Onamae Desktop Cloud : malware sur 26 739 serveurs VPS

Ce qui s'est passé

Le 20 octobre 2026, l'équipe de sécurité de GMO Internet Group a détecté une activité anormale sur l'infrastructure d'Onamae Desktop Cloud, son service de serveurs privés virtuels (VPS) commercialisé au Japon. L'enquête interne a rapidement révélé qu'un tiers non autorisé avait réussi à pénétrer les systèmes centraux de la plateforme et à déployer des programmes malveillants directement dans les environnements serveurs de ses clients. Le nombre d'instances potentiellement compromises a été chiffré à 26 739 serveurs, selon la communication officielle de GMO Internet publiée le 24 octobre 2026.

Face à l'ampleur de la compromission, GMO Internet a pris la décision radicale de suspendre progressivement l'ensemble du service Onamae Desktop Cloud à partir de 4 heures du matin le 21 octobre 2026, heure locale japonaise. Cette fermeture d'urgence a mis hors ligne simultanément des dizaines de milliers de serveurs actifs, sans préavis pour les utilisateurs. La priorité était de limiter la propagation latérale du malware et d'empêcher tout accès supplémentaire par les attaquants à l'infrastructure.

Onamae Desktop Cloud est un service VPS très populaire au Japon auprès d'une clientèle très spécifique : les traders de devises étrangères (Forex, ou FX). Ces utilisateurs y hébergent des systèmes de trading automatisé — appelés Expert Advisors (EA) sous MetaTrader ou autres plateformes — qui doivent fonctionner en continu 24 heures sur 24, 7 jours sur 7, même lorsque l'ordinateur personnel du trader est éteint. La suspension brutale du service a donc paralysé des milliers de stratégies de trading automatisées en pleine activité des marchés asiatiques.

Selon les informations communiquées par GMO Internet Group, les malwares ont été installés dans les environnements serveurs des clients, et non uniquement au niveau de l'hyperviseur ou de l'infrastructure sous-jacente. Cela signifie que le contenu des serveurs — y compris les identifiants de connexion aux plateformes de courtage, les clés API, les fichiers de configuration et potentiellement les données personnelles des utilisateurs — pourrait avoir été exposé ou exfiltré par les attaquants. GMO Internet a précisé qu'aucune utilisation malveillante ou fuite confirmée de données n'avait été établie à ce stade.

Le vecteur d'intrusion initial n'a pas été divulgué publiquement. La chronologie des événements suggère que les attaquants ont bénéficié d'un accès suffisamment profond à l'infrastructure pour déployer du code malveillant à grande échelle sur des milliers de machines virtuelles clientes, ce qui indique une compromission des couches d'administration ou d'orchestration du cloud, plutôt qu'une exploitation serveur par serveur. Cette capacité à agir sur l'ensemble du parc en quelques heures pointe vers une vulnérabilité de la couche de gestion ou un accès à des comptes d'administration avec des privilèges étendus.

GMO Internet Group a conseillé à l'ensemble de ses clients de changer immédiatement tous les mots de passe, tokens d'authentification et identifiants de connexion stockés ou utilisés dans leurs environnements cloud compromis. Pour les traders FX, cela inclut les identifiants de connexion aux courtiers, les clés API des plateformes de trading et les éventuelles informations d'authentification à d'autres services tiers connectés depuis les serveurs VPS. L'entreprise a mis en place un processus de communication directe avec les clients affectés.

Sur le plan financier, GMO Internet a annoncé le 24 octobre qu'une compensation forfaitaire de 5 000 yens — environ 32 euros au cours actuel — serait versée à chaque client Onamae Desktop Cloud existant, indépendamment du préjudice réel subi. Ce montant, largement symbolique au regard des pertes potentielles liées à l'interruption des systèmes de trading automatisé, a suscité des critiques sur les forums spécialisés japonais. Pour un trader dont le robot FX gérait des positions actives en pleine session asiatique au moment de la fermeture, les pertes réelles pourraient être considérablement supérieures à cette compensation forfaitaire.

Au moment de la publication de cet article, GMO Internet n'avait donné aucune date de redémarrage du service Onamae Desktop Cloud. La société poursuit ses investigations forensiques avec le soutien d'experts externes en sécurité informatique pour identifier la nature exacte du malware déployé, son comportement et l'étendue réelle des données potentiellement exfiltrées. L'ensemble du service reste suspendu, laissant des milliers de traders japonais dans l'impossibilité d'exécuter leurs stratégies automatisées.

Pourquoi c'est important

L'incident Onamae Desktop Cloud illustre avec acuité un risque systémique inhérent aux services VPS mutualisés : la compromission de la couche d'infrastructure peut simultanément affecter l'ensemble des clients hébergés sur la plateforme. Contrairement à une attaque ciblant un seul serveur ou une seule entreprise, une intrusion réussie au niveau de l'hyperviseur ou des outils de gestion cloud permet aux attaquants d'agir à une échelle industrielle. Dans ce cas précis, une seule intrusion a potentiellement compromis 26 739 environnements clients distincts en quelques heures.

Pour les équipes de sécurité des entreprises et les DSI, cet incident rappelle l'importance cruciale de ne jamais stocker d'informations d'identification sensibles en clair dans un environnement cloud externe. Les traders FX qui conservaient leurs identifiants de courtiers, leurs clés API ou leurs mots de passe dans des fichiers texte ou des scripts sur leur serveur VPS se retrouvent potentiellement exposés à des risques de vol de fonds ou d'accès non autorisé à leurs comptes financiers. Cette pratique, courante dans la communauté des traders automatisés, représente un risque systématiquement sous-estimé.

La cible choisie — un hébergeur VPS spécialisé pour le trading FX automatisé — n'est probablement pas anodine. Les serveurs de trading hébergent par définition des accès à des comptes financiers actifs, des clés API avec des permissions de passage d'ordres et des stratégies propriétaires. Pour un groupe criminel, compromettre un hébergeur spécialisé FX représente une opportunité de monétisation directe bien supérieure à celle d'un hébergeur généraliste : les données volées peuvent être immédiatement exploitées pour des transferts non autorisés ou des manipulations de marché.

Au-delà du secteur financier, cet incident pose des questions sur la gouvernance de la sécurité des fournisseurs de services cloud de taille intermédiaire en Asie. Les grands hyperscalers disposent de programmes de sécurité matures, de certifications SOC 2 Type II, ISO 27001 et de processus de réponse aux incidents rodés. Les fournisseurs régionaux et les niche-players opèrent avec des ressources de sécurité plus limitées tout en gérant des dizaines de milliers d'environnements clients. Cet écart de maturité représente une surface d'attaque attractive pour les acteurs malveillants spécialisés dans les compromissions d'infrastructure cloud.

Ce qu'il faut retenir

• 26 739 serveurs VPS d'Onamae Desktop Cloud (GMO Internet Group) ont été compromis par un malware entre le 20 et le 21 octobre 2026, forçant la suspension immédiate de l'ensemble du service.
• Les clients, principalement des traders FX automatisés, doivent changer immédiatement tous leurs identifiants de connexion et clés API stockés sur les serveurs affectés.
• L'incident illustre le risque systémique des hébergeurs VPS mutualisés : une seule compromission d'infrastructure peut simultanément affecter des dizaines de milliers d'environnements clients.