Le 9 octobre 2026, JR East a annoncé qu'environ 2,06 millions de fiches liées à deux services d'adhésion, dont Ekinet pour la réservation de trains, pourraient avoir été exposées.
La réaction sur internet était presque inévitable : « Je veux juste acheter un billet de train, mais on me demande sans arrêt de sélectionner des feux de circulation. Et un attaquant, lui, arrive à entrer ? »
C'est à la fois drôle et exaspérant. On a l'impression de passer un concours d'énigmes avant de réserver, puis de découvrir une possible fuite de données.
Mais un élément change le récit : aucune communication officielle n'affirme que l'attaquant a réussi ou contourné le puzzle d'images du site de réservation. Le voyageur et l'incident ne sont pas passés par la même porte.
1. Que s'est-il passé exactement ?
JR East a indiqué qu'un service extérieur utilisé pour envoyer des courriels à ses membres avait été touché. Des traces d'envoi contenant certaines adresses électroniques pourraient avoir été consultées ou récupérées par des tiers.
Cet incident est lié à un accès non autorisé à IDCF Cloud, fourni par IDC Frontier. L'entreprise a signalé une perturbation vers 3 h 40 le 7 octobre. Elle a confirmé une attaque de type blocage de systèmes en échange d'une rançon et précisé que 495 organisations clientes, dont des entreprises et des collectivités, étaient concernées.
Une « fuite possible » n'est pas la confirmation que toutes les fiches ont été volées. La voie d'entrée exacte des attaquants faisait toujours l'objet d'une enquête lors de l'annonce du 9 octobre.
2. Deux portes qui ne mènent pas au même endroit
Le voyageur ouvre le site de réservation, passe des contrôles censés freiner les opérations automatiques, se connecte à son compte et gère ses propres billets.
Les données évoquées dans l'annonce, elles, étaient liées à un service extérieur d'envoi de courriels. Le communiqué ne décrit pas un pirate qui aurait franchi la page publique de réservation pour télécharger la liste entière des membres.
Imaginez une gare où les portiques d'accès sont gardés comme une forteresse, tandis que le dépôt du courrier se trouve dans un autre bâtiment. Le contrôle d'accès de la gare ne protège pas automatiquement chaque porte du dépôt.
Voyageur : « Je n'arrive même pas à passer le portique ! »
Incident : « Moi, je suis arrivé dans l'immeuble voisin. »
Voyageur : « Pardon ?! »
Le dialogue est absurde, mais la distinction est essentielle pour comprendre l'affaire.
3. Que vérifie réellement l'image des feux rouges ?
Les demandes comme « Je ne suis pas un robot » et « Sélectionnez tous les feux de circulation » visent surtout à réduire certains abus et accès massifs réalisés par des programmes automatiques.
Il ne s'agit pas de distinguer les bonnes personnes des mauvaises. Et réussir les images ne donne pas le droit de consulter les informations des autres. Une personne malveillante est, elle aussi, un être humain.
Même en reconnaissant chaque feu du premier coup, personne ne devrait pouvoir accéder aux réservations d'autrui ni à des millions de fiches. Le mot de passe, les vérifications d'identité supplémentaires et les limites d'accès à chaque dossier remplissent des fonctions différentes.
Un échange totalement imaginaire :
Voyageur : « Je suis bien humain ! »
Puzzle : « Confirmé. »
Voyageur : « Alors je peux enfin réserver ? »
Puzzle : « Adressez-vous au service suivant. »
Humanité confirmée. Patience du client : hors garantie.
4. Pourquoi les utilisateurs légitimes se retrouvent-ils bloqués ?
Les plaintes sur les puzzles à répétition, les pages lentes et les vérifications de paiement qui recommencent sans fin expliquent l'énervement provoqué par cette nouvelle.
De manière générale, les outils qui repèrent les accès automatiques peuvent soupçonner à tort un visiteur légitime. Un réseau partagé ou une connexion défaillante peut aussi compliquer les opérations.
