La cyberattaque contre GMO Internet a touché les serveurs que des traders particuliers japonais louent pour faire tourner leurs robots de trading, pas une plateforme crypto. Le 21 octobre, GMO Internet a annoncé avoir découvert un logiciel malveillant dans des environnements clients d’Onamae.com Desktop Cloud, son service de serveurs virtuels Windows, et indiqué que 26 739 serveurs pouvaient être exposés. Dans son quatrième communiqué, à jour au 24 octobre à 11 h 50 (heure de Tokyo), le groupe confirme que des données clients ont été extraites, dit avoir reçu une demande d’argent qu’blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il refuse de payer, et promet à chaque client actuel 5 000 yens (environ 32 $) ainsi qu’une indemnisation des opérations qu’il reconnaîtra comme non autorisées, selon l’alerte du groupe GMO.
Les dégâts ne se sont pas produits à l’intérieur des murs de GMO. Les clients utilisaient ces machines louées pour laisser MetaTrader 4 et MetaTrader 5 tourner jour et nuit, avec leurs identifiants de courtier enregistrés dessus. Une fois les attaquants installés, ces identifiants leur ont permis de passer des ordres perdants dans les comptes des clients chez des courtiers tiers, spécialisés dans le forex (FX) ou les actions. Certains utilisateurs disent avoir vu leur solde disparaître en quelques minutes.
GMO Coin, la plateforme crypto réglementée du même groupe, affirme n’avoir « pour l’instant » détecté aucune activité non autorisée sur les comptes de ses clients, selon TokenPost le 24 octobre. Aucune source n’explique pourquoi ses clients semblent épargnés. La plateforme a tout de même demandé à ses utilisateurs de supprimer les clés API qu’ils n’utilisent plus ou qu’ils ne reconnaissent pas.
26 739 serveurs coupés : la chronologie de la cyberattaque GMO au Japon
Les communiqués de GMO permettent de reconstituer les faits jour par jour. L’enquête démarre le 19 octobre, après la demande d’un client. Le lendemain, les équipes trouvent un programme non autorisé installé dans certains environnements de serveurs clients, et GMO suspend les nouvelles inscriptions ainsi que le panneau de contrôle.
À 4 h 00, heure du Japon, le 21 octobre, GMO commence à éteindre les serveurs de toutes les offres Desktop Cloud, les unes après les autres. Sa première annonce sur Onamae.com avance le chiffre de 26 739 serveurs potentiellement touchés et prévient que les informations qu’ils contiennent ont pu être consultées. À ce stade, aucune fuite de données personnelles n’est confirmée. Le groupe précise qu’il ne détient aucune donnée de carte bancaire pour ce service et ne fixe aucune date de reprise.
Ces 26 739 correspondent au nombre de serveurs potentiellement concernés. Ce n’est pas un nombre de victimes, et GMO n’a pas dit combien de machines avaient réellement été infectées.
Dès le 21 octobre, des clients signalent des opérations inconnues dans leurs comptes de courtage et de FX. GMO transmet les détails aux sociétés partenaires et leur demande de relayer l’alerte. Le 22 octobre, le groupe consulte la police et publie un deuxième rapport à 16 h 59. Un troisième suit le 23 octobre à 16 h 10.
Le quatrième rapport, daté du 24 octobre, change l’ampleur de l’affaire. GMO y écrit avoir confirmé un accès non autorisé à son environnement et une extraction d’informations clients. Il ne dit ni combien, ni de quels champs il s’agit.
| Date (heure du Japon) | Ce que GMO a annoncé |
|---|---|
| 19 oct | Ouverture de l’enquête après la demande d’un client |
| 20 oct | Programme non autorisé repéré sur certains serveurs clients ; inscriptions et panneau de contrôle suspendus |
| 21 oct, 4 h 00 | Toutes les offres coupées en séquence ; 26 739 serveurs possiblement touchés ; premier rapport |
| Dès le 21 oct | Des clients signalent une activité inconnue dans des comptes de courtage et de FX |
| 22 oct, 16 h 59 | Police consultée ; deuxième rapport |
| 23 oct, 16 h 10 | Troisième rapport |
| 24 oct (à jour à 11 h 50) | Quatrième rapport : données extraites, demande de rançon refusée, plan d’indemnisation |
| 30 oct, 23 h 59 | Date limite pour les e-mails sur le versement de 5 000 yens et le service de remplacement |
| 6 nov | Date limite pour publier la procédure de demande d’indemnisation des pertes |
Comment les pirates sont entrés : des identifiants enregistrés sur des serveurs loués
Un « desktop cloud » est un ordinateur Windows qui vit dans un centre de données. Les traders en louent un pour que leurs conseillers experts, les stratégies automatiques de MetaTrader, continuent de tourner quand leur propre PC est éteint. Pour y parvenir, la plateforme doit rester connectée au courtier. Les identifiants du courtier se trouvent donc sur la machine louée.
