Industrie japonaise : les cyberattaques de 2026 et leurs leçons

Une usine japonaise à l’arrêt, ce n’est pas seulement un problème japonais. Quand Asahi Group Holdings n’a plus pu traiter commandes et livraisons à l’automne 2025, ou quand les entrepôts frigorifiques de Nichirei ont cessé d’expédier des surgelés en juillet 2026, les distributeurs, restaurateurs et partenaires en aval ont subi avec eux les conséquences de l’arrêt.

Si votre groupe possède une usine au Japon, une coentreprise avec un industriel japonais ou des fournisseurs japonais de composants, ces incidents vous concernent directement. Cet article passe en revue les principales cyberattaques rendues publiques par des industriels japonais en 2026. Il montre ce qu’elles ont coûté en continuité de production et en données, compare le cadre japonais aux obligations européennes (NIS 2, Cyber Resilience Act, IEC 62443) et se termine par ce que vous pouvez exiger de vos sites et fournisseurs au Japon.

Période couverte : annonces publiées de janvier à août 2026, plus l’attaque contre Asahi de septembre 2025, dont le bilan a été publié en 2026. Pour ces mêmes cas, nous avons intégré les mises à jour officielles jusqu’à la mi-octobre 2026. Les faits proviennent uniquement des communiqués des entreprises et des statistiques officielles japonaises. Plusieurs enquêtes sont encore en cours : les chiffres peuvent évoluer.

L’essentiel en trois points

• L’industrie est la première cible : selon l’Agence nationale de la police japonaise (NPA), l’industrie manufacturière représente environ 40 % des 226 attaques par rançongiciel signalées en 2025. Dans plus de 60 % des cas étudiés, l’attaquant est entré par un équipement VPN.
• Le coût principal est l’arrêt, pas la fuite : les cas de 2026 montrent des expéditions bloquées pendant des jours, des semaines ou des mois. Chez Asahi, les coûts directement liés à la panne (stocks détruits, personnel de reprise, campagnes annulées) atteignent environ 17 milliards de yens sur l’exercice 2025.
• L’entrée se fait par la périphérie : un équipement réseau sur un site du groupe, un compte de stockage en ligne utilisé en appoint. C’est sur ces points que doivent porter vos exigences envers vos sites et fournisseurs japonais.

Le contexte : l’industrie, cible numéro un au Japon

La NPA publie chaque année un état de la cybermenace. Son rapport sur l’année 2025, publié en mars 2026, donne les repères suivants pour les rançongiciels.

La NPA souligne aussi que la double extorsion (vol de données puis menace de publication, en plus du chiffrement) est devenue la norme, et que certains attaquants se contentent de voler les données sans les chiffrer.

Les principaux cas de 2026

Le tableau suit l’ordre des premières annonces. Nous n’avons retenu que les cas dont les faits figurent dans les communiqués des entreprises elles-mêmes.

Ce qui s’est passé dans les cas les plus graves

Asahi : six mois pour revenir à la normale

Selon le communiqué d’Asahi du 18 février 2026, un attaquant est entré dans le réseau du groupe environ dix jours avant la panne, par un équipement réseau situé sur un site du groupe. Il a ensuite pénétré dans le principal centre de données, exploité une faiblesse de mot de passe pour obtenir des droits d’administrateur et parcouru le réseau interne. Le 29 septembre 2025, le rançongiciel a chiffré plusieurs serveurs et des postes de travail. Vers 11 h, le réseau a été coupé et le centre de données isolé.

Les systèmes de commande et de livraison se sont arrêtés. Asahi Breweries a repris la production dans ses six usines dès le 2 octobre, mais commandes et livraisons ont été traitées en partie à la main, avec des restrictions. La réception des commandes par échange de données informatisé (EDI) n’a repris que le 3 décembre 2025, et la logistique n’a été normalisée qu’en février 2026. Asahi Breweries a cessé d’ajouter des produits à sa liste de reprise des livraisons avec les expéditions du 7 avril 2026.

Côté données, Asahi distingue deux chiffres. La fuite est confirmée pour 115 513 enregistrements (5 117 salariés et 110 396 personnes chez des partenaires commerciaux). L’exposition est possible pour environ 2,289 millions d’enregistrements, selon la révision du 17 juillet 2026, contre environ 1,914 million auparavant. Aucune donnée de carte bancaire n’est concernée.

Côté finances, les résultats de l’exercice 2025, publiés le 9 juillet 2026, chiffrent à environ 17 milliards de yens les coûts directement liés à la panne. Le résultat opérationnel de la zone Japon et Asie de l’Est recule de 21,4 milliards de yens (-16,1 %). Pour 2026, Asahi prévoit encore environ 6 milliards de yens de dépenses commerciales exceptionnelles et environ 3,5 milliards de yens de dépenses de sécurité. Parmi ses mesures, le groupe a supprimé totalement ses équipements VPN d’accès distant.

