Japon : OANDA confirme des ordres frauduleux après le piratage d'un VPS

Le lundi 26 octobre 2026, OANDA Japan (OANDA証券) a confirmé des connexions et des ordres non autorisés sur certains comptes de ses clients, selon FX News Group, Finance Magnates et TokenPost. Un tiers a utilisé des combinaisons d'identifiant et de mot de passe qui ont pu fuiter chez un prestataire externe, le service de serveurs privés virtuels (VPS) « Onamae.com Desktop Cloud » de GMO Internet. Le courtier a restreint les opérations sur les comptes susceptibles d'être touchés. Ni le nombre de comptes ou d'ordres concernés, ni le montant des pertes n'ont été communiqués.

Selon OANDA Japan, rien n'indique à ce stade un accès non autorisé à ses systèmes centraux ni une fuite de données depuis ceux-ci : le courtier attribue l'incident à des identifiants stockés sur un VPS externe. Le même jour, il a demandé à ses clients de changer le mot de passe de leur espace « My Page » et de leurs plateformes MT4 et MT5, d'activer la double authentification sur MT4/MT5 et de contrôler leur historique de transactions. Il recommande aussi une passkey (clé d'accès) pour se connecter à My Page.

Des identifiants MetaTrader exposés chez un hébergeur

Onamae.com Desktop Cloud sert à faire tourner en continu MetaTrader 4 et 5 ainsi que des programmes de trading automatique (EA). Les identifiants enregistrés sur ces serveurs donnent accès à des comptes ouverts chez d'autres courtiers.

Selon la chronologie de GMO, l'hébergeur a ouvert une enquête le 19 octobre après des questions d'utilisateurs, trouvé un programme malveillant le 20 octobre, puis annoncé l'arrêt progressif de toutes ses formules dans un premier communiqué publié le 21 octobre à 4 h, heure du Japon. GMO a indiqué que jusqu'à 26 739 serveurs étaient peut-être touchés, un chiffre qui ne correspond ni à des intrusions confirmées ni à des comptes touchés. Dans son quatrième communiqué, daté du 24 octobre (heure du Japon), l'entreprise dit avoir trouvé une faille de sécurité dans le système du service, confirmé l'accès non autorisé et constaté que des informations clients étaient sorties de l'entreprise.

Chez OANDA Japan, le discours a évolué en quelques jours. Le premier avis du courtier, daté du 22 octobre 2026, indiquait seulement que les identifiants des clients utilisant ses MT4/MT5 sur ce service avaient pu être consultés par un tiers ; il ne mentionnait aucun ordre frauduleux et précisait que la suite était en discussion. Le même jour, OANDA Japan annonçait un changement temporaire du calendrier des retraits, motivé par un renforcement de la sécurité, et Finance Magnates rapportait que le courtier retenait les retraits.

GMO Internet s'engage à rembourser les pertes réalisées

GMO remboursera les pertes réalisées et les frais liés aux ordres qu'il aura reconnus comme frauduleux. Les pertes dues aux mouvements de marché, les gains manqués et les dommages indirects sont exclus, et le client doit fournir des éléments prouvant le préjudice. S'y ajoute un versement de 5 000 yens (environ 32 dollars) à chaque client actuel du service, qu'il ait subi une perte ou non. L'hébergeur propose également un serveur de remplacement sur une infrastructure séparée, gratuit pendant six mois.

GMO a demandé aux grandes bourses et aux sociétés de bourse de bloquer les accès venant du service et de couper toutes les sessions actives. Il prévient qu'une session déjà ouverte peut rester active après un changement de mot de passe, ce qui permet parfois à un tiers de continuer à trader. L'entreprise dit enfin qu'elle ne cédera pas aux demandes de la personne présentée comme l'attaquant.

Côté régulateur, l'Agence japonaise des services financiers (FSA) a demandé le jeudi 22 octobre aux sociétés de FX d'inciter leurs clients à changer de mot de passe et de surveiller les ordres suspects, selon le Nikkei et le quotidien Asahi. La notification a été transmise par la Financial Futures Association of Japan, l'organisme d'autorégulation du secteur.

Cinq courtiers touchés selon Finance Magnates

D'après le décompte de Finance Magnates, cinq courtiers agréés au Japon ont désormais signalé des ordres frauduleux, dont OANDA Japan, AvaTrade Japan, Gaitame Finest et FXTF. Ce total n'est pas repris partout : TokenPost ne cite qu'AvaTrade Japan et Gaitame Finest comme confirmations acquises avant OANDA. Aucun de ces courtiers n'a chiffré les comptes concernés.

• AvaTrade Japan a confirmé le 23 octobre des ordres non autorisés sur des comptes de clients qui utilisaient le service de GMO.
• Gaitame Finest a confirmé le 21 octobre des connexions et des ordres frauduleux sur certains comptes, puis limité leur usage. Son avis évoque des identifiants peut-être fuités depuis des services d'autres sociétés, sans citer Onamae.com : le lien avec l'incident de GMO n'est pas formellement établi.
• FXTF (Goldenway Japan) a annoncé le 22 octobre que des identifiants de clients avaient été obtenus frauduleusement via un VPS externe et que des connexions ou des ordres non autorisés avaient pu avoir lieu. Selon un avis du 23 octobre, il rend obligatoire le mot de passe à usage unique (OTP) à la connexion MT4/MT5 et restreint les accès depuis l'étranger.

Des courtiers offshore, dont Titan FX et Axiory, ont publié des mises en garde sans signaler d'ordres frauduleux confirmés.

Ce que cela change pour les traders

Les premiers exposés seraient les traders qui faisaient tourner MT4, MT5 ou des EA sur Onamae.com Desktop Cloud en y laissant leurs identifiants de courtier. Ces accès valant pour des comptes ouverts ailleurs, le risque ne se limiterait pas aux cinq courtiers cités.

Le changement de mot de passe demandé par OANDA Japan et par la FSA pourrait ne pas suffire : selon l'avertissement de GMO, un tiers pourrait garder la main tant que les sessions actives n'ont pas été coupées. Les clients concernés auraient intérêt à vérifier auprès de leur courtier que cette coupure a été faite, et à changer séparément le mot de passe de l'espace client et celui de chaque compte de trading. L'OTP imposé par FXTF renforcerait la protection, mais poserait une question pratique pour le trading automatisé : la façon dont un EA sans surveillance se reconnecte quand un code est exigé resterait à clarifier avec chaque courtier.

Pour obtenir un remboursement, les traders touchés devraient prouver leur préjudice. Exporter et conserver historiques d'ordres et relevés de compte serait donc utile, d'autant que seules les pertes réalisées et les frais liés aux ordres reconnus frauduleux seraient couverts. Les restrictions de comptes et le changement de calendrier des retraits chez OANDA Japan montrent par ailleurs que l'accès aux fonds pourrait être ralenti pendant les contrôles.

Au-delà du Japon, l'épisode met en lumière un risque de concentration propre aux VPS tiers : un seul hébergeur compromis peut exposer des comptes ouverts chez plusieurs courtiers. Éviter d'y laisser des identifiants enregistrés, privilégier le VPS du courtier ou un accès en lecture seule (mot de passe investisseur) lorsque c'est possible limiterait cette exposition.