GMO Internet a confirmé l'intrusion d'un tiers non autorisé dans l'environnement de son service d'hébergement « Onamae.com Desktop Cloud », détectée le 20 octobre 2026. Jusqu'à 26 739 serveurs loués pourraient être concernés, et plusieurs courtiers japonais de trading de devises (OANDA Japan, AvaTrade Japan, Gaitame Finest, Dukascopy Japan), qui utilisaient ces serveurs pour leurs clients, ont signalé des connexions non autorisées et des opérations suspectes sur des comptes de trading.
Que s'est-il passé chez GMO Internet ?
Selon les informations rapportées par Finance Magnates, un tiers a installé des programmes non autorisés dans les environnements de serveurs loués par des clients du service Onamae.com Desktop Cloud. GMO affirme qu'à la date de son annonce, aucune fuite de données personnelles qu'elle détient directement n'avait été constatée et qu'elle ne conserve pas les numéros de carte bancaire de ses clients. L'entreprise a toutefois arrêté l'ensemble des serveurs de ses forfaits le 21 octobre à 4 heures du matin, sans date de redémarrage annoncée, et a suspendu les nouvelles inscriptions.
Selon l'agence Jiji Press, relayée par Nippon.com, l'auteur présumé de l'intrusion a adressé à GMO Internet une demande d'argent, menaçant de publier des informations en cas de refus. GMO a demandé en urgence au gouvernement japonais de recourir à des opérations de « cyberdéfense active », sans que le contenu précis de cette demande soit détaillé publiquement. C'est le second incident de sécurité du groupe en un mois : son président avait déjà annoncé un audit des services après une fuite de données dans une filiale de recherche, début octobre.
Chronologie
| Date (2026) | Événement |
|---|---|
| 9 octobre | Le président de GMO annonce un audit des services après une fuite chez une filiale de recherche |
| Mardi 20 octobre | GMO détecte l'intrusion sur Onamae.com Desktop Cloud |
| Mercredi 21 octobre, 4 h | GMO arrête tous les serveurs loués et suspend les nouvelles inscriptions ; Gaitame Finest signale des transactions non autorisées |
| Jeudi 22 octobre | OANDA Japan suspend les retraits ; AvaTrade et Dukascopy publient leurs propres alertes |
| Vendredi 23 octobre, 11 h | Reprise progressive du traitement des retraits chez OANDA Japan, après vérifications de sécurité |
Quel impact pour les courtiers FX et leurs clients ?
| Courtier | Impact rapporté |
|---|---|
| OANDA Japan | Identifiants MetaTrader stockés sur les serveurs potentiellement exposés ; retraits suspendus par précaution, fonds clients ségrégués selon la réglementation japonaise |
| AvaTrade Japan | Connexions de tiers à des comptes clients utilisant des services externes (dont des VPS) et transactions non autorisées constatées |
| Gaitame Finest | Transactions effectuées par des intrus sur certains comptes, probablement à l'aide d'identifiants issus d'autres services ; comptes concernés restreints |
| Dukascopy Japan | Demande à tous les utilisateurs de VPS de changer leurs mots de passe de trading, après un accès non autorisé signalé chez un autre prestataire |
AvaTrade et Gaitame Finest précisent que leurs propres systèmes internes n'ont pas, à leur connaissance, laissé fuiter d'identifiants clients : l'exposition proviendrait des serveurs loués chez le prestataire commun, pas d'une intrusion directe dans leurs plateformes.
Confirmé ou revendiqué ?
Ce qui est confirmé par les parties concernées : l'intrusion sur les serveurs loués, l'arrêt préventif des services par GMO, et les transactions non autorisées signalées indépendamment par plusieurs courtiers. Ce qui relève de la demande de l'attaquant, et non d'un fait vérifié par un tiers indépendant : le montant de la rançon réclamée et l'étendue réelle des données qui seraient en sa possession. Aucun groupe n'a revendiqué publiquement l'attaque au moment de la rédaction, et aucune source n'a confirmé de pertes financières chiffrées pour les clients des courtiers.
Comment se protéger si vous utilisez ces services ?
- Changez vos mots de passe de trading et de connexion si vous utilisez un compte MetaTrader, un VPS ou un service hébergé chez GMO Internet ou l'un des courtiers cités, y compris sur des services tiers où le même mot de passe aurait été réutilisé.
- Activez la double authentification partout où elle est disponible, en particulier sur les plateformes MetaTrader et les comptes de trading.
- Vérifiez votre historique de transactions à la recherche d'opérations que vous n'avez pas initiées, et signalez-les immédiatement à votre courtier.
- Ne réutilisez jamais le même mot de passe entre un VPS de trading et vos autres comptes professionnels ou personnels ; un générateur de mots de passe robustes limite ce risque.
- Si vous louez des serveurs chez un hébergeur tiers, demandez une preuve concrète d'isolement de votre environnement avant de considérer l'incident clos, plutôt que de vous fier uniquement à l'annonce de reprise du service.
L'avis du CSIRT
Sur ce type d'incident, chez un hébergeur mutualisé qui sert d'intermédiaire à plusieurs métiers (ici le courtage), la priorité immédiate revient à toute organisation ou tout particulier ayant des identifiants, des clés d'API ou des secrets stockés sur l'infrastructure touchée : ces éléments doivent être considérés comme potentiellement exposés et changés sans attendre une confirmation définitive de fuite, qui peut prendre des semaines. Les activités qui ne dépendent pas de cette infrastructure peuvent planifier une vérification plus posée.
La logique de détection à privilégier ici n'est pas technique mais comportementale, côté client : surveiller les connexions et les ordres de trading inhabituels, les demandes de retrait non initiées, et toute alerte de connexion depuis un appareil ou une localisation inconnue.
Le piège classique est de se rassurer sur la déclaration d'un prestataire affirmant n'avoir constaté « aucune fuite de données personnelles », sans vérifier soi-même ses propres journaux d'activité, et sans distinguer cette déclaration, qui porte sur les données détenues par l'hébergeur, du risque réel que représentent des identifiants ou des clés stockés par l'utilisateur dans l'environnement loué. Après la reprise d'un service ainsi compromis, vérifiez que l'hébergeur a bien isolé ou reconstruit les environnements concernés, plutôt que de vous contenter d'un simple redémarrage.
Points clés
- GMO Internet a confirmé l'intrusion d'un tiers sur ses serveurs loués Onamae.com Desktop Cloud, détectée le 20 octobre 2026, affectant jusqu'à 26 739 serveurs.
- Une demande d'argent accompagnée d'une menace de publication a été adressée à GMO Internet, qui a sollicité le gouvernement japonais pour des mesures de cyberdéfense active.
- Au moins quatre courtiers FX japonais (OANDA, AvaTrade, Gaitame Finest, Dukascopy) ont signalé des connexions ou transactions non autorisées liées à cette infrastructure partagée.
- Aucune fuite de données personnelles détenues par GMO n'a été confirmée à ce jour, mais les identifiants et clés stockés par les utilisateurs de l'infrastructure louée doivent être considérés comme à risque et changés sans attendre.
Le cas rappelle celui de Bitget, où un incident touchant un acteur financier avait aussi mêlé perte potentielle de fonds et communication de crise, ainsi que celui de ConnectWise Cloud Backup, où l'exposition provenait aussi d'un prestataire d'infrastructure partagé plutôt que d'une faille directe chez les organisations finalement touchées. Si vous recevez vous-même une menace d'extorsion ou constatez une usurpation de votre marque à la suite d'un incident similaire, notre guide sur le takedown d'un site frauduleux détaille les démarches de signalement et de plainte.