C’est ce qui a rendu cette intrusion si coûteuse. Un attaquant qui contrôle le serveur n’a besoin de piéger personne : la plateforme est déjà ouverte et authentifiée. La première consigne de GMO à ses clients a été de changer tous les identifiants et mots de passe enregistrés ou utilisés sur ces serveurs, ainsi que ceux réutilisés ailleurs.
GMO n’a pas publié la voie d’entrée. Le groupe n’a pas dit si le programme malveillant est passé par une faille de sa propre infrastructure, par un outil de gestion partagé ou par autre chose, et il n’a pas nommé l’attaquant.
Les pertes connues viennent à ce stade d’utilisateurs individuels, pas de GMO ni des courtiers. J-CAST, cité sur Infoseek News le 26 octobre, décrit un trader qui a constaté la disparition d’environ 3 millions de yens sur un compte de titres lors de son contrôle matinal du solde, une perte totale selon ses mots, et un autre dont 1,8 million de yens est tombé à zéro après qu’il a lu des messages similaires sur X. Aucun des deux comptes n’est rattaché à un courtier nommé. Bitcoin.com, qui cite l’Asahi Shimbun, rapporte environ 2,4 millions de yens perdus en une série d’ordres répétés sur 84 secondes environ. Le Financial News sud-coréen, qui résume la presse japonaise, évoque un employé de bureau d’une soixantaine d’années à Hiroshima dont le solde FX est passé d’environ 4 millions à environ 1,6 million de yens. Et Journal du Coin, dans son article « Cyberattaque GMO au Japon : des comptes de trading saccagés, GMO Coin se dit épargné », cite un trader de Kanagawa qui aurait perdu environ 4 millions de yens en deux secondes.
Plusieurs victimes ont ensuite reçu des e-mails d’un groupe qui se présente comme une équipe de hackers, avec un lien vers un site décrivant l’intrusion et l’état des comptes. GMO a demandé à ses clients de ne pas répondre et de n’ouvrir aucun lien ni fichier contenu dans ces messages.
Une rançon refusée, et une menace visant plus de 70 courtiers
GMO a confirmé le 24 octobre avoir reçu une demande d’argent, sans en donner le montant. Le groupe dit qu’il ne paiera pas, car payer ne garantirait ni la suppression des données volées ni qu’elles ne seront pas détournées.
Selon GMO, l’attaquant a formulé trois menaces. La première : continuer de passer des ordres non autorisés sur des comptes clients ouverts chez plus de 70 sociétés de titres et de FX, au Japon et à l’étranger. Ce chiffre vient de l’attaquant, relayé par GMO ; aucune liste de courtiers n’a été publiée et personne ne l’a confirmé. La deuxième : publier des informations sur le service et sur les PC des clients qui y étaient connectés, et lancer un rançongiciel. La troisième : publier des informations sur les systèmes et l’activité de GMO lui-même.
GMO prévient que ce que l’attaquant publiera peut ne pas correspondre aux faits. Le groupe a remis toutes ses preuves, échanges compris, à l’unité de cybercriminalité de la police et demandé l’ouverture d’une enquête pénale.
GMO a aussi demandé l’intervention de l’État. Son quatrième rapport présente l’affaire comme le « cas n° 1 » (発動第1号 dans le texte japonais) de la cyberdéfense active du Japon, le dispositif qui permet aux autorités d’identifier et de neutraliser des serveurs d’attaque, et indique que l’entreprise a adressé aux administrations une demande urgente d’action menée par l’État pour tracer, bloquer et désactiver l’infrastructure d’attaque. Cette étiquette est celle de GMO, pas celle du gouvernement.
Tokyo reste prudent. Un responsable gouvernemental a déclaré au Yomiuri Shimbun que le dispositif ne se déclenche pas à la demande d’une entreprise isolée, et un autre a dit à l’Asahi Shimbun qu’il vise les cas à fort impact, comme les attaques contre des opérateurs d’infrastructures critiques, d’après un résumé de Financial News le 25 octobre. Un responsable du bureau du Premier ministre a estimé qu’une analyse supplémentaire était nécessaire avant de décider.
