Contexte de la fuite
Le 21 octobre 2026, GMO Internet a interrompu son service Onamae Desktop Cloud après avoir détecté un accès non autorisé à ses systèmes. L’entreprise a reçu un courriel de rançon réclamant environ 8 milliards de yens (≈ 50 M$). Le même jour, elle a indiqué que jusqu’à 27 000 serveurs pouvaient être concernés. Les victimes signalent des opérations non autorisées sur leurs comptes de trading, ce qui a conduit GMO à conseiller un réinitialisation immédiate des mots de passe.
Architecture du service Onamae Desktop Cloud
Onamae Desktop Cloud propose des postes de travail virtualisés destinés aux traders financiers. Le service repose sur une infrastructure hyperviseur hébergeant plusieurs machines virtuelles (VM) sur des serveurs physiques mutualisés. Chaque VM est accessible via un protocole de bureau à distance (RDP ou similaire) et s’appuie sur une authentification unique. La documentation publique ne mentionne pas de mécanisme d’authentification multifacteur (MFA) pour l’accès aux VM, ce qui constitue une surface d’exposition importante dans un environnement où les comptes sont liés à des opérations financières.
Analyse des vecteurs d’attaque
Le même jour, GMO a publié un rapport distinct sur l’utilisation d’Artex, un outil de test d’intrusion alimenté par l’IA développé en Chine. Artex a déjà été identifié dans des compromissions de banques sud‑coréennes, où il exploitait des contrôles de sécurité faibles, notamment l’absence de MFA. Bien que GMO n’ait pas établi de lien direct entre Artex et la compromission d’Onamae, la coïncidence temporelle et la similarité des techniques (exploitation de mots de passe faibles, élévation de privilèges via RDP) suggèrent un scénario plausible. L’outil, désormais fermé‑source, aurait pu automatiser la découverte de vulnérabilités réseau et la propagation latérale entre les serveurs du pool de 27 000 machines.
Conséquences et mesures d’atténuation
GMO a lancé une collecte de dispositifs chez les clients afin d’analyser la présence éventuelle de logiciels malveillants. L’entreprise propose également des compensations et un service alternatif pendant la remise en état. Le régulateur japonais, la Financial Service Agency, avait déjà publié en mai des recommandations de « vulnerability management, defense‑in‑depth and incident preparedness ». La fuite confirme la nécessité d’appliquer ces principes : déploiement de MFA, segmentation réseau stricte entre les VM, surveillance continue des logs d’accès RDP et mise à jour régulière des correctifs hyperviseur. L’incident souligne également les risques liés à l’adoption d’outils d’IA non contrôlés dans les chaînes d’attaque, rappelant que la simple puissance d’un outil ne compense pas des contrôles de base déficients.
