# DOSSIER PRO : Fuites de données au Japon : qui est touché, quelles informations sont en jeu, ce que change la réponse de l'État

## L'essentiel

Entre le 28 octobre et le 5 novembre 2026, sept organisations japonaises ont publié des annonces ou des mises à jour sur des fuites de données personnelles, confirmées ou possibles : Muji, la chaîne de restauration Matsuya, l'opérateur de taxis Nihon Kotsu, l'université de Saga, le ministère des Affaires étrangères, puis, le 5 novembre, NTT Docomo et SMBC Consumer Finance. Une huitième, l'Agence de gestion des incendies et des catastrophes, a signalé le 5 novembre une intrusion sans fuite confirmée. Les volumes vont de quelques milliers à plus de 27 millions, mais ils comptent tantôt des enregistrements, tantôt des personnes, tantôt des entrées : ils ne se comparent pas. Ce qui distingue ces cas, c'est la nature des informations touchées, le temps écoulé avant que le périmètre soit connu et la présence de personnes sans lien actuel avec l'organisation.

Face à cette série, le gouvernement a ouvert des guichets d'aide, puis un portail commun le 30 octobre, et préparé un « paquet de mesures d'urgence de cybersécurité ». Son avant-projet, rapporté le 5 novembre, devait être décidé en réunion ministérielle le 6 novembre ; l'adoption n'était pas confirmée à l'heure de ces lignes. Il vise d'abord à soutenir les organisations attaquées. L'aide immédiate aux particuliers passe, elle, par des guichets qui existent déjà.

## Une série d'annonces, pas une vague d'attaques

L'impression d'une vague simultanée est trompeuse. Les cinq annonces du 30 octobre portent sur des incidents très espacés. Chez Nihon Kotsu, l'intrusion remonte au 11 juillet, annoncée dès le 13 ; le sixième communiqué, le 30 octobre, précise les catégories concernées. Au ministère des Affaires étrangères, l'accès a été détecté le 27 juillet. À l'université de Saga, le rançongiciel a été découvert le 24 septembre, rendu public le 28, puis la sortie de données n'a plus pu être exclue le 30 octobre. Matsuya a constaté la fuite le 28 octobre et l'a annoncée deux jours plus tard. Les cas du 5 novembre sont plus frais : Docomo a constaté l'accès non autorisé le 4 novembre et SMBC Consumer Finance le 2. Les communiqués cités n'établissent ni attaque coordonnée ni cause commune.

Ce qui les sépare vraiment, ce sont les informations touchées.

- **Identité, coordonnées et données financières.** Docomo confirme la fuite de certaines données clients, jusqu'à environ 300 000 enregistrements : nom, adresse, date de naissance, numéros de téléphone. SMBC Consumer Finance a confirmé une transmission de données vers l'extérieur pour un maximum de 320 118 personnes, clients de son activité de garantie de prêts : identité, coordonnées, numéro de permis de conduire, employeur, revenu annuel et données contractuelles. Les deux entreprises indiquent que le périmètre exact reste à établir.
- **Comptes et cartes.** Muji a annoncé le 30 octobre jusqu'à 27,26 millions d'enregistrements liés à son application, anciens membres compris. Le 4 novembre, Muji a précisé que les clients de la boutique en ligne figuraient aussi dans ces 27,26 millions d'enregistrements, et signalé un risque concernant environ 1,09 million d'enregistrements de titulaires de la carte MUJI Card, inscrits jusqu'en juillet 2021, avec numéro complet et date de naissance ; environ 345 000 de ces cartes sont encore valides. Muji parle d'un risque de fuite. Matsuya confirme la fuite : 2 377 127 enregistrements de clients des services de commande et de livraison (adresse, téléphone, points de fidélité) et environ 2 000 comptes d'application, jusqu'à 3 000, avec date de naissance, adresse électronique et mot de passe chiffré.
- **Santé, identité administrative.** À Saga, la fuite n'est pas exclue pour environ 80 000 personnes, étudiants, personnels et personnes liées à l'établissement, anciens ou actuels, avec noms, coordonnées et mots de passe ; les données des patients de l'hôpital (service consulté, nom de la maladie, date) forment une catégorie à part dont le nombre est en cours d'évaluation. Chez Nihon Kotsu, les six catégories annoncées totalisent environ 292 900 personnes potentiellement concernées, sans permettre d'établir un total de personnes distinctes. Parmi elles figurent des candidats à l'embauche, des proches d'employés, des personnes accidentées avec un véhicule de l'entreprise et des employés, dont les dossiers peuvent contenir pièces d'identité, coordonnées bancaires, parfois le numéro My Number et des résultats de visite médicale. Les données des courses de taxi sont exclues.
- **Au ministère des Affaires étrangères.** Le ministère des Affaires étrangères signale environ 3 600 entrées, dont 900 concernent des personnes extérieures au ministère, sur un réseau relié à l'extérieur ; le système consulaire, qui traite notamment les passeports, n'était pas visé.
- **Une intrusion sans fuite confirmée.** L'Agence de gestion des incendies et des catastrophes a annoncé un accès non autorisé à son système d'information sur la sécurité des habitants, utilisé en cas d'attaque armée ou de catastrophe, signalé par son prestataire Fujisoft. Elle a suspendu le système et bloqué les accès extérieurs. Son communiqué ne confirme aucune fuite de données personnelles et ne précise pas la date de l'intrusion. La suspension du système rappelle qu'un incident peut interrompre un service même lorsqu'aucune fuite n'est confirmée.

