GMO Internet Group a confirmé le 20 octobre 2026 qu'un programme malveillant avait été installé dans certains environnements de serveurs clients d'Onamae.com Desktop Cloud, exposant jusqu'à 26 739 serveurs à un accès non autorisé potentiel et mettant directement en danger les identifiants de comptes de trading.

L'incident touche l'un des plus grands conglomerats d'infrastructures Internet du Japon à une couche particulièrement sensible : les environnements de bureaux hébergés dans le cloud utilisés par des traders particuliers sur le Forex (FX) et les cryptomonnaies pour exécuter des stratégies automatisées sur MetaTrader 4 et MetaTrader 5. Lorsque des attaquants compromettent l'environnement hôte plutôt que l'application de trading elle-même, le vol d'identifiants contourne toutes les protections de couche applicative configurées par l'utilisateur.

Ce que GMO a confirmé

Selon la divulgation officielle de GMO, la société a identifié un programme malveillant tiers installé dans les environnements de serveurs d'Onamae.com Desktop Cloud. GMO a confirmé que des clients avaient ensuite signalé des opérations non autorisées sur leurs comptes de trading, et que les identifiants de connexion de ces comptes stockés sur les serveurs auraient pu être consultés par l'attaquant.

La société a signalé 26 739 serveurs potentiellement concernés sur l'ensemble du service. Ce chiffre représente le périmètre d'exposition potentielle — et non un décompte confirmé de serveurs ayant fait l'objet d'un accès non autorisé vérifié ou d'une acquisition de données confirmée.

GMO a commencé à suspendre tous les serveurs des plans Onamae.com Desktop Cloud à 4h00 JST le 21 octobre 2026, qualifiant l'arrêt de mesure préventive destinée à contenir les dégâts. La suspension complète du service signifie que tous les clients exploitant des robots de trading automatisés ou des sessions MetaTrader actives sur la plateforme ont perdu l'accès simultanément.

Dans une troisième mise à jour publiée le 23 octobre (l'avis d'alerte de GMO), la société a déclaré avoir consulté la police le 22 octobre, fait appel à un spécialiste externe de la sécurité et entamé des signalements et consultations auprès des autorités de régulation compétentes. La méthode d'intrusion, l'identité de l'attaquant et le nombre confirmé de serveurs compromis restent non divulgués dans les documents officiels examinés.

Pourquoi le risque lié aux identifiants de comptes de trading est particulier

Onamae.com Desktop Cloud est un produit d'infrastructure de bureau virtuel. Les traders l'utilisent pour maintenir des instances MetaTrader en fonctionnement continu sans mobiliser leur matériel local. Cette architecture signifie que les identifiants des comptes de courtage, des plateformes Forex et des plateformes d'échange de cryptomonnaies sont couramment stockés dans les sessions de navigateur, les configurations d'applications et l'historique du presse-papiers sur le serveur hébergé — et pas seulement dans l'environnement local du trader.

Un attaquant disposant d'un accès d'exécution à ces environnements de serveurs pourrait récolter les identifiants stockés de manière passive, sans déclencher d'alertes au niveau du courtier. La divulgation de selon laquelle des clients ont signalé des opérations non autorisées sur leurs comptes de trading suggère que l'extraction d'identifiants n'était pas simplement théorique dans au moins certains cas.

Les instructions de confinement de GMO ont souligné une nuance qui distingue cet incident d'un scénario classique de réinitialisation de mot de passe : changer le mot de passe d'un courtier ne met pas immédiatement fin à une session authentifiée existante. Il a été conseillé aux clients de déconnecter explicitement toutes les sessions actives via l'interface de leur courtier, en plus de changer leurs identifiants, car un attaquant détenant un jeton de session valide peut continuer à opérer même après la rotation du mot de passe. Ce risque de persistance de session est le détail le plus critique sur le plan opérationnel pour les utilisateurs concernés, et il est absent de la plupart des couvertures secondaires de l'incident.

L'agence américaine de cybersécurité et de la sécurité des infrastructures (CISA) propose des orientations directement pertinentes. La CISA indique que l'authentification multifacteur ajoute une seconde vérification d'identité telle que « même si un utilisateur non autorisé vole votre mot de passe, il ne pourra pas satisfaire à la seconde étape requise pour accéder à vos comptes », selon la page d'orientation MFA de l'agence. Pour les traders dont les identifiants étaient stockés sur les serveurs concernés sans MFA configuré au niveau du courtier, un simple changement d'identifiants offre une assurance limitée.