À retenir : dix jours se sont écoulés entre l’intrusion et le chiffrement. Pendant ce temps, l’attaquant a obtenu des droits d’administrateur. La gestion des équipements réseau des sites et des comptes à privilèges du centre de données a fait la différence.

Nichirei : onze jours sans expéditions de surgelés

Le 13 juillet 2026, Nichirei a annoncé une panne de ses systèmes due à un accès non autorisé. Deux activités étaient touchées : les entrées et sorties des entrepôts frigorifiques des sociétés de Nichirei Logistics Group, et les expéditions de produits surgelés de Nichirei Foods. Le groupe a coupé ses systèmes le jour même. Les activités ont repris progressivement à partir du 17 juillet, avec des restrictions sur les commandes. Le 24 juillet, ces restrictions ont été levées et tous les sites sont revenus à un fonctionnement normal.

La question des données a demandé plus de temps. Le 15 juillet, Nichirei indiquait que des données personnelles se trouvaient sur certains serveurs touchés et qu’un premier signalement avait été fait à la Commission de protection des informations personnelles (PPC). Le 14 août, il évoquait une fuite possible de données de salariés. Le 18 septembre, il a confirmé la fuite de 53 866 enregistrements : 3 308 destinataires de livraisons, 6 849 personnes chez des partenaires commerciaux et 43 709 salariés, membres de leur famille ou candidats. Aucun usage frauduleux n’avait été constaté à cette date.

À retenir : un logisticien du froid qui s’arrête, c’est toute une chaîne alimentaire qui s’arrête. Votre plan de continuité doit prévoir l’arrêt de vos prestataires logistiques au Japon, et pas seulement le vôtre.

Swagelok FST Japan : plus aucun moyen de joindre les clients

Le 10 mars 2026 dans l’après-midi, une panne du réseau interne a coupé le téléphone, l’e-mail et le fax de Swagelok FST Japan. L’entreprise a arrêté la prise de commandes, les expéditions et toutes ses activités. Dans un courrier aux partenaires daté du 13 mars, elle a expliqué que ses serveurs avaient subi un rançongiciel. Les activités ont repris par étapes, et l’entreprise a annoncé le 22 avril 2026 que tout fonctionnait de nouveau normalement.

À retenir : quand les outils de communication tombent avec le système d’information, l’entreprise ne peut même plus prévenir ses clients. Le moyen de contact de secours (téléphones mobiles, domaine de messagerie séparé, page d’information) doit être défini à l’avance.

Murata Manufacturing : un fournisseur de composants détient les données de ses clients

Murata a pris connaissance d’un possible accès non autorisé le 28 février 2026, a lancé une enquête approfondie le 1er mars et l’a annoncé le 6 mars. Dans sa troisième mise à jour, le 27 avril, il indique que des données ont été obtenues illégalement, ou ont pu l’être : environ 73 000 enregistrements concernant des salariés et leurs proches, et environ 15 000 concernant des clients, fournisseurs et autres partenaires. Murata précise que ses systèmes fonctionnent normalement et que la production et les ventes n’ont pas été affectées.

À retenir : un fabricant de composants concentre les coordonnées, les échanges et souvent les spécifications de ses clients industriels. Si vous achetez des composants au Japon, vos propres données peuvent faire partie d’une fuite chez votre fournisseur.

Hosokawa Micron : la fuite vient d’un service d’appoint

Hosokawa Micron a détecté un possible incident le 2 février 2026. Son rapport final du 27 mars indique qu’un attaquant s’est connecté à un compte d’un service de stockage en ligne, utilisé en appoint, avec un identifiant et un mot de passe divulgués ou devinés. Le 15 février, l’entreprise a constaté que des fichiers avaient été publiés sur Internet. La fuite est confirmée pour 257 clients et partenaires, 1 470 salariés et anciens salariés, et un membre de la famille d’un salarié.

À retenir : protéger le réseau ne suffit pas si un service en ligne souscrit par un service de l’entreprise échappe à l’inventaire. Les comptes SaaS doivent être recensés et protégés par une authentification multifacteur, avec la même priorité que le périmètre réseau.

Advantest : détecter et isoler vite

Advantest a détecté une activité anormale dans son environnement informatique le 15 février 2026, a activé sa procédure de réponse à incident et isolé les systèmes concernés. Le 19 février, il a annoncé qu’un tiers avait pu accéder à une partie du réseau et y déployer un rançongiciel. Dans sa mise à jour du 4 mars, il indiquait que la production, les expéditions et le support client fonctionnaient et qu’il n’attendait pas d’impact significatif sur ses résultats de l’exercice clos en mars 2026.