Ces possibilités ne prouvent pourtant pas l'origine technique de chaque problème précis rencontré sur Ekinet. Les témoignages sur les réseaux ne prouvent pas davantage que l'attaquant a franchi le puzzle.
La question reste néanmoins pertinente : « Pourquoi me demander autant d'efforts si les données remises à des prestataires extérieurs peuvent aussi être menacées ? »
5. Et si une seule énigme débloquait 2,06 millions de fiches ?
La scène suivante est entièrement fictive.
Attaquant : « Je voudrais toutes les données des membres. »
Puzzle : « Sélectionnez tous les passages piétons. »
Attaquant : « C'est fait. »
Puzzle : « Félicitations ! Vous gagnez 2,06 millions de fiches ! »
Ce ne serait plus une mesure de protection. Ce serait un jeu d'évasion dont les données personnelles constituent le prix.
Rien n'indique que l'incident se soit déroulé ainsi. Si la scène fait rire, c'est précisément parce que son fonctionnement serait scandaleux. Une plaisanterie ne doit pas devenir une fausse explication technique.
6. Quelles informations pourraient être concernées ?
Dans son communiqué du 9 octobre, JR East a donné les nombres maximaux suivants :
- Ekinet : environ 1,67 million de fiches contenant des adresses électroniques. Les membres du service professionnel Business Ekinet sont exclus.
- Otona no Kyujitsu Club : environ 390 000 fiches contenant adresses électroniques, numéros de membre, dates de naissance et dates d'expiration de cartes de crédit.
Le total atteint environ 2,06 millions de fiches, ce qui ne démontre pas que 2,06 millions de personnes différentes ont subi une fuite.
D'après JR East, noms, adresses postales, numéros de téléphone et numéros complets de carte bancaire ne figurent pas parmi les données potentiellement exposées. La date d'expiration n'est pas le numéro de la carte.
7. Que doivent surveiller les membres ?
Une adresse électronique, lorsqu'elle est associée au nom d'un service utilisé par son propriétaire, peut aider un escroc à rédiger un faux message très convaincant.
JR East a annoncé qu'elle écrirait individuellement aux membres potentiellement concernés dès qu'elle serait prête. C'est une raison supplémentaire de se méfier de messages qui imitent un avis officiel.
Face à un courriel pressant annonçant un billet annulé, un compte bloqué ou une carte à renouveler, ouvrez vous-même l'application ou le site officiel plutôt que de suivre immédiatement le lien. Si vous avez saisi un mot de passe sur une page douteuse, changez-le depuis le vrai service et vérifiez les autres comptes sur lesquels vous l'avez réutilisé.
Les mots de passe ne figuraient pas dans les catégories de données annoncées. Ce communiqué, à lui seul, ne prouve donc pas que tout le monde doit changer de mot de passe immédiatement. Suivez les prochaines informations officielles.
8. La sécurité ne peut pas s'arrêter au portique visible
Les puzzles ne sont pas complètement inutiles : ils peuvent freiner certains abus automatiques. Mais multiplier les obstacles pour les clients ne sécurise pas par magie les informations confiées à un prestataire externe.
Il faut aussi limiter les données partagées inutilement, restreindre les personnes qui peuvent les consulter, détecter rapidement les accès inhabituels et prévoir comment rétablir les services après un incident. Et éviter de transformer la réservation des clients honnêtes en parcours du combattant.
L'enquête devra encore déterminer quelle protection précise a échoué dans cette affaire.
Voilà l'ironie : un portique infranchissable pour le voyageur, alors que l'incident a été signalé dans un autre bâtiment.
Puzzle : « Nous avons confirmé que vous êtes humain. »
Voyageur : « Et mes informations sont en sécurité ? »
Puzzle : « Ce n'est pas mon service. »
Il faudrait tout de même que ce soit le service de quelqu'un.