Les conséquences dépendent de ce qui a fuité. Un mot de passe compromis doit être changé, ainsi que sur les autres comptes où il a été réutilisé. Un numéro de carte expose à la fraude, que la réémission de la carte permet de limiter. Une information médicale divulguée reste sensible durablement. Certains identifiants administratifs peuvent être remplacés sous conditions : un changement de My Number est possible lorsqu'une fuite crée un risque reconnu d'utilisation frauduleuse.

Les périmètres peuvent évoluer pendant l'enquête. Le prestataire d'envoi de courriels Yumirlink avait estimé le 19 octobre à environ 9 millions de lignes sur cinq systèmes les données sorties ; le 26 octobre, le décompte cumulé atteignait 51 628 280 enregistrements dans 49 systèmes, le nombre d'enregistrements concernés restant à déterminer pour 16 systèmes. Ce n'est pas un nombre de personnes distinctes, et les sources citées n'établissent pas de lien avec les huit autres cas. Chez Muji, le périmètre a déjà changé en cinq jours.

## Ce que la loi exige, et ce qu'elle n'exige pas

Depuis le 1er avril 2022, la loi sur la protection des informations personnelles oblige à signaler à la Commission de protection des informations personnelles toute fuite, confirmée ou suspectée, susceptible de léser les personnes : informations sensibles, risque de préjudice financier, acte malveillant, ou plus de 1 000 personnes. Un premier signalement est attendu rapidement, en général sous trois à cinq jours, et un rapport définitif sous 30 jours, 60 jours en cas d'acte malveillant, à compter de la connaissance des faits. Les personnes concernées doivent en principe être informées. Lorsque la notification individuelle est difficile, elle peut être remplacée par les mesures nécessaires à la protection des droits et intérêts des personnes.

Ces délais concernent l'autorité, pas la communication publique : les dates des annonces ne permettent pas d'évaluer le respect des délais de signalement. Nihon Kotsu a annoncé l'incident deux jours après sa survenue et a déjà commencé à notifier les personnes. Les ministères relèvent des règles applicables aux administrations ; les universités nationales suivent, pour le traitement des données et le signalement des fuites, les règles du secteur privé.

## La réponse de l'État : des guichets, un portail, puis un plan

L'aide a précédé le plan. L'IPA a ouvert le 16 octobre un guichet de soutien aux entreprises et organisations victimes d'un accès non autorisé ou susceptibles de l'être ; le 26 octobre, la Première ministre Sanae Takaichi a demandé un soutien renforcé aux entreprises victimes, une meilleure diffusion de l'information, une mise en œuvre stratégique des options de riposte et une vérification des vulnérabilités, ainsi que la préparation d'un paquet d'urgence. L'agence publique d'appui aux PME (SMRJ) a ouvert un service de consultation le 27 octobre. Le 30 octobre, un site spécial, tenu par l'Office national de coordination cyber, a réuni ces guichets, les annonces officielles et les alertes en distinguant particuliers et entreprises. Le 2 novembre, l'IPA a aussi annoncé le renforcement de son conseil aux particuliers victimes de fuites ou préoccupés par leurs conséquences.

