Violation de données du Service des retraites du Japon

Le 1er juin 2015, le Service des retraites du Japon (JPS) a annoncé qu'une cyberattaque avait divulgué les données personnelles d'environ 1,25 million d'affiliés. La violation a commencé par un vecteur d'une simplicité trompeuse — un e-mail ciblé porteur d'un logiciel malveillant — et est devenue un catalyseur de la réforme de la cybersécurité du secteur public dans tout le Japon.

Ce qui s'est passé

L'intrusion a utilisé ce que les enquêteurs ont qualifié d'attaque par e-mail ciblé « classique » (harponnage). À partir du 8 mai 2015 environ, des agents du JPS ont ouvert des pièces jointes d'e-mails qui ont installé un logiciel malveillant sur leurs postes de travail. L'infection s'est propagée en interne et, au cours des semaines suivantes, les attaquants ont exfiltré des données personnelles des systèmes contenant les dossiers d'affiliés.

L'organisation a découvert l'exfiltration le 28 mai 2015 et l'a divulguée publiquement le 1er juin. Les machines affectées ont été isolées pour contenir la propagation.

Impact

• Environ 1,25 million de dossiers ont été divulgués.
• Les champs exposés comprenaient noms, numéros d'identifiant de retraite, adresses et dates de naissance — bien que la combinaison ait varié selon les dossiers.
• Fait crucial, les responsables ont confirmé que le système central des retraites — qui suit l'historique financier et professionnel des affiliés ainsi que les versements — n'avait pas été compromis ; les données divulguées provenaient d'un environnement de partage d'informations distinct et moins protégé.
• Le JPS s'est engagé à réémettre les numéros d'identifiant de retraite des personnes affectées et a mis en garde contre la fraude et l'hameçonnage subséquents visant les victimes.

Conséquences

Un comité d'enquête ultérieur a vivement critiqué la gestion du JPS : le personnel avait stocké des données personnelles en dehors du système central protégé, la réponse aux premiers avertissements d'infection avait été lente, et la discipline élémentaire de sécurité des e-mails faisait défaut. Ces conclusions ont entraîné des réformes de gouvernance et de sécurité au sein du JPS et plus largement du gouvernement, notamment des règles plus strictes sur les lieux de stockage des données des citoyens et des défenses renforcées contre les menaces par e-mail.

Pourquoi c'est important

La violation du JPS a démontré que même les bases de données gouvernementales non financières sont des cibles de grande valeur, et qu'un seul clic imprudent peut compromettre les données personnelles de plus d'un million de citoyens. Survenue la même année que la violation de l'Office of Personnel Management aux États-Unis, elle a souligné une tendance mondiale d'institutions étatiques et quasi étatiques vidées de leur substance par l'hameçonnage. Au Japon, elle a accéléré la réflexion sur le « zero trust » dans le secteur public et renforcé l'argument selon lequel le déploiement du système national d'identité « My Number » devait s'accompagner de contrôles de traitement des données bien plus stricts.