L’Agence numérique japonaise a révélé une faille de sécurité qui aurait pu révéler environ 246 000 dossiers contenant des informations personnelles appartenant à des fonctionnaires et des personnes liées aux opérations gouvernementales.
L’incident a touché le Government Solution Service (GSS), un système partagé utilisé par les ministères et agences du gouvernement japonais. Les enquêteurs ont déterminé qu’un attaquant externe avait exploité une vulnérabilité dans un équipement VPN pour entrer dans l’environnement et obtenir un accès non autorisé.
Le premier avertissement est survenu le 25 juin 2026, lorsque l’agence a détecté un accès exceptionnellement massif à des fichiers via un compte appartenant à un agent de maintenance et d’opérations. Une enquête a finalement établi le 9 juillet qu’un tiers avait exploité la vulnérabilité du VPN.
L’agence a réagi en suspendant le compte de maintenance concerné et en bloquant les communications entre l’équipement compromis et les réseaux externes.
Une enquête menée avec des spécialistes externes de la sécurité a révélé que des dossiers contenant des informations personnelles pourraient avoir été exposés. Environ 189 000 des dossiers potentiellement concernés concernent des employés d’organisations utilisant le GSS et d’autres responsables publics impliqués dans leurs opérations.
Un autre 57 000 entreprises et particuliers impliqués dans le travail effectué pour ces organisations.
Les fichiers contenaient environ 236 000 noms et 231 000 adresses e-mail. Environ 94 000 numéros de téléphone et 1 000 adresses ont également été potentiellement affectés. Ces chiffres se recoupent car les dossiers individuels peuvent contenir plusieurs types d’informations.
L’Agence numérique a souligné que l’incident n’a pas révélé d’informations personnelles appartenant au grand public japonais. Les numéros d’identification de My Number, les informations bancaires et les numéros de pension n’ont pas non plus été inclus dans les fichiers potentiellement compromis.
Beaucoup des numéros de téléphone et adresses concernés étaient des coordonnées professionnelles ou des lieux de bureaux gouvernementaux plutôt que des informations privées résidentielles.
L’agence n’a pas identifié le produit VPN concerné ni divulgué publiquement la vulnérabilité spécifique exploitée. Cependant, elle a indiqué que la faille de sécurité était classée de gravité moyenne et n’était pas une vulnérabilité zero-day jusque-là inconnue.
Aucune utilisation abusive des informations potentiellement exposées n’a encore été confirmée. Néanmoins, l’agence a averti les personnes concernées d’être vigilantes en cas d’e-mails de phishing, d’appels suspects et d’autres tentatives d’usurpation d’identité pour des organisations gouvernementales à partir des informations obtenues lors de l’incident.
Les individus identifiés comme potentiellement affectés seront contactés directement. La violation n’a pas perturbé les services gouvernementaux, et l’agence a indiqué n’avoir trouvé aucun accès non autorisé confirmé ni compromission comparable impliquant d’autres systèmes.