La branche japonaise de Sony, fournisseur d'accès, annonce une fuite de 2,6 millions d'enregistrements

Sony Network Communications, la filiale du groupe Sony derrière le fournisseur d'accès So-net, a déclaré le 27 octobre 2026 qu'un tiers non autorisé avait accédé à sa base de membres So-net et exposé 2 585 481 enregistrements clients. L'avis de l'entreprise, publié en japonais, répartit ce chiffre entre 2 141 986 entrées So-net et 443 495 dossiers plala (cours S). Le cours S de plala est le service qui sous-tend Docomo Hikari, le service de NTT Docomo que celle-ci confie à Sony Network Communications, si bien que le plus petit nombre atteint des personnes qui n'ont jamais eu de compte Sony.

À lire aussi: L'Espagne enregistre sa première violation de données commise par un agent d'IA autonome · Le groupe Leakers$ détourne des panneaux LED publics en Égypte, en Malaisie et au Brésil.

L'accès est resté indétecté quatre jours. Il a eu lieu le 19 octobre et a été détecté le 23 octobre, quand Sony a éteint les serveurs compromis et bloqué les communications externes. L'entreprise a publié son avis le 27 octobre et signalé l'incident à la Commission japonaise de protection des informations personnelles. La cause et l'ampleur exacte font encore l'objet d'une enquête.

Ce que contiennent les 2,58 millions d'enregistrements

Les champs exposés sont le contenu ordinaire d'une base de membres :

• Identité : noms complets, dates de naissance et sexe.
• Contact : numéros de téléphone et adresses e-mail.
• Compte : identifiants utilisateur et identifiants de connexion internet.

Sony affirme qu'aucune donnée bancaire, aucun numéro de carte de paiement ni aucun autre détail de compte ne figurait dans les dossiers. Cela limite un type de perte. Cela ne rend pas la liste inoffensive, car les champs dérobés sont ceux qui servent à prouver une identité ailleurs.

Le décompte est aussi un décompte d'enregistrements. Sony n'a pas publié de chiffre pour les personnes uniques, et une même personne peut apparaître dans plusieurs entrées. Les 54 401 enregistrements e-mail et mot de passe se situent entièrement hors des 2 585 481, et Sony n'a pas dit si les deux ensembles se recoupent. La notification de Docomo à ses propres clients couvre un groupe distinct. Additionner les chiffres produit un nombre plus élevé que ce que les preuves soutiennent.

Le lien avec Docomo Hikari

Docomo Hikari est vendu par NTT Docomo, mais le service derrière est le cours S de plala, fourni sous contrat par Sony Network Communications. C'est cette organisation qui fait qu'une fuite chez une filiale de Sony retombe sur les clients de Docomo. Docomo les a informés le 27 octobre et indique que l'incident touche tous les clients Hikari actuels ainsi que toute personne ayant résilié dans les six mois précédents.

Les deux déclarations ne se superposent pas. Sony compte 443 495 dossiers plala (cours S). Docomo décrit une population touchée composée de tous les clients Hikari actuels plus les résiliations récentes. Aucune des deux entreprises n'a publié de rapprochement, et le décompte d'enregistrements n'est un décompte de clients dans aucun des deux sens.

L'avis de Docomo va au-delà du décompte. Dans un avertissement distinct, l'opérateur invite ses clients à se méfier des e-mails d'hameçonnage et des faux sites usurpant son d POINT Club et une campagne Universal Studios Japan. Les faux messages annoncent aux destinataires qu'ils ont gagné des billets et leur demandent de saisir des informations personnelles pour réclamer un prix qui n'existe pas. Les messages s'appuient sur une vraie fuite chez un vrai fournisseur pour rendre une fausse offre crédible.

C'est la forme concrète de cet incident pour la plupart des personnes touchées. La plupart ne liront pas un PDF japonais d'une filiale de Sony. Elles recevront un e-mail ou un SMS qui connaît déjà leur nom, leur opérateur ou leur adresse, et qui demandera un détail de plus.

Cinquante-quatre mille mots de passe dans un second ensemble

À côté de la base clients, Sony indique que 54 401 adresses e-mail issues de plusieurs services de messagerie ont été exposées avec les mots de passe des comptes. L'entreprise conseille aux utilisateurs concernés de changer ces mots de passe. Elle n'a pas nommé les services de messagerie, ce qui signifie que les personnes de cet ensemble ne peuvent pas s'identifier à partir du seul avis public.

Cet ensemble est le plus immédiatement dangereux des deux, et c'est celui qui risque le plus d'être mal lu. Une adresse e-mail et un mot de passe fonctionnel sont directement utilisables contre tout autre service où la même paire a été réutilisée. Les dossiers volés n'ont pas besoin de contenir des données bancaires pour coûter de l'argent à quelqu'un, car le mot de passe peut ouvrir un compte qui en contient. Sony n'a pas décrit comment les mots de passe étaient stockés, donc on ignore s'ils sont utilisables tels quels.

Les dossiers clients posent un autre problème, à plus long terme. Un nom, une date de naissance, un numéro de téléphone et une adresse e-mail suffisent à établir un premier contact convaincant, et à répondre à des questions que certains services traitent encore comme une preuve d'identité.