Le plan lui-même est connu par l'avant-projet rapporté par Jiji Press le 5 novembre. Son diagnostic : de nombreux cas récents relèvent de « mesures de base insuffisantes », et l'IA permet d'exploiter ces failles plus vite et à plus grande échelle. Ce diagnostic porte sur les fuites en général ; il n'établit pas la cause de chaque incident de la série. Il repose sur quatre piliers : généraliser les mesures de base, renforcer la collecte d'informations et les capacités d'enquête, conduire la réponse aux attaques de façon stratégique, renforcer le soutien aux victimes et la prévention de nouveaux dommages. Les nouveaux dispositifs, détaillés dans le tableau des repères, sont une équipe d'experts « Top Gun » pour tester les défenses (création prévue en novembre), une équipe qui contacte de façon proactive les organisations menacées, une équipe de secours public-privé déclenchée à la demande d'une victime (secrétariat au plus tard le 31 mars 2027) et une équipe de réponse conjointe avec la police et la Défense pour les attaques graves. Jiji décrit des dispositifs proposés ; leur adoption et leur mise en service restent à confirmer à la date de clôture.

L'IPA renforce donc déjà l'aide aux personnes, tandis que les nouvelles équipes visent surtout l'intervention auprès des organisations. Ce que le plan changera pour une personne dont les données ont fuité devra être vérifié dans le texte adopté.

## Que faire, et vers qui se tourner

Pour savoir si l'on est exposé, il faut chercher quelles informations ont été touchées et à quel titre on figurait dans le fichier.

- **Question technique après une fuite ou un message suspect :** l'[IPA](https://www.ipa.go.jp/security/anshin/about.html).
- **Problème de consommation :** le [188](https://www.caa.go.jp/policies/policy/local_cooperation/local_consumer_administration/hotline/) vous oriente vers un service local de conseil.
- **Possible infraction :** le [canal de la police](https://www.npa.go.jp/bureau/cyber/soudan.html) sert au signalement et à la consultation ; un dépôt de plainte passe par le service compétent.
- **Opération bancaire inconnue :** contactez l'émetteur de la carte par ses coordonnées officielles.
- **Point d'entrée général :** le [site spécial du gouvernement](https://www.cyber.go.jp/tokusetsu/contactpoint_advisory_hub/index.html), en japonais ; la langue d'assistance dépend du service.

Quelques réflexes. Un interlocuteur qui connaît votre nom et votre adresse n'est pas nécessairement authentique : vérifiez son identité par les coordonnées officielles de l'organisme, obtenues indépendamment du message, et n'ouvrez ni lien ni pièce jointe. Ne réutilisez pas identifiants et mots de passe, activez l'authentification multifacteur et mettez vos applications à jour, comme le recommande le ministre du Numérique. Docomo met en garde contre les courriels, SMS et appels qui se font passer pour l'opérateur. Nihon Kotsu recommande de changer un mot de passe fondé sur une date de naissance ou un numéro de téléphone. Pour Muji, vérifiez vos relevés de carte.

## Pourquoi cela compte

Pour qui vit, travaille ou voyage au Japon, le point central est qu'une relation terminée ne met pas fin à l'exposition. Chez Muji, des données de cartes déjà invalidées ou résiliées étaient encore conservées ; chez Nihon Kotsu, d'anciens candidats et d'anciens employés sont concernés ; à Saga, d'anciens étudiants. Nihon Kotsu cite des règles de conservation et des suppressions parmi ses mesures correctives. Conserver longtemps les données de personnes qui ne sont plus clientes agrandit la population exposée le jour où une porte s'ouvre.

## À surveiller

- **6 novembre.** Adoption ou non du paquet d'urgence, puis comparaison du texte final avec l'avant-projet : conditions de déclenchement de l'équipe de secours, composition de l'équipe conjointe, mesures pour les particuliers.
- **Fin novembre.** Création de l'équipe Top Gun. **Au plus tard le 31 mars 2027 :** secrétariat de l'équipe de secours.
- **Docomo, SMBC Consumer Finance, Agence des incendies.** Cause et voie d'intrusion, volumes définitifs, rétablissement des services Docomo et du système de l'Agence. Une fuite confirmée à l'Agence changerait l'évaluation de ce cas.
- **Populations révisées.** Muji (boutique en ligne et cartes), Saga (patients), Yumirlink (16 systèmes en cours d'examen).
- **Notifications.** L'avancement des notifications, déjà engagées chez Nihon Kotsu, et toute extension des catégories concernées.

