Le 11 septembre 2026, la Digital Agency japonaise a annoncé qu'un accès non autorisé à son Government Solution Service (GSS) pouvait avoir exposé des fichiers contenant des informations personnelles. L'incident concerne les personnels des organismes publics utilisant GSS ainsi que des personnes et entreprises intervenues dans leurs activités ; l'agence précise qu'il ne concerne pas les données personnelles du grand public.
L'enquête a relié l'intrusion à une vulnérabilité d'un équipement VPN utilisé pour la connexion au système. Environ 246 000 fiches sont concernées par la possibilité de fuite. Ce chiffre doit être lu avec précision : il inclut les fichiers pour lesquels l'exfiltration ne peut pas être écartée, pas une preuve que chaque fiche a été téléchargée.
Ce que la Digital Agency a confirmé
Le 25 juin 2026, les équipes ont détecté l'accès à un grand nombre de fichiers avec le compte d'un responsable de maintenance et d'exploitation. Le 9 juillet, l'analyse a établi qu'un tiers avait exploité une vulnérabilité sur un équipement VPN pour pénétrer dans le système et effectuer des accès non autorisés.
Le compte utilisé a été désactivé le 9 juillet et les communications externes de l'équipement compromis ont été coupées. La Digital Agency a ensuite poursuivi l'analyse avec un prestataire spécialisé avant de rendre l'incident public le 11 septembre. Elle indique qu'aucun dommage secondaire lié à l'utilisation des informations n'était confirmé au moment de l'annonce.
Quelles informations peuvent être concernées
Les fichiers potentiellement exposés contenaient des noms, adresses e-mail, numéros de téléphone et adresses. La Digital Agency estime le périmètre à environ 189 000 fiches de personnels et de fonctionnaires liés aux organismes utilisateurs de GSS, ainsi qu'environ 57 000 fiches de prestataires, entreprises et personnes ayant participé à leurs activités. Ces catégories peuvent se recouper.
Les volumes par type de donnée sont eux aussi des estimations avec recoupements : environ 236 000 noms, 231 000 adresses e-mail, 94 000 numéros de téléphone et 1 000 adresses. L'agence indique que les numéros My Number, les informations de compte bancaire et les numéros de pension ne figurent pas dans les données concernées. Une partie des téléphones et adresses correspond à des coordonnées professionnelles ou à des locaux administratifs.
Pourquoi une fuite de coordonnées reste exploitable
Un nom associé à une adresse e-mail professionnelle, à un service public et à un numéro de téléphone donne de la crédibilité à une tentative d'hameçonnage. Les informations peuvent servir à imiter la Digital Agency, un ministère, un prestataire de maintenance ou un service d'assistance. L'incident ne prouve pas qu'une campagne de phishing est déjà en cours, mais l'agence avertit explicitement de ce risque.
Les destinataires doivent donc regarder le contexte complet d'un message : domaine réel de l'expéditeur, demande urgente, lien de connexion, pièce jointe et demande d'informations confidentielles. La Digital Agency rappelle qu'elle ne demande pas de mot de passe, de donnée bancaire ou de carte de paiement par e-mail ou par téléphone.
Les actions à mener pour les personnes concernées
Si vous avez travaillé pour un organisme utilisateur de GSS ou pour l'un de ses prestataires, surveillez les messages et appels qui reprennent des détails professionnels exacts. N'utilisez pas le lien fourni pour vous connecter : ouvrez vous-même le site officiel ou contactez votre organisation par un canal déjà connu. Ne transmettez jamais un mot de passe, un code de validation ou une information bancaire pour « confirmer » votre identité.
Si un mot de passe a été saisi sur un site suspect, changez-le depuis le site officiel et sur tout autre service où il a été réutilisé. Activez les protections proposées par le service et signalez l'incident à votre équipe informatique. Un changement de mot de passe ne permet pas de retirer une adresse e-mail ou un numéro déjà divulgué : il sert à limiter la réutilisation de l'accès.
Les contrôles à mener dans les organisations
Les organismes concernés doivent recenser les comptes de maintenance ayant pu accéder à GSS, vérifier leur périmètre et examiner les journaux disponibles autour des dates communiquées. Les accès d'administration doivent être nominatifs, limités au besoin opérationnel et retirés lorsqu'un prestataire ou une mission se termine. Une vulnérabilité sur un équipement VPN rappelle aussi l'importance d'un inventaire des équipements exposés, d'un suivi des correctifs et d'un plan de coupure documenté.
Lorsque des identifiants ont pu être visibles depuis un compte ou un poste concerné, renouvelez les secrets service par service et vérifiez les sessions actives. Évitez de remplacer un seul mot de passe partagé par un autre mot de passe partagé : chaque outil doit disposer d'un secret distinct, afin qu'une réinitialisation ne se transforme pas en interruption générale ou en propagation vers d'autres services.
Le lien avec Soclyde
Soclyde ne protège pas le GSS japonais et ne corrige pas l'équipement VPN de la Digital Agency. Son intérêt se situe dans la gestion de la réponse côté organisation : conserver les accès dans un coffre chiffré sur les appareils, attribuer un secret différent à chaque service et retrouver rapidement les informations à renouveler lorsqu'un compte de maintenance ou un prestataire doit être vérifié.
Cette approche ne remplace ni la gestion des correctifs, ni les journaux, ni la limitation des privilèges. Elle réduit en revanche les copies dispersées et le risque qu'un même secret soit réutilisé entre un outil administratif, une messagerie et un accès de support. Consultez le guide pour créer des mots de passe forts et uniques ou le générateur de mots de passe Soclyde pour préparer une rotation contrôlée.
À retenir
L'incident GSS résulte d'un accès non autorisé lié à une vulnérabilité VPN et à l'utilisation d'un compte de maintenance. Les fichiers de personnels publics, de prestataires et d'autres intervenants peuvent contenir des coordonnées utiles à des attaques d'hameçonnage, même si aucun usage secondaire n'était confirmé au moment de l'annonce. Les personnes concernées doivent traiter les messages inattendus comme potentiellement frauduleux ; les organisations doivent revoir les accès de maintenance, les correctifs VPN et la réutilisation des secrets.
Pour limiter les conséquences d'un doute, commencez par attribuer un secret unique à chaque service et contacter Soclyde si vous devez structurer une rotation d'accès.
