Daiwa Securities a annoncé le 5 octobre qu’un accès non autorisé aux serveurs d’un prestataire pourrait avoir exposé les données personnelles d’environ 110 000 clients. Les informations concernées comprennent les noms, les adresses e-mail et les numéros de compte-titres. Daiwa précise que ces éléments ne permettent pas à eux seuls d’accéder aux comptes ou de négocier, que ses propres systèmes n’ont pas été compromis et qu’aucune transaction frauduleuse liée à l’incident n’a été détectée.
Le titre Daiwa a effacé ses gains initiaux et reculait d’environ 1 % dans l’après-midi à Tokyo. Cette réaction limitée indique que le marché considère pour l’instant l’incident comme un risque opérationnel gérable, non comme une menace pour la solvabilité ou la franchise. L’impact durable dépendra du périmètre final, de la réaction des clients et du suivi réglementaire.
Le déroulement de l’incident
L’accès non autorisé a touché Scala Communications, qui fournit à Daiwa un service de gestion des demandes en ligne, entre environ 20 h 33 le 2 octobre et 8 h 01 le 3 octobre. Daiwa a été informée le 3 octobre. Environ 220 000 enregistrements pourraient être concernés au total, y compris des demandes ne permettant pas d’identifier une personne ; près de 110 000 clients pourraient avoir vu leurs données personnelles exposées.
Scala a mis en place des mesures de sécurité d’urgence. Au moment de l’annonce, aucune nouvelle intrusion, publication en ligne ni compromission des systèmes internes de Daiwa n’avait été confirmée. Les numéros de compte et coordonnées peuvent faciliter des campagnes de hameçonnage crédibles, sans permettre directement d’effectuer des transactions.
Un impact financier encore difficile à chiffrer
Le risque de perte directe paraît contenu en l’absence d’opérations non autorisées. Il faut néanmoins anticiper des coûts d’expertise, de notification, de surveillance, de conseil juridique et de remédiation. Une éventuelle sanction dépendra des conclusions de l’enquête et de l’évaluation des contrôles exercés sur le prestataire.
Le principal risque de second tour concerne la confiance. Le courtage et la gestion de patrimoine reposent sur la protection des données par l’entreprise et ses fournisseurs. Une hausse des départs ou un ralentissement des entrées d’actifs pèseraient davantage sur la valorisation que les coûts initiaux, mais rien ne permet encore de conclure à un tel effet.
L’incident met aussi à l’épreuve la gouvernance des tiers. Le groupe affirme examiner les systèmes de gestion de l’information de ses prestataires et effectuer des contrôles sur site lorsque cela est nécessaire. Les investisseurs attendront la preuve que les faiblesses ont été identifiées et corrigées au-delà du seul service touché.
Deux scénarios
Scénario favorable : l’intrusion reste limitée au prestataire, les systèmes de négociation et les actifs des clients demeurent intacts, et la notification rapide contient le dommage réputationnel. Les coûts seraient alors absorbables et l’effet boursier temporaire.
Scénario défavorable : le nombre ou la sensibilité des données augmente, des fraudes apparaissent, les régulateurs relèvent des faiblesses de contrôle ou les clients réduisent leur activité. Les dépenses de conformité augmenteraient et la décote de risque opérationnel pourrait s’élargir.
Les points à surveiller
- le nombre confirmé de dossiers et la nature exacte des données ;
- les cas de hameçonnage, fraude, publication ou transaction non autorisée ;
- les conclusions réglementaires et une éventuelle sanction ;
- les plaintes, fermetures de comptes et flux d’actifs ;
- les changements de contrôle des prestataires et les dépenses de cybersécurité ;
- les commentaires de la direction lors des résultats semestriels prévus le 30 octobre.
Sources : consignes de sécurité de Daiwa Securities ; Reuters, 5 octobre 2026 ; politique de conformité de Daiwa Securities Group.