Pour contenir l’attaque, GMO dit avoir demandé aux grandes plateformes d’échange et aux courtiers de bloquer les accès venant du service et de fermer de force toutes les sessions actives. Journal du Coin cite OANDA Japan, XMTrading, Titan FX, AXIORY et IronFX parmi les courtiers qui ont demandé à leurs clients de changer leurs mots de passe. TokenPost rapporte qu’OANDA a retardé certains retraits après un incident de sécurité chez un hébergeur. Nous n’avons pas lu les avis de ces courtiers eux-mêmes.
5 000 yens pour chaque client, et ce que GMO remboursera
Chaque client actuel de Desktop Cloud reçoit 5 000 yens, un geste commercial forfaitaire, qu’il ait perdu de l’argent ou non. Le détail doit arriver par e-mail d’ici le vendredi 30 octobre à 23 h 59, heure du Japon.
Les pertes sont traitées à part. GMO paiera les pertes réalisées et les frais liés aux opérations qu’il reconnaîtra comme non autorisées, après vérification des journaux de trading et d’accès. Les pertes dues aux mouvements du marché, les manques à gagner et les autres dommages indirects sont exclus. Les clients pourront devoir fournir des pièces d’identité et un mot de passe en lecture seule pour MT4 ou MT5. Si un courtier rembourse une partie de la perte, GMO ne verse que le reste ; si le courtier ne rembourse rien, GMO couvre le montant éligible. La façon de déposer la demande, les documents requis et la date de versement seront annoncés d’ici le vendredi 6 novembre.
L’ancienne plateforme ne reviendra pas. GMO dit repenser son architecture de sécurité et proposera aux clients qui veulent toujours un bureau Windows un service de remplacement sur une infrastructure cloud distincte, gratuit pendant six mois après la migration. Le passage exige le consentement du client. GMO insiste aussi sur le fait que, durant la procédure d’indemnisation, il ne demandera jamais de mots de passe ni de codes PIN, à l’exception de ce mot de passe de trading en lecture seule.
Les investisseurs ont vendu lundi. GMO Internet Group, la maison mère cotée, perdait 13,6 % à 3 256 yens pendant la séance de Tokyo, selon Investing.com. À la clôture, à 06 h 30 UTC, le titre était tombé plus bas, à 3 179 yens, soit 15,7 % sous les 3 769 yens de vendredi, d’après les données de Yahoo Finance. GMO Internet, Inc., la filiale cotée qui exploite Onamae.com, a terminé en baisse de 14,9 % à 418 yens.
GMO Coin : aucune activité non autorisée détectée pour l’instant
GMO Coin est l’une des grandes plateformes crypto réglementées du Japon et appartient au même groupe, ce qui explique que de nombreux lecteurs crypto aient vu les titres et vérifié leurs comptes. La plateforme a émis une alerte sur des ordres non autorisés soupçonnés, passés via des outils de trading automatique tournant sur des serveurs de GMO Internet. Elle a dit n’avoir « pour l’instant » détecté aucune activité non autorisée sur les comptes de ses clients, selon TokenPost.
Aucune source n’en donne la raison. Deux faits permettent de cadrer la question. L’intrusion a frappé les serveurs loués par les clients, pas les systèmes de GMO Coin. Et un client de GMO Coin ne serait exposé que s’il avait fait tourner un robot sur l’un de ces serveurs, avec son identifiant de plateforme ou sa clé API enregistrés dessus. Journal du Coin relève aussi qu’aucun portefeuille crypto n’a été vidé : les attaquants ont utilisé l’accès des victimes pour passer des ordres perdants, pas pour retirer des coins.
Ni les communiqués de GMO ni aucune source consultée ne disent que des comptes de GMO Click Securities, le courtier en ligne du groupe, ont été pris en main. L’alerte du groupe GMO ne le mentionne pas.
Les conseils de GMO Coin à ses utilisateurs, tels que TokenPost les relaie, sont concrets. Vérifier l’historique des ordres, les positions et les soldes. Activer la connexion par passkey et les notifications de connexion. Supprimer toute clé API qu’on n’utilise plus ou qu’on ne reconnaît pas. Ces gestes valent pour n’importe quelle plateforme, et notre guide sur le fonctionnement d’une plateforme d’échange centralisée et la garde de votre compte et de vos coins explique pourquoi l’identifiant de connexion est la vraie clé du compte.
Bot de trading crypto sur un VPS : ce qu’il faut vérifier maintenant
Le lien avec la crypto n’est pas l’argent volé, c’est la configuration. Beaucoup de traders crypto font tourner des bots de grille, des scripts d’arbitrage ou des outils de copy-trading sur un VPS loué, avec les clés API de leur plateforme rangées dans un fichier de configuration. Si ce serveur est compromis, l’attaquant hérite de tout ce que la clé autorise. Un lecteur français qui loue un VPS pour MT4 ou MT5, chez GMO ou ailleurs, est exposé au même schéma ; GMO n’a pas dit s’il compte des clients hors du Japon, et aucune source ne signale de victime française.