## Sources et repères

*Informations arrêtées au 6 novembre 2026, 8 h (heure de Tokyo). L'adoption du plan d'urgence n'était pas confirmée à cette heure.*

### Chronologie

| Organisation | Incident ou détection | Annonce initiale | Dernier changement |
|---|---|---|---|
| Nihon Kotsu | 11 juillet 2026 | 13 juillet | 30 octobre : sixième communiqué, populations précisées ; notifications en cours |
| Ministère des Affaires étrangères | 27 juillet 2026 (détection) | 30 octobre | |
| Université de Saga | 24 septembre 2026 | 28 septembre | 30 octobre : fuite non exclue |
| Matsuya | 28 octobre 2026 (détection) | 30 octobre | |
| Muji (Ryohin Keikaku) | | 30 octobre | 4 novembre : périmètre élargi |
| SMBC Consumer Finance | 2 novembre 2026 (détection) | 5 novembre | |
| NTT Docomo | 4 novembre 2026 (constat) | 5 novembre | 5 novembre : accès bloqués, services en ligne suspendus ; pas de date de rétablissement à 18 h 30 |
| Agence de gestion des incendies et des catastrophes | date non précisée | 5 novembre | 5 novembre : système suspendu, accès extérieurs bloqués |
| Yumirlink (précédent) | 16 octobre 2026 | 19 octobre | 26 octobre : 51,6 millions d'enregistrements cumulés (Cuenote FC) |
| Plan d'urgence | demande du 26 octobre | avant-projet rapporté le 5 novembre | décision ministérielle prévue le 6 novembre, non confirmée |

### Chiffres annoncés

| Organisation | Volume | Unité | Informations concernées | Statut |
|---|---|---|---|---|
| Muji | jusqu'à 27,26 millions ; environ 1,09 million d'enregistrements de titulaires de carte (environ 345 000 cartes valides) | enregistrements | application, anciens membres, boutique en ligne, numéro de carte et date de naissance | risque de fuite |
| Matsuya | 2 377 127 ; environ 2 000 (jusqu'à 3 000) | enregistrements | commande et livraison ; comptes de l'application avec mot de passe chiffré | fuite confirmée |
| Nihon Kotsu | environ 292 900 (somme de six catégories) | personnes potentiellement concernées, par catégorie | identité, finances, santé selon la catégorie ; hors données de course | fuite possible |
| Université de Saga | environ 80 000 ; patients en cours d'évaluation | personnes | identité, mots de passe ; diagnostics pour les patients | fuite non exclue |
| Ministère des Affaires étrangères | environ 3 600 (dont 900 hors ministère) | entrées | noms, adresses électroniques ; système consulaire non visé | risque de fuite |
| NTT Docomo | jusqu'à environ 300 000 | enregistrements | nom, adresse, date de naissance, numéros de téléphone | fuite confirmée par l'opérateur |
| SMBC Consumer Finance | au maximum 320 118 | personnes | identité, coordonnées, numéro de permis de conduire, employeur, revenu annuel, contrat | transmission externe confirmée |
| Agence de gestion des incendies et des catastrophes | non précisé | | système d'information sur la sécurité des habitants | accès non autorisé, aucune fuite confirmée |
| Yumirlink, Cuenote FC | 51 628 280 | enregistrements cumulés | adresses électroniques et informations associées, variables selon les clients | fuite confirmée |

### Nihon Kotsu : six catégories de personnes

| Catégorie | Personnes |
|---|---|
| Clients de voitures avec chauffeur | environ 13 100 |
| Conducteurs et employés, anciens compris | environ 60 100 |
| Candidats à l'embauche, anciens compris | environ 107 900 |
| Proches d'employés | environ 37 700 |
| Contacts d'entreprises partenaires | environ 2 100 |
| Personnes impliquées dans un accident avec un véhicule de l'entreprise | environ 72 000 |

Ce total ne constitue pas un décompte vérifié de personnes distinctes.

### Dispositifs du plan d'urgence (avant-projet rapporté par Jiji, 5 novembre)

Jiji indique que les noms ci-dessous sont provisoires (仮称), à l'exception de « Top Gun ».

| Dispositif | Rôle | Déclenchement | Échéance |
|---|---|---|---|
| Équipe « Top Gun » | Experts de haut niveau qui conduisent des tests d'attaque pour renforcer les acteurs publics et privés | Non précisé | Création prévue en novembre 2026 |
| Équipe d'approche (アウトリーチ) | Contacter les organisations menacées et les inciter à se protéger, au sein de l'Office national de coordination cyber | Initiative de l'État | Non précisée |
| Équipe de secours cyber public-privé (官民サイバー救援隊) | Experts des deux secteurs envoyés auprès d'une victime | Demande de la victime, urgence élevée | Secrétariat au plus tard le 31 mars 2027 |
| Équipe de réponse conjointe | Office cyber, ministère compétent, police, ministère de la Défense et Forces d'autodéfense | Attaque grave | Non précisée |

