Cyberattaque GMO au Japon : des comptes de trading saccagés, GMO Coin se dit épargné

Des robots de trading retournés contre leurs propriétaires. Au Japon, GMO Internet confirme le vol d'informations clients sur << Onamae.com Desktop Cloud >>, son service de serveurs virtuels loué par des milliers de traders forex pour faire tourner MT4 et MT5. L'exchange maison GMO Coin dit ne constater aucune opération frauduleuse sur ses propres comptes.

Les points clés de cet article :

• GMO Internet a confirmé le vol d'informations clients sur son service << Onamae.com Desktop Cloud >>, utilisé par des milliers de traders forex.
• GMO Coin, la plateforme d'échange crypto du groupe, a été épargnée par des opérations frauduleuses mais a conseillé à ses utilisateurs de prendre des mesures de sécurité supplémentaires.
• Après la découverte de programmes malveillants sur certains serveurs, GMO a refusé de payer une rançon et a sollicité l'intervention de l'État pour appliquer la cyberdéfense active.

GMO Coin épargné mais sur ses gardes

GMO Coin , la plateforme d'échange crypto du groupe, a publié un avertissement le 23 octobre. Elle y précise qu'aucune opération non autorisée n'a été confirmée à ce stade sur ses comptes clients.

L'exchange demande malgré tout à ses utilisateurs de vérifier leur historique d'ordres et leurs soldes, d'activer une passkey et les notifications de connexion. Surtout, elle leur conseille de supprimer les clés API inutilisées ou inconnues. Une clé API est le sésame qui permet à un logiciel tiers, un bot par exemple, de passer des ordres à votre place.

Les stablecoins du groupe n'apparaissent dans aucun des cinq rapports publiés par GMO Internet. GYEN et ZUSD , émis par GMO Trust à New York, sont de toute façon en cours de liquidation. Leurs détenteurs peuvent les racheter à parité jusqu'au 11 novembre 2026, sans lien connu avec l'attaque.

Ce qui s'est passé sur les serveurs de GMO

Tout part d'un message client le 19 octobre . Le lendemain, GMO Internet découvre des programmes malveillants installés sur certains serveurs. Le 21 octobre à 4 heures, l'hébergeur coupe l'ensemble des offres.

Le chiffre de 26 739 serveurs circule beaucoup sur X. Il est exact, mais il désigne les machines potentiellement exposées. GMO précise qu'il ne s'agit pas du nombre de serveurs effectivement compromis.

Le problème vient de ce que ces machines contenaient. Les traders y laissaient tourner leurs logiciels MT4 et MT5 connectés en permanence à leurs courtiers, identifiants compris. Des clients ont ensuite vu passer des ordres qu'ils n'avaient jamais donnés. La presse japonaise cite un particulier de Kanagawa qui aurait perdu environ 4 millions de yens en deux secondes.

OANDA Japan, XMTrading, Titan FX, AXIORY et IronFX ont demandé à leurs clients de changer leurs mots de passe. Dès le 22 octobre, l'Agence des services financiers (FSA) a demandé aux courtiers forex, via leur association professionnelle, de surveiller les transactions anormales.

Rançon refusée et appel à l'État

Le quatrième rapport de GMO, daté du 24 octobre , confirme que des informations clients ont bien été exfiltrées . L'entreprise ne dit pas lesquelles. Elle révèle aussi avoir reçu une demande de rançon, dont le montant n'est pas communiqué.

Les menaces sont détaillées dans le communiqué officiel de GMO. L'attaquant promet de continuer à passer des ordres destructeurs sur des comptes ouverts chez plus de 70 courtiers japonais et étrangers, de publier des données clients et de lancer un rançongiciel. Ce chiffre de 70 vient donc du pirate lui-même. Aucun bilan officiel ne le confirme.

GMO refuse de payer et a transmis ses échanges à la police. Le groupe remboursera les pertes réalisées sur les ordres frauduleux et versera 5 000 yens à chaque client, touché ou non. Le service ne sera pas rétabli.

【重要】「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第4報）

お客様には、多大なるご迷惑とご心配をおかけしておりますこと、心より深くお詫び申し上げます

以下の対応を決定しましたのでご報告します

①ご利用中の全てのお客様へ、お見舞金5,000円をお支払い... --- GMOインターネットグループ (@GMOGroup) October 24, 2026

Plus inhabituel, GMO a demandé au gouvernement d'appliquer la cyberdéfense active , entrée en vigueur le 1er octobre. Cette loi autorise la police ou les Forces d'autodéfense à neutraliser à distance les serveurs d'un attaquant. Interrogé par la presse, le secrétaire général du gouvernement Minoru Kihara a refusé de commenter un cas particulier. Selon lui, l'État jugera de l'opportunité d'une neutralisation avec ou sans demande de l'entreprise.

Selon Nikkei, le gouvernement réunit ce lundi soir les ministres concernés pour faire face à une série de cyberattaques.

Bots crypto et VPS : le même talon d'Achille

Remplacez MT5 par un bot de grid trading et un courtier forex par Binance. Le schéma reste identique. Beaucoup de traders crypto louent un VPS pour faire tourner leurs scripts jour et nuit, avec des clés API stockées en clair sur la machine.

Le Japon connaît le prix de ces failles. En mai 2024, DMM Bitcoin perdait 4 502,9 BTC, soit environ 305 millions de dollars. Le FBI et la police japonaise ont attribué le vol au groupe nord-coréen TraderTraitor, une branche de Lazarus. L'exchange a annoncé sa fermeture en décembre 2024.

Pour GMO, rien ne permet d'identifier l'auteur à ce jour. La méthode diffère aussi. Personne n'a vidé un wallet. Le pirate a utilisé les accès des victimes pour détruire leur capital à coups d'ordres perdants.

Si un bot tourne sur un serveur loué, ses clés API ne devraient jamais avoir le droit de retrait et devraient être limitées à l'adresse IP de ce serveur. Les clients de GMO recevront les modalités de remboursement d'ici le 6 novembre.