000 personnes.

Le rapport préliminaire doit être envoyé « rapidement », soit en principe dans les 3 à 5 jours selon les lignes directrices de la PPC. Le rapport définitif est dû dans les 30 jours, ou 60 jours en cas d’acte malveillant. Ces délais courent à partir du moment où un service quelconque de l’entreprise a connaissance de l’incident. L’APPI s’applique aussi à une entreprise étrangère qui traite les données de personnes au Japon.

Une réforme de l’APPI a été adoptée le 10 juillet 2026 et promulguée le 17 juillet. Elle doit entrer en vigueur dans les deux ans. Elle assouplit l’information des personnes lorsque le risque est faible et crée une sanction pécuniaire administrative. Cette sanction vise l’utilisation, la collecte et la transmission illicites de données à grande échelle (en principe plus de 1 000 personnes), et non les failles de sécurité. Le sujet est détaillé dans notre article sur la notification des fuites selon l’APPI et le RGPD.

Ce qui change par rapport à ce que vous connaissez en France

Retenez deux points. D’abord, si votre entité française traite elle-même les données des clients japonais, le RGPD s’applique aussi, puisqu’il couvre tout traitement réalisé dans le cadre d’un établissement situé dans l’UE. Une même fuite peut alors devoir être notifiée à la CNIL et à la PPC, chacune avec ses propres délais. Ensuite, les fuites japonaises se règlent surtout avec l’acquéreur : c’est lui qui décide quand vous pourrez de nouveau accepter les cartes.

Ce que votre e-commerce japonais devrait vérifier

1. Les comptes d’administration de la plateforme

Listez tous les comptes de votre solution e-commerce : employés de la filiale, agence web, prestataire logistique, centre d’appels. Imposez la double authentification à chacun, de préférence résistante à l’hameçonnage (clé ou clé d’accès). Restreignez l’accès à l’interface d’administration par adresse IP. Supprimez les comptes des personnes parties et limitez le droit d’export complet du fichier clients.

2. La page de paiement

Si possible, laissez la saisie de la carte à votre PSP (redirection ou champs hébergés par le PSP), pour que la carte ne soit jamais saisie dans une page que vous contrôlez. Sinon, tenez l’inventaire des scripts chargés sur la page de paiement et détectez toute modification et tout envoi vers un domaine inconnu, comme le demandent les exigences 6.4.3 et 11.6.1 de PCI DSS.

3. Les comptes clients

Limitez les tentatives de connexion, détectez les connexions massives ou depuis des adresses suspectes, et prévenez le client lors d’une connexion inhabituelle ou d’un changement d’adresse de livraison. Proposez la double authentification.

4. Les tests et la surveillance

Faites tester le site, l’interface d’administration et les développements spécifiques au moins une fois par an et après chaque évolution importante. Surveillez les exports de données clients et les changements d’adresse électronique des comptes d’administration : c’est ce qui a trahi l’attaque chez Kindal.

5. Le contrat avec la plateforme et les prestataires

Prévoyez par écrit qui vous prévient, dans quel délai et avec quelles informations si la plateforme est compromise. Le cas Shopserve montre qu’une boutique peut apprendre une fuite par la plateforme. Il vous faut alors de quoi notifier vos clients et l’autorité dans les délais de l’APPI.

6. Le plan de continuité et la communication

Préparez les moyens de paiement de remplacement (paiement en supérette, virement, paiement à la livraison, paiement différé), la procédure en magasin si les caisses s’arrêtent, et les messages aux clients en japonais. Décidez à l’avance qui déclare à la PPC, qui prévient l’acquéreur et qui, au siège en France, évalue la notification à la CNIL.

7. La durée de conservation

Définissez une durée de conservation pour les comptes clients inactifs et les anciens clients, avec sa base légale, et appliquez-la. Les données qui n’existent plus ne peuvent pas faire l’objet d’une fuite.

Questions fréquentes

Q1. Notre site ne stocke pas les numéros de carte. Sommes-nous à l’abri d’une fuite de cartes ?

Non. Le skimming capture la carte au moment où le client la saisit dans une page compromise. Les cas de skimming japonais de 2026 présentés ici relèvent tous de ce mécanisme. Seule une saisie hors de vos pages, chez le PSP, combinée à la protection de vos scripts, réduit fortement ce risque.

Q2. Une société de cartes japonaise nous signale une fuite possible. Que faire en premier ?

Prévenez votre acquéreur ou votre PSP et suivez ses instructions : suspension du paiement par carte, préservation des journaux et des fichiers, enquête forensique. Préparez le rapport préliminaire à la PPC dans les jours qui suivent, et évaluez en parallèle l’obligation de notifier la CNIL si votre entité européenne est concernée.

