La FSA du Japon pousse une politique de sécurité agressive pour les échanges de crypto dans un nouveau projet

L'Agence des services financiers (FSA) du Japon a récemment publié un projet de politique de cadre qui établira de nouvelles normes de cybersécurité obligatoires pour les échanges de crypto. Cela marque un tournant d'une sécurité individualisée et axée sur les actifs vers des protocoles de défense pour l'écosystème complet (par échange) alors que les cyberattaques continuent de s'intensifier dans le secteur des actifs numériques.

Les lignes directrices de la politique ont été annoncées le 10 février 2026, introduisant des Auto-évaluations de Cybersécurité (CSSA) obligatoires pour tous les échanges de crypto enregistrés opérant au Japon. 

La FSA acceptera les commentaires du public jusqu'au 11 mars, donnant aux acteurs clés comme les échanges et les experts en sécurité trois semaines pour fournir des commentaires avant que les réglementations ne soient finalisées pour une mise en œuvre en l'année fiscale 2026 du Japon (commençant en avril 1).

Les portefeuilles froids ne sont plus suffisants alors que les attaques indirectes augmentent

Le FSA a observé une augmentation des attaques indirectes sophistiquées ces derniers temps. À mesure que la situation s'aggrave, l'utilisation de portefeuilles froids seuls pourrait ne pas pouvoir garantir une gestion sûre des actifs, signalant ainsi un changement dans l'évolution de la philosophie réglementaire du Japon. 

Bien que les portefeuilles froids hors ligne protègent les actifs contre le piratage distant direct, l'agence a reconnu que les acteurs malveillants modernes se sont adaptés à cela en ciblant l'infrastructure humaine et opérationnelle soutenant la gestion des actifs numériques.

D'autres analystes ont noté que le cadre CSSA exigera des échanges d'évaluer systématiquement différents aspects de leurs domaines de sécurité, qu'il s'agisse de l'infrastructure technique (telle que la sécurité des portefeuilles et l'architecture réseau), des risques humains et opérationnels (y compris la formation des employés et les protocoles de phishing), de la gestion des fournisseurs tiers et des protections de l'intégrité des données, qui doivent être conformes à la loi japonaise sur la protection des informations personnelles.

Ce changement est le résultat de plusieurs violations de haut profil en 2024 qui ont exposé ces vulnérabilités. Les lignes directrices se concentrent en particulier sur les attaques qui contournent les défenses technologiques en compromettant les employés par des campagnes de phishing ou en infiltrant des prestataires de services et des contractants qui maintiennent l'accès aux systèmes d'échange.

Un cadre à trois piliers exige une participation à l'échelle de l'industrie

La mise en œuvre réussie de cette nouvelle politique repose sur trois piliers qui se combinent pour créer un système de défense multicouche. Ils comprennent l'auto-assistance, l'entraide et l'aide publique, et ces piliers aborderont différents aspects tout en travaillant ensemble pour renforcer le système de sécurité de l'industrie.

Le pilier de « l'auto-assistance » place la responsabilité principale sur les échanges individuels pour sécuriser leurs propres opérations. Il commencera à l'année fiscale 2026 (1er avril) et exigera que tous les échanges de crypto enregistrés effectuent les évaluations obligatoires mentionnées précédemment.

Le pilier de « l'entraide » utilise l'intelligence collective soutenue par la collaboration de l'industrie. La FSA aidera à renforcer les fonctions du comité de sécurité de l'Association des échanges de actifs virtuels et crypto du Japon (JVCEA), tout en encourageant les échanges à participer activement au partage d'informations afin que les menaces, les modèles d'attaque et les stratégies défensives puissent être mieux communiqués à travers le secteur. 

Ainsi, si un échange identifie une nouvelle stratégie d'ingénierie sociale ou une autre vulnérabilité, ces informations deviendront disponibles pour protéger les autres opérateurs avant qu'ils ne subissent quelque chose de similaire.

Enfin, le pilier de « l'aide publique » verra la FSA poursuivre la recherche blockchain internationale conjointe sur les menaces émergentes qu'elle a commencée à l'année fiscale 2025, ainsi que l'implication de l'ensemble du secteur des échanges de crypto dans le « Delta Wall », un exercice de cybersécurité conjoint pour les organisations financières, dans les trois ans suivant l'adoption de la politique. 

Que réserve l'avenir aux échanges opérant au Japon ?

Pendant l'année fiscale 2026, la FSA prévoit de réaliser des tests de pénétration réels sur des opérateurs spécifiques et pourrait embaucher des hackers éthiques pour tenter des intrusions dans les systèmes d'échange en direct. 

Ces attaques autorisées identifieront les vulnérabilités avant que les hackers malveillants ne puissent les exploiter, avec des résultats partagés confidentiellement pour aider les échanges affectés à corriger toute faiblesse. Cela aidera à fournir une mesure objective de surveillance qui aurait pu être négligée lors des auto-évaluations.

La structure à trois piliers crée une responsabilité à tous les niveaux, les échanges portant la responsabilité principale de leur propre sécurité (auto-assistance), l'industrie partageant l'intelligence collective et élevant les normes (entraide), et la supervision gouvernementale, les tests et le soutien (aide publique). 

La FSA estime que cela annoncera un écosystème plus fort et plus adaptatif, capable de se défendre contre les menaces actuelles et futures.