Ce qui est vérifié au 29 octobre
Le titre « Le Japon appelle à une déconnexion nationale d’Internet » reflète le niveau d’alerte provoqué par la vague actuelle de cyberattaques au Japon, mais les sources les plus solides publiées dans les 72 heures se terminant le 29 octobre 2026 dessinent un tableau plus précis: aucun ordre gouvernemental indépendantement confirmé n’établit que chaque habitant du pays doit couper ses appareils d’Internet . Cybersecurity Insiders, dans un article portant ce titre, décrit l’inquiétude suscitée par les attaques au Japon, tout en précisant que les affirmations selon lesquelles le gouvernement aurait demandé une déconnexion nationale ou qu’une urgence nationale serait imminente doivent encore être vérifiées de manière indépendante .
Ce qui est confirmé reste grave. GMO Internet, un acteur important de l’infrastructure Internet japonaise, a demandé aux clients concernés de son service Onamae.com Desktop Cloud de déconnecter leurs systèmes, d’éteindre leurs PC et d’éviter tout contact avec les contenus publiés par les attaquants après une menace de fuite de données et de ransomware . BleepingComputer a également rapporté que GMO avait appelé ses clients à déconnecter leurs systèmes d’Internet et à arrêter leurs ordinateurs après l’intrusion visant Onamae Desktop Cloud et la menace de ransomware .
La nuance est essentielle. Il ne s’agit pas d’un arrêt général de l’Internet grand public. Il s’agit d’une consigne de confinement adressée à une population de clients exposés, notamment des utilisateurs de bureaux cloud susceptibles d’avoir servi à des opérations de trading automatisé ou de contenir des identifiants de comptes financiers . Mais, dans les faits, cette mesure ressemble à l’une des décisions les plus radicales que les équipes de sécurité préparent sans jamais souhaiter l’appliquer publiquement: quand la confiance dans les terminaux connectés s’effondre, la disponibilité passe derrière le confinement.
D’un incident informatique à un sujet d’État
Le gouvernement japonais est lui aussi impliqué, mais son action actuelle la plus concrète n’est pas un ordre national de déconnexion. Kyodo a rapporté le 29 octobre que le ministère des Affaires intérieures et des Communications avait demandé à des groupes du secteur télécom de bloquer l’accès à un site diffusant de prétendues informations clients de GMO dans le cadre d’une tentative d’extorsion . Interrogé sur cette demande, le secrétaire général du gouvernement, Minoru Kihara, a refusé de commenter des mesures précises au motif que l’affaire était en cours, tout en indiquant que les ministères, les agences et la police coopéraient étroitement et rapidement .
Cette demande est remarquable car le blocage d’un site au Japon peut soulever des questions liées au secret des communications, protégé par la Constitution . Selon Kyodo, la mesure a vraisemblablement été jugée nécessaire comme action d’urgence parce que le risque de diffusion d’informations privées était devenu réel . C’est là que se situe l’enjeu politique de l’incident: une compromission partie d’un service cloud et de machines clientes a rapidement fait entrer dans la même cellule de crise opérateurs télécoms, police, ministères et questions constitutionnelles.
La chronologie publiée par GMO explique cette escalade. L’entreprise dit avoir suspendu le service touché, consulté la police, coopéré avec les autorités et refusé de payer une rançon d’environ 8 milliards de yens . Elle a aussi averti ses clients de ne pas consulter ni diffuser le site de fuite, en expliquant que les attaquants pourraient collecter des informations sur les personnes qui y accèdent et que GMO préparait des actions juridiques contre les diffuseurs malveillants .
La consigne de déconnexion
La consigne de déconnexion la plus nette vient des communications de GMO à ses clients. Dans son rapport du 27 octobre, l’entreprise indique que des personnes qu’elle estime être les attaquants ont publié des informations, qu’elle vérifie ces contenus et qu’elle demande à ses clients de ne pas accéder à la fuite supposée ni de la relayer . Dans la même séquence, BleepingComputer rapporte que GMO a demandé aux clients de déconnecter leurs PC d’Internet, de les éteindre et de débrancher les câbles avant midi, pendant que les travaux de reprise se poursuivaient avec Trend Micro .
C’est une mesure de confinement classique, mais rarement exposée aussi publiquement. Déconnecter une machine du réseau peut couper les communications de commande et contrôle, empêcher un malware de recevoir des instructions, limiter les mouvements latéraux et préserver un système pour l’analyse forensique. Mais cela peut aussi interrompre l’activité, le trading, le support client et les opérations de restauration. La leçon difficile est que « maintenir le service en ligne » et « protéger le client » peuvent devenir deux objectifs concurrents pendant une compromission active.
