L’Agence numérique du Japon (Digital Agency) a annoncé le 11 septembre qu’un tiers s’était introduit dans le Government Solution Service (GSS), l’environnement de travail partagé par de nombreux ministères, en exploitant une faille d’un équipement VPN. Environ 246 000 fiches concernant des agents publics et des prestataires ont pu fuiter. Les données des citoyens ne sont pas concernées.
Quelles données ont fuité
Les 246 000 fiches se répartissent en deux populations :
- environ 189 000 concernent des agents des administrations utilisatrices du GSS et des fonctionnaires ayant travaillé sur ces missions, y compris dans des établissements publics ;
- environ 57 000 concernent des entreprises et des particuliers prestataires de ces administrations.
Les champs se recoupent : environ 236 000 noms, 231 000 adresses email, 94 000 numéros de téléphone et un millier d’adresses postales.
L’agence précise que ni les numéros My Number (l’identifiant national), ni des informations de comptes bancaires, ni des numéros de pension ne figurent dans les données.
Chronologie
| Date (2026) | Événement |
|---|---|
| 25 juin | Accès massif à des fichiers détecté depuis un compte de maintenance ; enquête ouverte |
| 9 juillet | Intrusion via la faille d’un équipement VPN identifiée ; compte suspendu, équipement isolé d’Internet |
| Été | Analyse avec un cabinet spécialisé, qui conclut à une fuite possible |
| 11 septembre | Annonce publique |
Près de deux mois et demi séparent la découverte de l’intrusion et l’annonce. L’agence ne donne ni la marque de l’équipement VPN ni la vulnérabilité exploitée. Elle indique avoir appliqué le correctif et revoir sa gestion des vulnérabilités ainsi que la façon dont les connexions externes sont établies.
Pourquoi c’est sensible
Aucune utilisation frauduleuse des données n’a été constatée à ce jour, selon l’agence. Mais un fichier de fonctionnaires et de prestataires du gouvernement, avec emails et téléphones, est une matière première rêvée pour l’hameçonnage ciblé et l’espionnage : un faux message « de l’Agence numérique » ou d’un ministère sera beaucoup plus crédible pour ces destinataires.
Le scénario est aussi devenu classique : les équipements VPN et passerelles d’accès à distance figurent depuis des années parmi les portes d’entrée préférées des attaquants, parce qu’ils sont exposés sur Internet et donnent accès au réseau interne.
L’agence rappelle qu’elle ne demande jamais de mot de passe, d’identifiants ni de numéro de carte bancaire par email ou par téléphone. Tout message de ce type est une tentative d’escroquerie.
Que faire si vous êtes concerné
- L’agence va identifier et contacter individuellement les personnes concernées, et a ouvert une ligne dédiée.
- N’ouvrez pas les liens ou pièces jointes de messages inattendus se réclamant de l’agence ou d’une administration.
- Ne saisissez aucun identifiant à la suite d’un contact non sollicité ; vérifiez par un canal officiel.
Pour les équipes qui gèrent un VPN : surveillez les avis de sécurité de votre fournisseur, appliquez les correctifs en priorité sur ces équipements exposés et restreignez les comptes de maintenance à ce dont ils ont réellement besoin.