GMO Internet retire un site de fuite de données alors que le Japon et la Corée du Sud signalent de nouvelles cyberattaques

Une intrusion dans le service de bureau cloud de GMO

GMO Internet Group, conglomérat technologique japonais présent dans les infrastructures internet, la cybersécurité et les services financiers, a révélé le 20 octobre 2026 avoir subi une cyberattaque. L'intrusion a atteint Onamae Desktop Cloud, un service de bureau Windows loué utilisé principalement par des particuliers japonais faisant du trading de devises au détail, qui y exécutent des logiciels de trading automatisé. Un logiciel malveillant a été installé dans certains environnements serveurs de clients, et jusqu'à 26 739 serveurs ont été exposés. GMO a réagi en éteignant progressivement les serveurs, en lançant une enquête et en les nettoyant.

Jiji Press rapporte qu'un serveur cloud utilisé pour le trading automatisé sur marge de devises a subi un accès non autorisé, et que l'entreprise l'a éteint le 21 octobre. Après avoir reçu un e-mail de menace, GMO a signalé l'affaire au département de police métropolitaine de Tokyo le 22 octobre. Selon des sources proches de l'enquête, la police examine l'ampleur des dégâts, soupçonnant une violation de la loi qui interdit l'accès non autorisé à un système informatique, et procède notamment à des auditions de responsables de l'entreprise.

Demande de rançon et données divulguées

Les montants de rançon rapportés diffèrent selon les médias. TechRadar indique que les attaquants ont réclamé environ 50 millions de dollars pour supprimer les données, tandis que The Independent fait état d'une rançon de 1 million de dollars. GMO a refusé de payer, affirmant qu'il n'existe aucune garantie que les informations personnelles volées seraient supprimées et avertissant qu'elles pourraient encore servir à des activités illégales. Le mardi 27 octobre, GMO a confirmé que des personnes soupçonnées d'être à l'origine de l'attaque avaient publié des informations qu'elle dit liées à l'entreprise et à ses clients, et indiqué vérifier l'authenticité de ces éléments.

Tôt le mercredi 28 octobre, GMO a confirmé qu'un site divulguant des informations personnelles supposées appartenir à un client avait été retiré, vers 4 heures du matin, alors que l'entreprise travaillait avec d'autres sociétés sur le dossier. Jiji Press rapporte que le site aurait été mis en place par les auteurs de l'attaque, et que GMO entend agir immédiatement contre tout site similaire. Les rapports n'ont pas précisé combien de clients avaient été compromis ni quels types d'informations avaient été dérobés. Une publication en ligne du groupe de pirates, citée par The Independent, indiquait que GMO n'engageait pas de négociations et que le groupe divulguerait les informations personnelles.

Les clients et la réponse du gouvernement

GMO a demandé à ses clients de scanner leurs ordinateurs à la recherche de virus, de sauvegarder leurs données, de déconnecter leurs appareils d'internet et de les éteindre. Certains comptes de trading de clients ont enregistré des transactions non autorisées, et GMO s'est engagé à indemniser les clients pour les pertes confirmées. La Première ministre Sanae Takaichi a tenu une réunion d'urgence avec d'autres ministres, puis a déclaré aux journalistes :

« La situation est grave, les inquiétudes grandissant quant aux dommages civils résultant de l'usage détourné d'informations divulguées. Nous devons renforcer d'urgence nos contre-mesures. »

Takaichi a demandé à son gouvernement de préparer un ensemble de mesures de cybersécurité d'ici début novembre. Bloomberg rapporte, citant Takayuki Tominaga de Central Tanshi FX, que le marché japonais du forex au détail a largement ignoré l'attaque, les volumes d'échanges se maintenant alors que certains investisseurs ferment leurs comptes.

Les établissements financiers sud-coréens

Le secteur financier sud-coréen a été touché par une nouvelle vague d'attaques. Daishin Securities a signalé une cyberattaque ayant exposé les informations personnelles de 38 490 clients, dont des noms, des adresses e-mail et des numéros de téléphone mobile. L'entreprise a informé les clients concernés, coopère avec les autorités et indemnisera les pertes comme la loi l'exige. Mirae Asset Global Investments et Bithumb ont signalé mercredi des incidents de cybersécurité distincts, selon les médias locaux, mais aucun des deux n'a confirmé que des données clients avaient été dérobées.

La Commission des services financiers a appelé à renforcer les mesures de cybersécurité, et le gouvernement prévoit des contrôles de sécurité sur des dizaines de systèmes informatiques du secteur privé. TechCrunch relie la vague d'attaques de septembre contre la Corée du Sud à un pirate présumé basé en Chine qui a utilisé un outil d'audit d'intrusion fondé sur l'IA appelé Artex, les responsables enquêtant toujours sur la cause profonde des dernières intrusions. Les enquêteurs n'ont pas établi de lien entre les incidents japonais et sud-coréens. Bloomberg rapporte que le gouverneur du Service de supervision financière, Lee Chan-jin, s'est également exprimé sur les intrusions mercredi.