Pourquoi le Japon reste-t-il la cible idéale des pirates ?

Le problème n’est pas nouveau. En 2022, l’Agence de sécurité nationale japonaise a recensé 1 043 incidents majeurs liés à des cyberattaques, soit une hausse de 22 % par rapport à l’année précédente. Et pourtant, les entreprises continuent de faire les mêmes erreurs. CarMap, par exemple, utilisait un système de chiffrement obsolète, un détail technique qui, pour un pirate, équivaut à laisser la porte de chez vous grande ouverte. Mais le vrai scandale, c’est que les régulateurs japonais ferment les yeux. Pendant que la France ou les États-Unis imposent des audits de sécurité réguliers aux plateformes critiques, le Japon se contente de recommandations. « On vous conseille de mettre à jour vos mots de passe », comme si c’était une solution miracle. Spoiler : ça n’en est pas une.

Et puis, il y a le silence des médias. Une fuite de données chez un petit site de vêtements d’occasion ? « Pas de quoi fouetter un chat », semble-t-il penser. Pourtant, ces sites-là, souvent gérés par des PME, sont les plus vulnérables. Pas assez de budget pour la sécurité, pas assez de compétences non plus. Résultat : une chaîne de faiblesses qui s’étend bien au-delà des voitures et des vêtements. En 2023, une attaque contre un fournisseur de logiciels japonais a permis à des pirates d’accéder aux systèmes de 50 entreprises différentes, dont des banques et des hôpitaux. Personne n’a été poursuivi. Personne n’a été sanctionné. Juste un rapport classé sans suite.

Ce que les utilisateurs ne voient pas (mais qui les concerne)

Quand un site se fait pirater, les conséquences ne touchent pas que les données. Ça tue aussi la confiance. Un utilisateur qui se fait bloquer son compte après une transaction, c’est un utilisateur qui ne reviendra plus. Pire : c’est un utilisateur qui va se tourner vers des alternatives… moins sécurisées encore. Parce que si CarMap ou Rakuten (le géant japonais de l’e-commerce) ne protègent pas leurs clients, alors où aller ?

Et puis, il y a l’effet domino. Une attaque sur un site de voitures d’occasion peut se répercuter sur les assureurs, les garagistes, les banques. Parce que les données volées ne servent pas qu’à du chantage, elles servent aussi à monter des fraudes. Un pirate qui a accès à votre historique d’achat de voitures sait aussi où vous habitez, quels sont vos revenus, et peut donc vous proposer des crédits… ou vous ruiner avec des dettes sous votre nom. En 2021, une seule cyberattaque contre une société de leasing automobile japonaise a entraîné des pertes estimées à 1,2 milliard de yens (8,5 millions d’euros) pour les clients lésés. Personne n’a rendu cet argent. Personne n’a été condamné.

Le vrai problème : personne ne veut assumer

Le Japon a un retard criant en matière de cybersécurité, et ce n’est pas une question de technologie. C’est une question de culture. Les entreprises japonaises préfèrent encore croire que « ça n’arrivera pas à nous » plutôt que d’investir dans des protections sérieuses. Les régulateurs, de leur côté, manquent de moyens pour imposer des sanctions. Et les utilisateurs ? Ils sont les derniers de la chaîne, ceux qu’on oublie toujours.

Prenez l’exemple de Mercari, la plateforme de vente entre particuliers. En 2020, une faille a permis à des pirates d’accéder aux données de 20 millions d’utilisateurs. La réponse de Mercari ? « Désolé, on va faire mieux ». Sans amende, sans transparence sur les causes exactes de la faille, et surtout, sans obligation de renforcer les protections pour les années suivantes.

Et maintenant, que faire ?

Si vous utilisez des sites japonais pour acheter des voitures ou des vêtements d’occasion, voici ce que vous pouvez faire maintenant :

• Vérifiez vos comptes régulièrement. Un accès non autorisé ne se détecte pas toujours tout de suite. Changez vos mots de passe tous les trois mois, même si le site ne vous le demande pas.
• Évitez les paiements en ligne si le site a déjà été piraté. Préférez le virement bancaire ou le paiement en espèces sur place. Oui, c’est moins pratique. Non, ce n’est pas la solution idéale. Mais c’est mieux que de se faire voler son identité.
• Signalez les problèmes. Si un site se fait pirater et ne réagit pas, contactez JPCERT/CC (l’agence gouvernementale) ou les médias locaux. La pression citoyenne, au Japon, ça marche parfois.

Le vrai scandale, ce n’est pas l’attaque en soi. C’est l’impunité qui suit.

Ce que le gouvernement japonais refuse de voir

En 2023, le Japon a adopté une loi sur la cybersécurité. Sur le papier, c’est une avancée. En pratique, c’est du vent. Les amendes prévues pour les entreprises négligentes ? Jusqu’à 300 millions de yens (1,7 million d’euros). Soit l’équivalent de deux semaines de bénéfices pour une PME moyenne. Une claque dans la main pour un crime organisé.

Et puis, il y a le lobbying. Les géants du numérique japonais (comme Rakuten ou Yahoo! Japan) poussent pour des règles légères, parce que la sécurité coûte cher. Résultat : les petites structures, celles qui n’ont pas les moyens de se défendre, restent en première ligne. Comme des soldats sans armes.

La prochaine cible, ce sera peut-être vous

Vous pensez que ça ne vous concerne pas ? Détrompez-vous. Une attaque sur un site de voitures d’occasion peut très bien se transformer en fraude à la carte bancaire. Une faille chez un vendeur de vêtements peut mener à des usurpations d’identité. Et quand le Japon s’endormira sur ses lauriers, comme il l’a toujours fait, ce seront vos données qui paieront.

La question n’est plus « Si ça arrive », mais « Quand ça arrivera ». Et la seule réponse efficace, c’est de forcer les entreprises à assumer leurs responsabilités. Pas avec des recommandations molles. Pas avec des rapports confidentiels. Avec des sanctions qui font mal.

Jusqu’à ce que ça arrive, continuez à surveiller vos comptes. Et si vous tombez sur un site japonais qui sent le piratage à plein nez ? Fuyez.

Parce que personne ne viendra vous sauver.