À retenir : la rapidité entre la détection et l’isolement a limité l’impact sur la production. Elle suppose une surveillance capable de voir l’anomalie et une personne autorisée à décider de la coupure.

Trois faiblesses communes

1. L’entrée se fait par la périphérie

Chez Asahi, un équipement réseau d’un site du groupe. Chez Hosokawa Micron, un compte de stockage en ligne secondaire. La statistique de la NPA va dans le même sens : plus de 60 % d’entrées par des équipements VPN. Les pare-feu et les outils de détection du siège ne protègent pas ce qui n’est pas inventorié : VPN de maintenance d’une usine, service en ligne souscrit localement, accès d’un prestataire.

2. Le coût principal est l’arrêt

Onze jours chez Nichirei, six semaines chez Swagelok FST Japan, plusieurs mois chez Asahi. Les 17 milliards de yens de coûts liés à la panne chez Asahi correspondent à des stocks détruits ou dépréciés, au personnel mobilisé pour la reprise et à des campagnes commerciales annulées. Ce sont des pertes dues à l’arrêt, pas à la fuite de données.

3. Le bilan se construit en plusieurs mois

Murata a publié ses chiffres dans sa troisième mise à jour, Asahi a révisé à la hausse le nombre d’enregistrements potentiellement exposés près de dix mois après l’attaque, et Nichirei a confirmé la fuite dans son septième communiqué. Pendant ce temps, clients, actionnaires et autorités attendent des réponses. La préservation des preuves dès le départ et la communication par étapes doivent être préparées à l’avance.

Japon et Union européenne : ce qui change pour un industriel

Pour un groupe français, la principale différence tient aux obligations de notification et de sécurité imposées aux industriels eux-mêmes.

Trois conséquences pratiques pour un groupe français.

Vos obligations européennes ne s’arrêtent pas à la frontière de l’UE. Si votre entité européenne relève de NIS 2, la sécurité de vos fournisseurs directs, y compris japonais, fait partie de vos mesures obligatoires. Un incident dans votre usine japonaise peut aussi devoir être notifié s’il affecte les services de votre entité européenne. Le périmètre exact dépend de la loi nationale de transposition. En France, celle-ci passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat le 12 mars 2025 mais pas encore par l’Assemblée nationale à la mi-octobre 2026.

Le Cyber Resilience Act concerne aussi vos composants japonais. Si vous intégrez des composants japonais dans un produit comportant des éléments numériques, vous devez faire preuve de diligence raisonnable pour qu’ils ne compromettent pas la cybersécurité du produit (article 13, paragraphe 5). Si vous importez dans l’UE un produit fabriqué au Japon, vous devez vérifier que le fabricant a respecté ses obligations (article 19). Et les obligations de signalement de l’article 14 s’appliquent aussi aux produits déjà sur le marché.

Au Japon, vous ne serez pas forcément prévenu. En dehors des données personnelles et des infrastructures essentielles, la loi japonaise n’oblige pas un industriel à signaler une cyberattaque. Ce que votre fournisseur ou votre filiale vous dira, et quand, dépend surtout de votre contrat et de vos règles de groupe.

Ce que vous pouvez exiger de vos sites et fournisseurs au Japon

Les exigences ci-dessous correspondent aux faiblesses observées dans les cas de 2026. L’ordre indique la priorité.

Pour les systèmes de production, demandez à vos sites et fournisseurs de se situer par rapport à IEC 62443. La série couvre le programme de sécurité de l’exploitant (partie 2-1), les exigences envers les intégrateurs et prestataires de maintenance (2-4), les niveaux de sécurité d’un système (3-3) et le développement sécurisé des composants (4-1, 4-2). Elle offre un vocabulaire commun que les équipes japonaises connaissent aussi.

Pour vos achats, inscrivez ces points dans les contrats et les questionnaires fournisseurs. Les incidents chez des sous-traitants sont au cœur de notre article sur les attaques par la chaîne d’approvisionnement.

Questions fréquentes

Q1. Les cas cités concernent de grands groupes. Nos fournisseurs de taille moyenne sont-ils aussi exposés ?

Oui. Selon la NPA, environ 60 % des victimes de rançongiciels signalées en 2025 sont des PME. Les grands groupes sont plus visibles parce qu’ils publient des communiqués, mais les PME sont majoritaires en nombre. Pour un attaquant, un fournisseur de rang 2 peut aussi servir de point d’entrée vers ses clients.

Q2. Notre filiale japonaise doit-elle notifier une cyberattaque aux autorités japonaises ?

Si des données personnelles sont touchées, la loi japonaise (APPI) impose dans certains cas, notamment en cas d’acte malveillant, un rapport à la PPC : rapport préliminaire sous 3 à 5 jours, rapport définitif sous 30 ou 60 jours. En dehors de ce cas et des infrastructures essentielles désignées, il n’existe pas d’obligation générale. Votre entité européenne peut en revanche avoir ses propres obligations au titre de NIS 2 ou du RGPD.

