Sony So-net expose 2,58 millions de comptes clients, dont 54 401 mots de passe e-mail
Le 27 octobre 2026, Sony Network Communications a révélé qu’un accès non autorisé à la base de données de son FAI So-net avait exposé 2 585 481 fiches clients et 54 401 adresses e-mail accompagnées de leur mot de passe. L’intrusion remonte au 19 octobre et sa cause reste inconnue : un rappel de la valeur des mots de passe e-mail et du délai de détection des accès aux bases.
27 octobre 2026. Sony Network Communications annonce qu’un accès non autorisé à la base de données de son fournisseur d’accès So-net a exposé 2 585 481 fiches clients. 19 octobre 2026. L’intrusion a eu lieu ce jour-là, quatre jours avant d’être détectée. 23 octobre 2026. L’entreprise confirme l’accès, arrête le serveur concerné et bloque la connexion. Le point qui compte : parmi les données exposées figurent 54 401 adresses e-mail avec leur mot de passe — le seul élément réellement exploitable pour rebondir vers d’autres comptes.
Ce qui a fui, catégorie par catégorie
La divulgation de Sony est remarquablement précise, ce qui permet de séparer l’identité du secret. Les 2 141 986 fiches So-net — dont 1 869 771 clients actifs et 272 215 anciens clients partis depuis mars 2026 — contiennent nom, téléphone, adresse e-mail, identifiant, date de naissance, sexe et identifiant de connexion Internet. Aucun mot de passe ne figure dans ce lot.
S’y ajoutent 443 495 fiches du service plala (offre S), avec les mêmes champs et, là encore, aucun mot de passe. Le total des fiches d’identité atteint donc 2 585 481, sans secret d’authentification.
Le secret se trouve dans une catégorie séparée. 54 401 adresses e-mail ont vu leur mot de passe exposé, réparties sur quatre services : 24 655 boîtes gratuites du service de messagerie G (domaines gyao.ne.jp, gate01.com, pbc.ne.jp, highway.ne.jp), 17 672 boîtes A-Box, 7 005 boîtes VAIO Mail et 5 069 comptes PostPet. La boîte aux lettres gratuite de base @*.so-net.ne.jp n’est pas concernée. Enfin, 16 relevés d’informations bancaires et 7 avis de réinitialisation de mot de passe ont été exposés. Aucune carte bancaire ne figure dans l’ensemble, et le service NURO n’est pas touché.
Quatre jours entre l’intrusion et la détection
Le calendrier illustre un problème récurrent. L’accès non autorisé a lieu le 19 octobre. Il n’est détecté que le 23 octobre, soit quatre jours plus tard, moment où le serveur est arrêté et la connexion bloquée. La confirmation de l’exposition des données n’intervient que le 24 octobre, et la divulgation publique le 27 octobre.
Quatre jours, c’est long pour une base de données clients : le temps de copier 2,5 millions de fiches sans être remarqué. C’est aussi le délai que les équipes SOC des FAI citent souvent comme le point aveugle — l’accès légitime à une base de données ressemble trop à l’accès illégitime pour qu’une simple journalisation suffise. La cause de l’intrusion reste « sous investigation » au 29 octobre, selon la mise à jour de l’annonce.
Le vrai butin n’est pas l’identité, ce sont les mots de passe e-mail
Le risque concret ne vient pas des noms et des dates de naissance — largement déjà publics au Japon — mais des 54 401 couples adresse et mot de passe. Un mot de passe e-mail est un passe-partout : il sert souvent de canal de récupération pour d’autres comptes, et il alimente le credential stuffing contre les services où les utilisateurs ont réutilisé le même secret.
Sony a d’ailleurs agi en conséquence : les mots de passe de la catégorie concernée ont été réinitialisés le 27 octobre, et l’entreprise recommande aux clients de ne pas répondre aux e-mails, SMS ou appels suspects, de ne pas ouvrir les liens ni les pièces jointes. C’est l’aveu, en creux, que l’identité exposée servira de support au phishing ciblé dans les semaines à venir.
La notification à la japonaise : un modèle, pas un exploit
La communication de Sony mérite d’être lue par les responsables sécurité occidentaux. Elle décompose l’incident par service et par type de donnée, distingue explicitement ce qui a fui de ce qui n’a pas fui (aucun mot de passe du socle, aucune carte bancaire), précise la date de chaque étape, et signale le signalement à la Commission de protection des informations personnelles — l’autorité japonaise, conformément à l’APPI. Aucun dommage secondaire n’est recensé au 27 octobre.
Ce niveau de granularité n’est pas cosmétique : il permet à chaque client de savoir précisément s’il est concerné par le risque d’usurpation d’identité ou par le risque de prise de contrôle de messagerie. Beaucoup d’entreprises, en pareil cas, publient un communiqué unique qui mélange les deux populations et force tout le monde à réinitialiser.
Verdict
Si vous exploitez une base d’identités clients, isolez les secrets d’authentification — mots de passe e-mail, questions de récupération — dans un magasin distinct de la base nominative : c’est la séparation que Sony a respectée sans l’avoir anticipée, et qui a limité la casse à 54 401 secrets au lieu de 2,5 millions. Si vous gérez un FAI ou un service grand public, mesurez votre délai de détection des accès aux bases : quatre jours, c’est le chiffre à battre, et il se réduit avec une surveillance des accès anormaux plutôt qu’une simple journalisation. Et si vous êtes client So-net, réinitialisez vos mots de passe réutilisés ailleurs — l’incident ne sera pas terminé tant que le credential stuffing n’aura pas fait son premier tour. La leçon tient en une ligne : dans une fuite de cette taille, le dommage ne se mesure pas au nombre de fiches, mais au nombre de secrets.