GMO avait déjà reconnu que des informations clients avaient été sorties de l’entreprise et que certains clients avaient signalé des opérations non reconnues sur des comptes de trading . L’entreprise a déclaré qu’elle ne céderait pas aux demandes des attaquants, car un paiement ne garantirait ni la suppression des données volées ni l’absence de réutilisation malveillante . Elle indique aussi coopérer avec les services d’enquête et les autorités compétentes, et envisager des indemnisations supplémentaires si la présence d’informations clients dans les contenus publiés était confirmée .
Pourquoi l’aérien apparaît dans cette crise
L’incident GMO n’est pas isolé dans le récit public, car Japan Airlines a annoncé séparément une fuite liée à Amadeus, fournisseur de son Passenger Service System pour les réservations, la billetterie et l’enregistrement . JAL indique que des traces montrent qu’une partie des données de réservation de clients de Japan Airlines et Japan Transocean Air a été consultée depuis l’extérieur après un accès non autorisé aux systèmes d’Amadeus .
JAL évalue le nombre de personnes touchées à environ 92 000 clients . Environ 90 000 clients sont concernés par l’exposition de codes de réservation, noms, dates de vol, segments et classes de service, tandis qu’environ 2 000 clients sont concernés par des données supplémentaires comme adresses e-mail, numéros de téléphone, numéros de passeport, nationalité, numéros de fidélité, noms de compagnies, numéros de vol, numéros de billet et sièges . JAL a indiqué qu’elle contacterait les clients concernés individuellement et leur rappellerait de se méfier des e-mails de phishing, appels frauduleux et sites suspects usurpant l’identité du groupe JAL .
The Record a replacé cette annonce dans une série plus large d’incidents visant des entreprises japonaises et a relevé que JAL affirmait que les opérations aériennes n’avaient pas été touchées et que les numéros de carte bancaire n’avaient pas été compromis . Ce détail opérationnel est important: le cas JAL illustre une exposition de données via un tiers, tandis que le cas GMO implique un risque plus direct sur les terminaux et les comptes de trading. Ensemble, ils expliquent pourquoi les dirigeants japonais abordent la cyberrésilience comme une question économique et de confiance publique, et non comme un simple problème informatique.
Le site de fuite disparaît, le risque demeure
Un élément a offert un répit visible. Nippon.com, citant Jiji Press, a rapporté que GMO avait confirmé la fermeture d’un site qui avait publié des informations personnelles prétendument liées à un client GMO après le refus de l’entreprise de payer une rançon . Le même article indique que le site menaçait de publier quotidiennement des données clients, qu’il n’avait pas été mis à jour à midi mercredi et qu’il était devenu inaccessible vers 4 h du matin, même si un responsable d’une société de cybersécurité affirmait qu’il restait partiellement accessible .
GMO a aussi ouvert une ligne de signalement pour recueillir des informations susceptibles d’identifier les attaquants et a annoncé pouvoir verser jusqu’à 158 millions de yens au total pour des informations et preuves pertinentes, notamment adresses IP, comptes et enregistrements de télécommunications . Cette démarche proche d’une prime à l’information montre que la réponse à incident dépasse désormais la simple restauration technique pour entrer dans l’attribution, la collecte de preuves et la coordination policière.
Mais la disparition d’un site de fuite ne sécurise pas automatiquement des identifiants déjà copiés. Si des images de terminaux, des identifiants de trading, des données de réservation ou des coordonnées clients ont été exfiltrés, la crise immédiate peut se transformer en mois de phishing, de tentatives de prise de contrôle de comptes et de nouvelles pressions d’extorsion. C’est pourquoi les conseils de JAL insistent sur la vigilance face aux usurpations , et pourquoi les avertissements de GMO visent autant les malwares que les dommages secondaires liés à la consultation ou à la diffusion des contenus des attaquants .
La leçon pour les responsables sécurité
Pour les RSSI et les responsables publics, l’épisode japonais rappelle une réalité difficile: la cyberrésilience à l’échelle nationale peut dépendre de consignes très concrètes. Éteindre cette machine. Débrancher ce câble. Bloquer ce site. Fermer ces sessions. Prévenir ces clients. Préserver ces preuves. Aucune de ces actions n’est spectaculaire, mais chacune peut décider si l’incident reste contenu ou devient systémique.
L’état actuel des informations ne permet pas d’affirmer que tous les citoyens japonais ont reçu l’ordre de se déconnecter . Il permet en revanche d’affirmer qu’un grand fournisseur Internet japonais a demandé à des clients touchés d’isoler leurs appareils, que le gouvernement aurait demandé aux opérateurs télécoms de bloquer un site d’extorsion, et que d’autres grandes entreprises, dont une compagnie aérienne, ont annoncé de nouvelles expositions de données clients . C’est déjà considérable.
Le plus grand bouton « mode avion » du monde n’a pas été actionné sur tout le Japon. Mais pour certains clients, et pour les équipes chargées de limiter le périmètre de l’attaque, la connexion réseau la plus sûre était tout simplement l’absence de connexion.
Commentaires
Sois le premier à commenter.