- La clé API d’un bot ne devrait avoir que des droits de trading. Les droits de retrait sont rarement utiles sur une clé qui vit sur un serveur, et ils transforment un mauvais ordre en compte vidé.
- La plupart des grandes plateformes permettent de restreindre une clé à une adresse IP fixe. Une clé liée à l’adresse de votre serveur ne sert à rien si on la copie ailleurs, mais elle reste utilisable si l’attaquant passe par le serveur lui-même.
- Les clés et mots de passe stockés sur une machine louée ne doivent être réutilisés nulle part ailleurs. C’est exactement la première demande de GMO à ses clients : changer tous les identifiants que les serveurs contenaient.
- Un attaquant installé sur le serveur n’atteint que ce que le bot peut atteindre. Des coins dans un portefeuille dont les clés ne touchent jamais cette machine, ou sur un compte auquel aucun bot n’est relié, échappent à ce type d’attaque.
L’auto-conservation ne rend pas un bot de trading sûr, puisqu’un bot a besoin d’un accès permanent à une plateforme pour trader. Elle limite en revanche la somme exposée à ce que vous laissez sur cette plateforme. Notre explication sur les endroits où les piratages crypto se produisent vraiment montre que la plupart des pertes viennent des comptes, des clés et des serveurs qui entourent la blockchain, pas de la blockchain elle-même. Un exemple récent : les clés de certificats faibles qui ont forcé des mises à jour de bots et de serveurs crypto la semaine dernière.
Les prises de contrôle de comptes de courtage au Japon en 2025 relevaient d’une autre attaque
Le Japon a déjà connu des détournements de comptes de trading, à grande échelle. En avril 2025, l’Agence des services financiers (FSA) a alerté sur une forte hausse des accès et des opérations non autorisés via des sites de phishing imitant des courtiers. Au 16 avril 2025, elle recensait 12 sociétés, plus de 3 300 accès illégaux et 1 454 opérations frauduleuses, avec environ 350 millions de dollars d’actions vendues et 315 millions achetées, le produit étant orienté vers de petites valeurs chinoises, d’après The Record. Rakuten Securities a été touchée la première, fin mars, suivie de Nomura, SMBC Nikko et SBI.
Le schéma de l’époque était l’hameçonnage d’utilisateurs finaux, compte par compte. Cette fois, un seul service d’hébergement utilisé par des traders de bots semble avoir livré aux attaquants des milliers de plateformes déjà connectées en une fois. Les courtiers qui ont imposé les passkeys et des contrôles de connexion supplémentaires après 2025 protègent la page de connexion. Une plateforme déjà connectée sur un serveur compromis contourne complètement cette page.
La crypto a son propre précédent japonais. En mai 2024, la plateforme DMM Bitcoin a perdu 4 502,9 BTC, que le FBI a évalués à 308 millions de dollars. En décembre 2024, le FBI, le centre de cybercriminalité du Département américain de la Défense et l’Agence nationale de police du Japon ont attribué le vol à TraderTraitor, un groupe soutenu par la Corée du Nord ; l’avis de l’Agence nationale de police chiffre la perte à environ 48,2 milliards de yens. Dans le monde, les vols continuent d’augmenter : notre article sur les 1,18 milliard de dollars volés dans les piratages crypto au troisième trimestre 2026 donne le dernier décompte.
Ce que GMO n’a toujours pas dit
Beaucoup de chiffres de base manquent. GMO n’a pas publié le nombre de clients ou de comptes de courtage touchés, la perte totale, les champs de données volés, le montant de la rançon, la manière dont les attaquants sont entrés ni leur identité. Au-delà des témoignages individuels, rien ne confirme que des clients d’un courtier donné ont perdu de l’argent. Journal du Coin affirme que la FSA a demandé le 22 octobre aux courtiers FX, par l’intermédiaire de leur association professionnelle, de surveiller les opérations anormales ; nous n’avons trouvé aucune déclaration de la FSA sur ce dossier.
Les prochaines échéances sont fixées par GMO. D’ici 23 h 59, heure du Japon, le vendredi 30 octobre, les clients doivent recevoir des e-mails sur le versement de 5 000 yens et sur le service de remplacement. D’ici le vendredi 6 novembre, GMO doit publier la marche à suivre pour demander l’indemnisation des opérations non autorisées. D’ici là, sa consigne reste la même : changer tous les mots de passe que les serveurs contenaient, ainsi que leurs copies utilisées ailleurs, et ne pas répondre à la prétendue équipe de hackers.