Le groupe KDDI a identifié, le 17 juin 2026, un accès non autorisé à son service de messagerie clients pour le compte de fournisseurs d’accès à internet. La société estime que les pirates pourraient s’être ainsi appropriés au plus 14,22 millions d’adresses de mail et mots de passe, y compris de comptes déjà fermés.
Les fournisseurs d’accès à internet comprennent des sociétés comme JCOM, Nifty et Biglobe.
En fin d’article, les conseils d’Infos Locales au Japon pour rester en sécurité en ligne.
Ci-dessous, la traduction du communiqué presse de KDDI
Le 23 mai 2026.
À l’attention de la presse
KDDI S.A.
Concernant l’accès non autorisé au système de messagerie destiné aux fournisseurs d’accès Internet (FAI)
Le 17 juin 2026, KDDI a confirmé une fuite vers l’extérieur d’une partie des informations du système de messagerie électronique (ci-dessous « le service de messagerie concerné ») fournies par les différents fournisseurs d’accès à Internet (FAI), dans le cadre du système de messagerie (ci-dessous « ce système ») que KDDI fournit aux FAI. KDDI présente à tous les fournisseurs d’accès à internet et à tous leurs clients, ainsi qu’à toutes les personnes concernées ses plus sincères excuses, y compris pour l’importante gêne que cela occasionne.
1. Chronologie des événements
Le 17 juin 2026, notre société a constaté qu’elle faisait l’objet d’un accès non autorisé au système concerné fourni aux FAI.
Le même jour, elle a procédé à une mise à jour du système pour éviter une propagation des dommages. KDDI a donc identifié les points susceptibles d’avoir fait l’objet de cet accès non autorisé et avons mis en place des mesures de protection techniques.
L’enquête a révélé que cet accès non autorisé résultait d’une vulnérabilité dans un logiciel tiers utilisé au sein de ce système.
Il s’agit d’un acte de piratage qui laisse penser qu’il y a eu une fuite des données relatives aux messages de nos clients, qui sont des données nécessaires pour utiliser ce service. Notre entreprise poursuit son enquête, notamment afin de déterminer l’étendue des répercussions, etc.
Par ailleurs, concernant cet accès non autorisé, notre société prend les mesures nécessaires, conformément à la législation en vigueur, notamment en adressant un rapport et en sollicitant des conseils auprès de la Commission de protection des données personnelles et du ministère des Affaires intérieures et des Communications.
2. FAI concernés
Les six sociétés ci-dessous sont les FAI et le système concernés.
| STNet S.A | « Service Pikara Hikari ピカラ光サービス», « Service Pikara Mobile ピカラモバイルサービス», |
| Service de messagerie électronique lié au « Service Pikara pour le travail お仕事ピカラサービス» | |
| KDDI Web Communications, S.A. | Service de messagerie de l’hébergeur « CPI » |
| JCOM S.A. | « J:COM NET » et le service de messagerie destiné aux opérateurs de télévision par câble |
| Chubu Telecommunications Co., Ltd. | Services de messagerie de Commufa Hikari et Business Commufa コミュファ光・ビジネスコミュファ |
| Nifty Co., Ltd. | @nifty Mail |
| BigLobe Co., Ltd. | Messagerie BIGLOBE |
| *Par ordre alphabétique japonais |
3. Informations relatives aux courriels qui auraient pu faire l’objet de fuites
Adresses e-mail et mots de passe associés aux boîtes mail créées via ce service : au plus 14,22 millions. ※ Ce chiffre inclut les clients ayant résilié leur abonnement ainsi que les clients inactifs n’ayant pas utilisé le service depuis un certain temps.
※ Cela comprend aussi les mots de passes hachés ou chiffrés.
※ L’enquête étant toujours en cours, les chiffres représentent le nombre maximal de fuites possibles.
4. Informations destinées aux FAI concernés
Depuis le 17 juin 2026, KDDI contacte les FAI dans l’ordre séquentiel. Parallèlement, nous menons des discussions sur les mesures à prendre et procédons à l’introduction de nouveaux outils.
Il convient de noter que, bien que la compagnie ait implémenté de mesures de protection technique pour ce système, il est possible qu’à cause de cet accès non autorisé, des personnes tierces se soient appropriés de manière illégale les adresses de courriel et les mots de passe de vos clients. Afin de protéger efficacement leurs données et d’éliminer tout risque futur ou potentiel, il est donc nécessaire de demander à ces clients de modifier le mot de passe de leur messagerie. Nous invitons donc les clients de chaque FAI à vérifier les informations reçues de leur fournisseur d’accès à Internet et d’agir rapidement.
KDDI continuera à collaborer avec les FAI et à sensibiliser et à encourager les clients a effectivement changer leur mot de passe rapidement.
Que faire pour se protéger en ligne ?
Normalement, après des failles de sécurité, les services mentionnés ont déjà envoyé des messages à leurs adhérents.
Actions immédiates
- Vérifier les débits et crédits sur tous les comptes qui sont reliés à la gestion d’argent.
- En cas d’opération douteuse, contacter sa banque, sa carte visa, et/ou la police pour savoir comment faire.
Actions nécessaires le plus tôt possible.
- Vider le cache de son navigateur et le mettre à jour, même si les applications des smartphones ne passent pas par un navigateur (effacer les cookies, désinstaller les extensions dont on ne se sert pas).
- Mettre à jour son système d’exploitation (iOS, Android, Windows, Mac, Linux, etc.) à la dernière version pour augmenter le niveau de sécurité des transactions.
- Mettre à jour les applications qui gèrent des informations personnelles et l’argent. Les applications sont mises à jour pour corriger les failles de sécurité. Lorsque ces mises à jour ont lieu, les constructeurs et programmeurs publient en général la raison de la faille. Certaines failles risquent d’être exploitées tant que cela n’est pas fait.
- Changer les mots de passe et PINs des différents accès à des comptes en ligne. Le service public français explique ce qu’est un bon mot de passe.
- Changer les mots de passe de sa messagerie en ligne.
- Utiliser un gestionnaire de mots de passe sécurisé. Certains offrent un système de zero-knowledge, qui empêchent les fabricants de les décoder, même en ayant l’algorithme pour.
| Ambassades (et consulats) au Japon Les missions diplomatiques au Japon assistent aussi leurs ressortissants en cas de problèmes au Japon. Pensez à les prévenir en cas de problèmes avec la police ! | ||
| Ambassades du Japon à l’étranger On peut les contacter pour toutes les questions relatives au Japon, pendant que l’on se trouve hors du Japon. Les ambassades du Japon assistent aussi les personnes qui se trouvent à l’étranger et dont la nationalité est japonaise. | ||
| Santé : Cliquer ici pour Trouver un médecin qui parle anglais ou français au Japon | ||
| Urgences santé #7119 (Aussi pour trouver un établissement médical qui accepte les étrangers.) | Police 110 Pour parler en anglais, 03-3501-0110 (24h/24) | Pompiers 119 (Ou le #7119 quand ce n’est pas une urgence absolue) |
| Ambulances 119 (Vies en danger, accidents, blessures graves, etc.) | Urgences en cas de violence / crime sexuel #8891 | Urgences psychologiques (gérées au Japon) #9999 |
| Urgences enfants #8000 (Vies en danger, accidents, blessures graves, etc.) | Urgences en cas de violence conjugale | Présence, assistance, etc. psychologiques (ce qui existe en français, en anglais, en japonais) |
| Le Coin Urgence contient de nombreux articles pour rester en sécurité. | ||