Périmètre : exposition potentielle ou compromission confirmée

Le chiffre de 26 739 serveurs mérite d'être replacé dans son contexte. Le rapport du 23 octobre de GMO précise explicitement qu'il s'agit d'un décompte d'exposition potentielle, c'est-à-dire des serveurs actifs dans l'environnement de service concerné pendant la fenêtre de compromission — et non des serveurs où un accès non autorisé ou une acquisition de données a été individuellement confirmé. Cette distinction importe pour évaluer la portée réelle de l'incident au fur et à mesure de l'enquête.

Aucune divulgation officielle examinée à ce jour n'identifie le nombre de courtiers Forex dont les clients ont été touchés, le nombre total de comptes de trading à risque, les pertes financières confirmées ou un calendrier de rétablissement du service. Un rapport de médias cryptos a évoqué des demandes de rançonnement et des impacts sur plus de 70 courtiers, mais ces affirmations ne figurent pas dans les propres documents de GMO et doivent être considérées comme non vérifiées tant qu'elles n'ont pas été confirmées par la société ou les forces de l'ordre.

L'incident présente des parallèles structurels avec les intrusions de type supply-chain ciblant des infrastructures partagées. Lorsqu'un seul fournisseur de bureau cloud sert des milliers de clients de trading, un unique implant malveillant peut provoquer une exposition horizontale des identifiants sur un large ensemble de courtiers et de plateformes d'échange simultanément, multipliant la surface d'attaque effective bien au-delà de ce que des intrusions directes chez les courtiers pourraient atteindre. Le vecteur d'attaque par serveur malveillant d'Electrum a démontré une dynamique de multiplication similaire, où une compromission au niveau de l'infrastructure a entraîné des pertes d'identifiants et de fonds parmi une base d'utilisateurs distribuée.

Ce qu'il faut surveiller à mesure que l'enquête se poursuit

GMO n'a pas fourni de calendrier de rétablissement pour les services Onamae.com Desktop Cloud. Les clients ayant des stratégies MetaTrader actives ou des positions Forex ouvertes sur la plateforme restent bloqués suite à la suspension du 21 octobre. Le recours à un spécialiste externe de la sécurité et la consultation de la police suggèrent qu'un processus d'investigation formelle est en cours, mais la société n'a pas indiqué quand les conclusions seraient publiées.

Trois lacunes d'information méritent d'être suivies dans les prochaines mises à jour de GMO : premièrement, si le programme malveillant était un implant ciblé ou un logiciel malveillant opportuniste ; deuxièmement, le vecteur confirmé d'accès initial ; et troisièmement, si des courtiers ou dépositaires spécifiques ont été individuellement notifiés'une exposition confirmée d'identifiants affectant les comptes de leurs clients.

Pour les traders qui avaient des sessions actives sur la plateforme, la surface de risque immédiate dépasse les comptes Forex. Les environnements de bureau virtuel utilisés pour le trading stockent fréquemment des clés API pour les connexions aux plateformes d'échange de cryptomonnaies, des configurations de logiciels de portefeuille et des identifiants enregistrés dans le navigateur pour les outils de gestion de portefeuille on-chain. Alors que le Bitcoin teste le niveau des 80 000 $ dans un contexte de volatilité accrue des marchés, tout retard dans la terminaison des sessions et la rotation des identifiants sur les comptes crypto connectés prolonge la fenêtre d'exposition. L'indice Fear and Greed se situe à un niveau neutre de 50, mais les positions de trading ouvertes sur une infrastructure compromise comportent un risque au niveau du protocole entièrement indépendant de la direction du marché.

Jusqu'à ce que GMO publie des décomptes confirmés de compromission et rétablisse le service, les utilisateurs concernés devraient considérer tous les identifiants stockés sur les serveurs Onamae.com Desktop Cloud comme compromis, terminer les sessions de courtage et d'échange indépendamment de toute réinitialisation de mot de passe, et activer le MFA sur chaque compte auquel l'environnement serveur avait accès.