Des pirates passent des ordres de change avec les identifiants volés chez l'hébergeur GMO

Le 19 octobre, des clients de GMO Internet le contactent. L'hébergeur japonais ouvre une enquête. Le lendemain, il découvre un programme malveillant sur certains serveurs de son service Onamae.com Desktop Cloud. Ce service loue des bureaux Windows à distance, très prisés des particuliers qui font tourner des robots de trading sur le marché des changes. Le 21 octobre à 4 heures du matin, GMO commence à éteindre les serveurs de toutes ses offres.

Trop tard pour une partie des clients. Dès le 21 octobre, certains constatent des ordres qu'ils n'ont jamais passés sur leurs comptes de courtage. Selon GMO, jusqu'à 26 739 serveurs pourraient être concernés, mais ce chiffre ne compte pas des intrusions confirmées.

Comment les pirates ont-ils atteint les comptes ?

Les robots de trading ont besoin des identifiants du courtier pour passer leurs ordres. Ces identifiants étaient donc enregistrés sur les serveurs, notamment dans le logiciel MetaTrader. Selon Finance Magnates, les pirates s'en sont servis pour passer des ordres directement chez les courtiers. Le 24 octobre, dans son quatrième rapport, GMO reconnaît que des informations de clients ont été sorties de ses systèmes.

Le média spécialisé a lu onze avis de courtiers. Cinq d'entre eux confirment des ordres frauduleux : OANDA Securities, FXTF, AvaTrade Japan, Gaitame Finest et Dukascopy Japan. Aucun ne donne le nombre de comptes touchés. Aucun ne signale d'intrusion dans ses propres systèmes. L'autorité financière japonaise a demandé aux courtiers de prévenir leurs clients et de surveiller les transactions.

Une rançon refusée

Selon GMO, l'attaquant réclame de l'argent. Il menace de continuer à passer des ordres sur des comptes ouverts chez plus de 70 courtiers en Bourse et sur le marché des changes, au Japon et ailleurs. Il menace aussi de publier des données et de lancer un rançongiciel sur les ordinateurs des clients. Le 27 octobre, GMO a constaté la mise en ligne par l'attaquant d'informations présentées comme concernant l'hébergeur et ses clients. GMO refuse de payer : rien ne garantit, selon lui, que les données seraient ensuite effacées. L'hébergeur a transmis ses éléments à la police. Le montant demandé a été précisé le 26 octobre : 50 millions de dollars, soit environ 8 milliards de yens.

Le 25 octobre, le PDG du groupe, Masatoshi Kumagai, a durci le ton sur son blog. Selon OfficeChai, il juge qu'Internet « commence déjà à se briser » et parle d'une attaque de saturation menée avec l'IA. GMO a demandé au gouvernement d'appliquer la loi japonaise de cyberdéfense active, en vigueur depuis le 1er octobre 2026. Elle permet de neutraliser les serveurs d'un attaquant. Selon INTERNET Watch, elle n'a encore jamais servi.

La leçon pour ceux qui confient leurs identifiants à un serveur

GMO promet 5 000 yens à chaque client actuel. Il remboursera les pertes réalisées sur les ordres qu'il reconnaît comme frauduleux, mais pas les pertes de marché ni les gains manqués. Il offre aussi six mois d'hébergement sur une nouvelle plateforme et ne redémarrera pas l'ancienne. Côté courtiers, OANDA va imposer les clés d'accès (passkeys) et FXTF les codes à usage unique.

L'affaire concerne tous ceux qui laissent tourner un robot, un script ou un agent sur un serveur distant avec leurs identifiants bancaires ou boursiers :

• activez la double authentification chez votre courtier, et pas seulement chez l'hébergeur ;
• préférez des identifiants à droits limités quand le courtier le permet (lecture seule, plafonds d'ordres) ;
• changez tous les mots de passe enregistrés sur un serveur dès que son hébergeur signale un incident ;
• méfiez-vous des appels et messages qui citent l'affaire : GMO dit ne jamais demander de mot de passe ni de code PIN pour une indemnisation, sauf éventuellement un mot de passe en lecture seule MT4/MT5 pour vérifier l'historique des ordres.

Reste à connaître la porte d'entrée des pirates. GMO ne l'a pas encore dévoilée.