Deux autres éléments du projet : la défense cyber active, dont l'exploitation a commencé en octobre selon Jiji, serait mise en œuvre « de manière stratégique » ; et le gouvernement veut obtenir plus tôt des informations sur des vulnérabilités non publiées, par une coopération plus étroite avec les entreprises d'IA de pointe. Le secrétaire général du gouvernement, Kihara Minoru, a dit le 5 novembre vouloir en faire « le point de départ d'une transition vers une société dotée d'une cyber-résilience du plus haut niveau mondial ».

### Sources primaires et de référence

- Muji, [communiqué du 30 octobre](https://www.ryohin-keikaku.jp/news/articles/2026_1030_01) et [mise à jour du 4 novembre](https://www.ryohin-keikaku.jp/news/articles/2026_1104_02).
- Matsuya Foods, [communiqué du 30 octobre](https://www.matsuyafoods-holdings.co.jp/261030_info.pdf).
- Nihon Kotsu, [communiqué du 30 octobre](https://nihon-kotsu-hire.jp/news/261030/).
- Université de Saga, [communiqué du 30 octobre](https://www.saga-u.ac.jp/koho/press/2026103041773).
- Ministère des Affaires étrangères, [communiqué](https://www.mofa.go.jp/mofaj/press/release/pressit_000001_04395.html).
- NTT Docomo, [avis du 5 novembre](https://www.docomo.ne.jp/info/notice/page/261105_03_m.html).
- SMBC Consumer Finance, [communiqué du 5 novembre](https://www.smbc-cf.com/news/data/2026/11/news_20261105.pdf).
- Agence de gestion des incendies et des catastrophes, [communiqué du 5 novembre](https://www.fdma.go.jp/pressrelease/houdou/items/261105_kokuun_1.pdf).
- Yumirlink, [premier communiqué, 19 octobre](https://www.ymir.co.jp/info/ymir-information20261019.html) et [second, 26 octobre](https://www.ymir.co.jp/info/ymir-information20261027.html).
- Plan d'urgence : [Jiji Press via Nippon.com, 5 novembre](https://www.nippon.com/ja/articles/-/56983) ; [ministère de la Défense, 2 octobre](https://www.mod.go.jp/j/press/kisha/2026/1002a.html) pour la mission d'accès et de neutralisation en vigueur depuis le 1er octobre.
- Aide : [site spécial cyber du gouvernement](https://www.cyber.go.jp/tokusetsu/contactpoint_advisory_hub/index.html), [ministre du Numérique, 27 octobre](https://www.digital.go.jp/speech/minister-261027-01) et [30 octobre](https://www.digital.go.jp/speech/minister-261030-01) ; [IPA, soutien aux victimes](https://www.ipa.go.jp/security/otasuketai-pr/) et [renforcement du conseil aux particuliers, 2 novembre](https://www.ipa.go.jp/pressrelease/2026/press20261102.html) ; [SMRJ](https://www.smrj.go.jp/important/qsktgp000000fj4a.html).
- Commission de protection des informations personnelles : [obligation de signalement](https://www.ppc.go.jp/news/kaiseihou_feature/roueitouhoukoku_gimuka/), [lignes directrices générales](https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/), [secteur public](https://www.ppc.go.jp/personalinfo/legal/guidelines_administrative/) ; [Agence du numérique, FAQ My Number](https://www.digital.go.jp/policies/mynumber_faq_02).

### Termes japonais

- **能動的サイバー防御** (*nōdōteki saibā bōgyo*) : défense cyber active, politique visant à prévenir ou limiter les cyberattaques, notamment par des mesures d'accès et de neutralisation encadrées par la loi.
- **国家サイバー統括室** (*Kokka saibā tōkatsu-shitsu*) : Office national de coordination cyber.
- **安否情報システム** (*anpi jōhō shisutemu*) : système d'information sur la sécurité des habitants (attaque armée ou catastrophe).
- **官民サイバー救援隊** (*kanmin saibā kyūentai*, nom provisoire) : équipe de secours cyber public-privé.

*Traduction de l'auteur pour les citations japonaises.*