Pourquoi une liste de fournisseur d'accès vaut d'être volée

Un fournisseur d'accès détient la relation de facturation, l'identifiant de connexion et la ligne physique. Même sans données de paiement, les champs restants décrivent une personne et le service dont elle dépend. Cette combinaison alimente des hameçonnages qui ressemblent à un avis de compte, des appels qui citent un vrai numéro client et des tentatives de réinitialisation de mot de passe ailleurs avec des informations que la cible reconnaîtra. Le numéro de téléphone compte autant que l'adresse e-mail, parce qu'un appelant qui connaît déjà le nom et l'opérateur a un script.

Les identifiants de connexion sont le champ le moins explicite de la liste. Sony les appelle des identifiants de connexion internet ; l'entreprise n'a pas expliqué s'ils permettent d'atteindre la ligne d'un client ou seulement d'identifier le compte en interne. Dans un cas comme dans l'autre, ils rattachent un enregistrement à un service précis, ce qui offre plus qu'une liste marketing. L'avis n'explique pas ce que ces identifiants exposent.

Rien de publié à ce jour ne montre les données utilisées. Sony et Docomo ont tous deux déclaré au 27 octobre n'avoir constaté aucune utilisation frauduleuse. C'est une affirmation sur les preuves, pas sur le risque. L'absence de confirmation au moment de la divulgation ne dit pas si la liste circule déjà.

Une série de fuites au Japon

La divulgation de Sony est arrivée au milieu d'une période particulièrement mauvaise pour les opérateurs de réseau japonais. Onamae Desktop Cloud de GMO Internet a été touché par un logiciel malveillant, avec jusqu'à 27 000 serveurs clients affectés. Le compte rendu de l'avis de Sony par BleepingComputer cite aussi KDDI, où une fuite a touché 12 millions de clients, IDC Frontier, victime d'un rançongiciel, et NTT, où des données sur 18 000 clients entreprises ont été dérobées début 2025.

La séquence était comprimée. GMO a invité ses clients à éteindre leurs PC pendant qu'il traitait une menace de rançongiciel le 27 octobre, le jour même où Sony publiait son avis. Le Japan Times rapporte que le gouvernement a tenu des réunions d'urgence le lundi 26 octobre pour préparer une réponse. Le calendrier est serré. Aucun des articles ne relie les incidents, et des fuites distinctes chez des entreprises distinctes peuvent remplir une semaine de calendrier sans partager un attaquant.

"Le rythme récent des fuites de données est si inédit et si menaçant que le gouvernement japonais a tenu des réunions d'urgence lundi pour préparer sa réponse." — BleepingComputer, Bill Toulas, 28 octobre 2026

Ce que les clients touchés peuvent faire

La seule consigne de Sony est de changer le mot de passe de tout compte lié aux 54 401 adresses e-mail exposées. Quiconque a utilisé le même mot de passe ailleurs doit le changer là aussi, et un gestionnaire de mots de passe rend la chose pratique plutôt que théorique. L'authentification à deux facteurs sur la messagerie et les comptes bancaires couvre le cas où un mot de passe est déjà connu. Changer un mot de passe ne ferme pas une session déjà ouverte, donc se déconnecter des autres appareils et vérifier les options de récupération font partie du même travail.

Pour les clients de Docomo Hikari, l'avertissement pertinent est celui de l'hameçonnage. Les messages concernant le d POINT Club ou des billets Universal Studios Japan doivent être considérés comme faux, surtout s'ils arrivent peu après la fuite et demandent des informations pour débloquer un prix. Il faut vérifier l'avis de Docomo directement plutôt que via un lien contenu dans le message.

Réserves

Sony n'a pas publié le vecteur d'intrusion, il n'y a donc aucun moyen de savoir si un correctif, un identifiant ou un fournisseur est en cause. L'entreprise n'a pas nommé d'attaquant et n'a pas donné de chronologie détaillée au-delà des deux dates, le 19 octobre et le 23 octobre.

• Des enregistrements ne sont pas des personnes. Le chiffre de 2 585 481 compte des entrées dans la base de Sony. L'entreprise n'a pas publié de décompte de personnes uniques, et une personne peut apparaître plusieurs fois.
• L'ensemble de 54 401 est distinct. Il ne fait pas partie des 2,58 millions, et le recoupement entre les deux n'est pas établi. Sony n'a pas nommé les services de messagerie concernés.
• Absence d'utilisation confirmée n'est pas absence d'exposition. Sony et Docomo ont tous deux déclaré le 27 octobre n'avoir constaté aucune utilisation frauduleuse. Les données sont toujours entre d'autres mains.
• L'ampleur peut encore changer. Sony indique que la cause et l'étendue complète font l'objet d'une enquête. Le décompte publié le 27 octobre n'est peut-être pas le définitif.
• La vague japonaise est un contexte. KDDI, GMO, IDC Frontier, NTT et Sony n'ont pas été reliés à un attaquant commun, et les réunions gouvernementales ne prouvent pas son existence.

L'avis publié le 27 octobre donne le décompte et les dates. Il ne dit pas comment l'accès s'est produit ni jusqu'où il est allé, et Sony n'a pas indiqué quand il publierait davantage.

Image de couverture : « Sony headquaters 1.jpg » d'Akonnchiroll, CC BY-SA 4.0, via Wikimedia Commons. La photo montre le siège de Sony à Tokyo, pas le bureau de Sony Network Communications.