Toyota : un piratage chez un seul fournisseur de pièces plastiques a arrêté les 14 usines japonaises pendant une journée

Le 28 février 2022, Toyota a annoncé qu'elle « suspendrait l'exploitation de 28 lignes dans les 14 usines nationales » le lendemain, invoquant « une défaillance système chez un fournisseur au Japon ». Le porte-parole de l'entreprise a déclaré que cet arrêt d'une journée affecterait la production d'environ 13 000 véhicules - soit environ 5 % de la production mensuelle au pays.

Le fournisseur était Kojima Industries, un fabricant de pièces plastiques, qui, selon le Nikkei japonais, avait fait l'objet d'une cyberattaque présumée ; Toyota a refusé de le confirmer à l'époque. Des spécialistes de la sécurité ont déclaré à Reuters que l'incident montrait comment une petite entreprise vulnérable peut paralyser le plus grand constructeur automobile mondial, et il est survenu alors que Toyota réduisait déjà ses objectifs de production en raison de la pénurie mondiale de puces.

L'arrêt a mis en évidence le compromis au sein du système juste-à-temps emblématique de Toyota : les stocks étant délibérément maintenus au minimum, il n'existait aucun tampon pour absorber ne serait-ce qu'un seul fournisseur défaillant. Toyota a redémarré les usines après une journée complète d'arrêt, et l'épisode s'est inscrit dans une série de chocs liés aux fournisseurs - aux côtés de l'explosion d'Aichi Steel en 2016 - que les analystes de l'Asahi Shimbun ont ensuite cités comme preuve que la vulnérabilité du système lean était prévisible et reproductible.

Les 28 lignes des 14 usines nationales à l'arrêt pendant une journée ; production d'environ 13 000 véhicules perdue, soit environ 5 % de la production japonaise de ce mois-là

La production juste-à-temps ne maintient presque aucun stock tampon de pièces ; aussi, lorsque les systèmes d'un fournisseur sont tombés en panne, l'assemblage n'a eu rien sur quoi s'appuyer et toutes les lignes se sont arrêtées en même temps.

L'ampleur des dégâts est venue du plus petit acteur de la chaîne : un fournisseur de pièces plastiques, et non un géant de premier rang, a suffi à paralyser le premier constructeur automobile mondial.

La cartographie des dépendances de Toyota elle-même l'a laissée exposée - les reportages ultérieurs de l'Asahi sur des chocs similaires ont relevé qu'il n'existait « pratiquement aucun fournisseur alternatif » pour les composants critiques à source unique.

L'incident est survenu alors que les pénuries de puces avaient déjà tendu la planification de la production de Toyota, supprimant toute marge qui aurait pu absorber le choc.

Le juste-à-temps ne fonctionne que tant que chaque maillon est sécurisé. La sécurité de votre plus petit fournisseur, c'est votre ligne de production - auditez le maillon le plus faible avant qu'il ne vous audite.

Toyota a remis en service les 14 usines après cette unique journée perdue et a demandé à son réseau de fournisseurs d'inspecter leurs installations pour y déceler des faiblesses. L'entreprise s'est engagée à prendre des mesures pour prévenir de futurs arrêts, mais le reportage de l'Asahi Shimbun de 2023 sur l'explosion de Chuo Spring - qui a immobilisé 13 lignes dans huit usines pendant environ dix jours - a soutenu que la vulnérabilité du juste-à-temps persistait, des dirigeants de Toyota reconnaissant qu'il n'existait pratiquement aucun fournisseur alternatif pour les pièces essentielles. L'attaque contre Kojima est devenue une référence classique dans la recherche sur les cyberrisques de la chaîne d'approvisionnement.