Une fuite du cloud de GMO touche des comptes de traders FX chez plus de 70 courtiers

GMO Internet a annoncé le 24 octobre 2026 que des attaquants s'étaient introduits dans Onamae.com Desktop Cloud. Ce service de serveurs est loué par des traders sur devises pour faire tourner du trading automatisé. Les intrus ont vu les données de connexion stockées sur ces serveurs, dont les mots de passe de courtage des investisseurs. Des comptes de trading chez plus de 70 sociétés de titres et de FX pourraient avoir été utilisés frauduleusement, rapporte le Yomiuri Shimbun.

L'entreprise versera 5 000 yens, environ 32 dollars, à chaque utilisateur, qu'il ait perdu de l'argent ou non. Elle a aussi demandé au gouvernement japonais d'utiliser contre les attaquants ses nouveaux pouvoirs de « cyberdéfense active ».

Ce qui a été piraté

Onamae.com Desktop Cloud loue des serveurs virtuels, des ordinateurs distants qui tournent jour et nuit. Les traders FX, qui négocient des devises étrangères, s'en servent pour faire tourner des programmes qui passent des ordres automatiquement. Ces programmes ont besoin des identifiants de courtage du trader, donc les mots de passe se trouvent sur le serveur.

Plus de 20 000 personnes utilisent le service, selon le Yomiuri. Jiji Press estime à 26 739 le nombre de serveurs potentiellement touchés. Les deux médias comptent des choses différentes, les utilisateurs et les serveurs, donc les chiffres ne se contredisent pas.

Selon le Yomiuri, des tiers ont consulté les données de connexion stockées, puis ont passé des ordres non autorisés.

Le déroulé

Date (2026)	Événement
20 octobre	Un programme non autorisé d'un tiers est découvert sur certains serveurs
21 octobre, 4 h du matin	GMO arrête les serveurs
22 octobre	GMO consulte la police métropolitaine de Tokyo
23 octobre	GMO Internet Group publie son premier avis aux investisseurs
24 octobre	GMO confirme que des informations ont été dérobées, annonce les versements et demande au gouvernement d'agir

La chronologie provient du Yomiuri et de l'Asahi Shimbun.

Pertes et extorsion

Des clients ont perdu de l'argent bien réel. L'Asahi a parlé à une femme de 29 ans d'Aichi qui a perdu environ 4,3 millions de yens, et à un homme de 32 ans de Saitama qui a perdu environ 550 000 yens. Un groupe de pirates affirme que les pertes se chiffrent en dizaines de milliards de yens, rapporte le Yomiuri. Cette affirmation n'est pas vérifiée, et GMO n'a donné aucun total.

Une personne que l'on pense être l'attaquant a exigé de l'argent et menacé de publier des données de l'entreprise et des clients. GMO a refusé. « Nous ne céderons pas aux exigences de l'attaquant », a déclaré l'entreprise, selon Jiji. Payer ne garantirait pas la suppression des données et n'empêcherait pas leur utilisation abusive, a expliqué GMO, selon l'Asahi.

L'après-midi du 24 octobre, un attaquant présumé a annoncé en ligne qu'il frapperait les propres PC des clients avec un rançongiciel. GMO a conseillé aux utilisateurs de sauvegarder leurs données et de lancer des analyses antivirus, rapporte l'Asahi.

Ce que GMO propose

GMO versera une somme forfaitaire de 5 000 yens à chaque utilisateur du service. Elle couvrira aussi les pertes et les frais liés aux transactions confirmées comme non autorisées, mais pas les dommages indirects. Les utilisateurs recevront les modalités de demande par e-mail d'ici le 6 novembre. Ceux qui le souhaitent obtiennent gratuitement un service cloud de remplacement pendant six mois.

« Nous prenons au sérieux le fait de ne pas avoir pu protéger les informations et les actifs de nos clients », a déclaré GMO, cité par l'Asahi.

Un premier test pour la nouvelle loi cyber du Japon

La loi japonaise sur la cyberdéfense active est entrée en vigueur le 1er octobre 2026. Elle permet à la police et aux Forces d'autodéfense de pénétrer dans les serveurs des attaquants pour neutraliser une attaque, explique le Yomiuri. GMO a demandé en urgence au gouvernement de l'appliquer. Selon son communiqué, les entreprises privées agissant seules peinent à empêcher le vol des avoirs des citoyens, rapporte Briefs.

Le gouvernement n'a pas dit s'il interviendra. Un titre du Yomiuri cite un responsable gouvernemental anonyme selon lequel le dispositif ne s'active pas sur demande.

Cette intrusion s'ajoute à un mois difficile pour les entreprises japonaises. Le gouvernement japonais a demandé aux entreprises et aux banques de renforcer leur sécurité le 9 octobre, après plus de 20 attaques signalées.

Ce que cela signifie pour les développeurs

Si vous avez utilisé Onamae.com Desktop Cloud, changez dès maintenant chaque mot de passe de courtier qui y était stocké, depuis un appareil sain. Activez la connexion à deux facteurs chez chaque courtier et vérifiez votre historique de transactions pour repérer des ordres que vous n'avez pas passés.

Quiconque fait tourner des bots de trading ou d'autres automatisations sur un serveur loué doit considérer ce serveur comme une cible. Lorsqu'un courtier propose des clés d'API, utilisez-les à la place de votre mot de passe principal. Limitez chaque clé au seul trading, sans retraits, et verrouillez-la sur des adresses IP connues.

Ne laissez pas de secrets dans des fichiers en clair. Un gestionnaire de mots de passe ou un coffre à secrets avec chiffrement au repos rend le contenu d'un disque volé bien moins exploitable.

Surveillez la réponse de Tokyo à GMO. Que le gouvernement use ou non de ses nouveaux pouvoirs dans ce cas montrera jusqu'où le Japon est prêt à aller pour défendre les entreprises privées contre les attaques.