Onamae Desktop Cloud piraté : un maliciel installé sur près de 27 000 serveurs clients

Le 20 octobre 2026, Onamae Desktop Cloud — un service de serveurs privés virtuels (VPS) japonais exploité par Onamae.com, la branche d'enregistrement de domaines et d'hébergement de GMO Internet Group — a confirmé qu'un tiers non autorisé avait installé des programmes malveillants dans les environnements serveurs de certains clients. Le service est commercialisé pour faire tourner en continu des robots de trading automatisé sur le marché des changes, dont des instances MetaTrader 4, de sorte que de nombreuses machines concernées fonctionnaient sans surveillance.

Après avoir détecté l'intrusion, l'entreprise a commencé à arrêter progressivement les serveurs clients à 04h00 heure locale le 21 octobre 2026 et a suspendu l'ensemble des forfaits Desktop Cloud, en prévenant qu'aucune date de reprise du service n'était estimée. Selon les informations rapportées, jusqu'à 26 739 serveurs clients ont été touchés par cet arrêt.

Ce qui a été exposé

L'entreprise a indiqué que les données stockées sur les serveurs concernés pouvaient avoir été exposées, mais qu'elle n'avait confirmé aucun usage abusif ni aucune fuite. Les informations de paiement, comme les numéros de carte bancaire, étaient conservées sur une infrastructure distincte et n'auraient pas été affectées. Onamae a exhorté tout client ayant stocké des mots de passe, des clés d'API ou d'autres secrets sur un serveur Desktop Cloud à les renouveler au plus vite, et a averti qu'elle ne demanderait jamais de mot de passe ni de coordonnées bancaires par courriel ou par téléphone — une mise en garde visant l'hameçonnage qui suit généralement un incident de cette ampleur.

Une compromission du fournisseur qui se propage aux locataires

L'intrusion se situe dans la zone grise de la sécurité de l'hébergement : un attaquant qui atteint le plan de contrôle d'un fournisseur peut implanter du code directement sur les machines virtuelles dont dépendent ses clients, transformant la compromission d'une seule plateforme en maliciel sur des milliers de systèmes en aval. GMO n'avait ni précisé comment les attaquants avaient obtenu l'accès, ni nommé d'auteur, ni fixé de calendrier de rétablissement, indiquant qu'elle fournirait de nouvelles informations au fil de son enquête.