Q3. Notre filiale japonaise vend sur une plateforme e-commerce mutualisée. Qui est responsable en cas de fuite ?

Au regard de l’APPI, c’est en général la marque qui détient la relation avec ses clients et qui doit vérifier ses obligations de déclaration et d’information, même si la faille vient de la plateforme. Le contrat doit organiser l’information et la coopération. Faites valider la répartition des rôles par votre conseil juridique.

Q4. Un parcours conforme à PCI DSS et à la DSP2 suffit-il au Japon ?

C’est une bonne base technique, mais pas suffisante. La ligne directrice japonaise ajoute des mesures précises sur l’interface d’administration, le verrouillage des comptes, les tests de vulnérabilité et les connexions frauduleuses. EMV 3-D Secure y fonctionne sans catalogue d’exemptions réglementaires. Votre acquéreur peut aussi vous demander une déclaration sur l’état de ces mesures.

Parler à AEVUS

AEVUS est une entreprise de cybersécurité basée au Japon. Nous testons les sites marchands, y compris les pages de paiement, les espaces clients et les interfaces d’administration, et nous vérifions les mesures attendues par la ligne directrice japonaise. Nous accompagnons aussi les entreprises lors d’un incident : premières mesures, échanges avec l’acquéreur et préparation de la déclaration à la PPC. Si votre marque exploite un site marchand ou des boutiques au Japon, contactez-nous.

En résumé

• En 2026, les incidents publiés concernant l’e-commerce et le commerce de détail japonais relèvent surtout du skimming de la page de paiement, du vol de comptes d’administration ou clients, et du rançongiciel.
• Une seule faille de plateforme (Shopserve) a touché environ 23,36 millions de personnes et 7 858 boutiques ; une marque européenne, Weleda, a dû fermer sa boutique en ligne japonaise.
• La détection vient souvent d’une société de cartes, la publication intervient des mois plus tard et le paiement par carte peut rester coupé plus de six mois.
• La Credit Card Security Guideline exige de tout site marchand des mesures précises, en plus d’EMV 3-D Secure ; l’APPI impose une déclaration à la PPC en quelques jours.
• Priorités : double authentification et restriction d’accès pour l’administration, protection de la page de paiement, surveillance des exports, contrat avec la plateforme, plan de continuité et durée de conservation.

Sources

• JCA, fraude à la carte au premier semestre 2026, 7 septembre 2026 (en japonais, PDF)
• Agence nationale de la police, Threats in Cyberspace in 2025, mars 2026 (PDF)
• PPC, résumé du rapport annuel de l’exercice 2025, 7 juillet 2026 (en japonais, PDF)
• Conseil pour la sécurité des transactions par carte, Credit Card Security Guideline version 6.1, mars 2026 (en japonais, PDF)
• PPC, lignes directrices générales de l’APPI (déclaration des fuites) (en japonais)
• PPC, promulgation de la loi de réforme de l’APPI, 17 juillet 2026 (en japonais)
• PPC, alerte sur les fuites de grande ampleur, 7 octobre 2026 (en japonais, PDF)
• Treasure Factory, fuite de données chez sa filiale Kindal, 28 août 2026 (en japonais, PDF)
• Charm, communiqués sur l’accès non autorisé (13 août au 7 octobre 2026) (en japonais)
• REXT Holdings, résultats de l’enquête (cinquième rapport), 9 octobre 2026 (en japonais, PDF)
• Estore, rapport final sur la fuite de Shopserve, 16 octobre 2026 (en japonais)
• Weleda Japan, intrusion et suspension de la boutique en ligne officielle (en japonais)
• C-Connect, fuite possible sur Ink Kakumei, 29 juillet 2026 (en japonais)
• Saga Hirakawaya, fuite possible sur la boutique en ligne, 15 juin 2026 (en japonais)
• Bonform, fin de l’enquête forensique, 27 avril 2026 (en japonais)
• RIZAP, accès non autorisé à la boutique APORITO, 10 août 2026 et troisième rapport, 18 septembre 2026 (en japonais)
• Beauty Garage, communiqués sur la suspension du paiement par carte (février à août 2026) (en japonais)
• PCI Security Standards Council, mise à jour du SAQ A et exigences 6.4.3 et 11.6.1
• Règlement (UE) 2016/679 (RGPD), articles 3, 33, 34 et 83
• CNIL, notifier une violation de données personnelles

Articles connexes

• La « Security Checklist » japonaise pour les paiements par carte
• EMV 3-D Secure au Japon : ce que l’obligation de 2025 change pour vendre en ligne
• Notifier une fuite de données : APPI japonaise et RGPD