Q3. Que faut-il faire dans les premières 24 heures ?

Isoler du réseau les postes et serveurs touchés, préserver les preuves (journaux, mémoire), informer la direction et ouvrir une cellule de crise, faire appel à un prestataire de réponse à incident, puis prévenir les clients et partenaires. Ne restaurez pas les sauvegardes avant d’avoir identifié le point d’entrée : vous risquez une nouvelle infection.

Q4. Faut-il payer la rançon ?

Le paiement ne garantit ni le déchiffrement ni la non-publication des données, et il finance des groupes criminels. À notre connaissance, aucune des entreprises citées dans cet article n’a annoncé avoir payé. La meilleure protection reste de ne pas en avoir besoin : des sauvegardes déconnectées du réseau et une procédure de restauration testée.

Parler à AEVUS

AEVUS est une entreprise de cybersécurité basée au Japon. Nous testons les actifs exposés à Internet des sites industriels (VPN de maintenance, serveurs exposés, configurations cloud), nous accompagnons la séparation entre réseaux de gestion et de production, et nous assurons la surveillance et la réponse à incident. Si vous devez évaluer la sécurité de votre usine, de votre coentreprise ou de vos fournisseurs au Japon, en lien avec vos exigences européennes, contactez-nous.

En résumé

• Au Japon, l’industrie représente environ 40 % des attaques par rançongiciel signalées en 2025, et plus de 60 % des intrusions passent par un équipement VPN.
• Les cas de 2026 (Asahi, Nichirei, Swagelok FST Japan, Murata, Hosokawa Micron, Advantest) montrent que le coût principal est l’arrêt de la production et des livraisons.
• Les attaquants sont entrés par la périphérie : équipement réseau d’un site, compte de stockage en ligne secondaire.
• Contrairement à NIS 2, le droit japonais n’impose pas aux industriels de notifier une cyberattaque, sauf fuite de données personnelles : vos contrats doivent combler cet écart.
• Le Cyber Resilience Act et NIS 2 font peser sur vous des obligations envers vos composants et fournisseurs, y compris japonais. IEC 62443 offre un référentiel commun pour les formuler.

Sources

• Agence nationale de la police (NPA), état de la menace dans le cyberespace en 2025, mars 2026 (en anglais, PDF)
• Asahi Group Holdings, mesures de prévention et renforcement de la gouvernance après la cyberattaque, 18 février 2026 (en anglais)
• Asahi Group Holdings, données personnelles susceptibles d’avoir été exposées, 17 juillet 2026 (en anglais)
• Asahi Group Holdings, présentation des résultats de l’exercice 2025, 9 juillet 2026 (en japonais, PDF)
• Asahi Breweries, état des livraisons (en japonais)
• Nichirei, panne des systèmes du groupe (premier communiqué), 13 juillet 2026 (en japonais)
• Nichirei, retour au fonctionnement normal (cinquième communiqué), 24 juillet 2026 (en japonais)
• Nichirei, fuite de données confirmée (septième communiqué), 18 septembre 2026 (en japonais)
• Swagelok FST Japan, retour à la normale des activités, 22 avril 2026 (en japonais)
• Murata Manufacturing, accès non autorisé à l’environnement informatique, 6 mars 2026 (en anglais)
• Murata Manufacturing, troisième mise à jour, 27 avril 2026 (en anglais)
• Hosokawa Micron, rapport final sur l’incident, 27 mars 2026 (en anglais)
• Advantest, réponse à un incident de cybersécurité, 19 février 2026 (en anglais)
• Advantest, mise à jour sur l’incident, 4 mars 2026 (en anglais)
• Commission de protection des informations personnelles (PPC), signalement des fuites de données (en japonais)
• Bureau du Cabinet, mise en œuvre de la loi sur le renforcement des capacités de cyberdéfense, septembre 2026 (en japonais, PDF)
• IPA, label JC-STAR (en anglais)
• Directive (UE) 2022/2555 (NIS 2), Journal officiel de l’Union européenne
• Règlement (UE) 2024/2847 (Cyber Resilience Act), Journal officiel de l’Union européenne
• Commission européenne, obligations de signalement du Cyber Resilience Act (en anglais)
• Assemblée nationale, dossier législatif du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité
• CNIL, notifier une violation de données personnelles
• ISA, série de normes ISA/IEC 62443 (en anglais)

Articles connexes

• Les cyberattaques de 2026 au Japon, secteur par secteur
• Attaques par la chaîne d’approvisionnement : méthodes, cas japonais et contre-mesures
• Fuite de données au Japon : notifier selon l’APPI et le RGPD