Piratage chez GMO : 11 semaines sans détection, et le Bureau à distance a ouvert les PC des clients
Vous vous connectez à un serveur ou à un poste distant avec le Bureau à distance de Windows? Par défaut, il est souvent configuré pour partager vos disques locaux avec la machine distante. C’est pratique pour copier un fichier. Au Japon, c’est aussi par là que des pirates ont volé des fichiers directement sur les ordinateurs des clients d’un grand hébergeur.
Le 2 novembre 2026, GMO Internet Group a expliqué en conférence de presse comment son service de serveurs privés virtuels (VPS) Onamae.com Desktop Cloud a été piraté. L’intrus est resté environ 11 semaines sans être détecté, et jusqu’à 26 739 serveurs pourraient être touchés.
Bureau à distance et VPS : la chronologie du piratage
Onamae.com Desktop Cloud, d’un avertissement ignoré à la crise
Avril 2024
Un avertissement interne
Les experts de GMO Cybersecurity by Ierae, une société du même groupe, signalent des problèmes de sécurité. Quatre maintenances d’urgence suivront, insuffisantes.
5 août 2026
Premier serveur piraté
L’attaquant compromet le VPS d’un client.
17 août
Le serveur de gestion tombe
En abusant de privilèges d’administrateur, il atteint un serveur de gestion de GMO, qui contrôle les VPS des autres clients.
20 sept. au 14 oct.
Logiciel malveillant distribué
Depuis ce serveur, un logiciel malveillant est poussé vers les VPS d’autres clients.
19 et 20 oct.
Enfin détecté
Après la question d’un client, GMO remarque l’anomalie le 20 octobre. Le service est suspendu le lendemain.
2 nov.
Explications publiques
GMO confirme que des fichiers ont été volés sur les ordinateurs mêmes des clients, par la connexion Bureau à distance.
L’attaquant affirme détenir des données confidentielles et des historiques de navigation, et menace de les envoyer aux proches des victimes. « Malgré un environnement de sécurité de plus en plus sévère, nous n’avons pas désactivé ce réglage. Notre analyse de risque était inadéquate », a reconnu le vice-président de GMO Internet, Hirofumi Yamashita.
Comment les fichiers sont sortis des PC des clients
Le point le plus instructif pour une PME n’est pas le serveur piraté, mais le chemin vers les postes de travail :
🖥️
1. Un VPS client
Point d’entrée initial, le 5 août.
🔑
2. Privilèges d’admin
Accès au serveur de gestion de l’hébergeur.
📦
3. Malware sur d’autres VPS
Distribué à d’autres clients pendant près d’un mois.
🔌
4. Partage de lecteurs RDP
Activé par défaut : les disques du PC du client sont visibles depuis le VPS.
📂
5. Fichiers volés
Le malware lit les fichiers sur l’ordinateur du client, chez lui ou au bureau.
Autrement dit, quand le Bureau à distance partage vos lecteurs, la machine distante peut lire vos fichiers locaux pendant toute la session. Si cette machine est compromise, vos fichiers le sont aussi.
Ce qu’on sait, et ce qu’on ignore encore
✔️ Ce qu’on sait
- L’intrusion a duré du 5 août au 20 octobre 2026, soit environ 11 semaines.
- Jusqu’à 26 739 serveurs pourraient avoir été touchés.
- Le partage de lecteurs du Bureau à distance a permis de voler des fichiers sur les PC des clients.
- Des problèmes de sécurité avaient été signalés dès avril 2024.
❓ Ce qu’on ignore
- Le nombre exact de clients dont des fichiers ont été volés.
- Comment l’attaquant a pénétré le premier VPS.
- Quelles données précises ont été prises, et leur usage réel.
- Si d’autres services de GMO sont concernés : l’enquête se poursuit.
Votre Bureau à distance : l’autoévaluation en 5 minutes
Vous n’êtes pas client de GMO? Les mêmes réglages existent chez vous dès que quelqu’un se connecte à un serveur, à un VPS ou à un poste de bureau à distance. Donnez-vous une note :
Moins de 4 « Oui »? C’est le moment d’agir. Le Bureau à distance n’est pas le seul outil concerné : nous avions vu un cas voisin avec les logiciels d’accès à distance détournés. Et si vous dépendez d’un hébergeur, voici les questions à lui poser.
Trois leçons pour les PME
Ce que le piratage de GMO enseigne
⏳ Un avertissement non corrigé reste une porte ouverte
Les problèmes signalés en avril 2024 n’avaient pas été réglés à fond. Chaque constat doit être suivi jusqu’à sa correction complète.
👀 Détecter vite change tout
L’intrus a eu deux mois et demi pour circuler. Des alertes vérifiées par une personne réduisent ce délai à quelques heures.
🔌 Un réglage pratique peut devenir un pont
Le partage de lecteurs a relié des serveurs piratés aux PC des clients. Désactivez par défaut ce qui n’est pas indispensable.
Comment NeoTech peut vous aider
Nous révisons vos accès à distance : réglages du Bureau à distance par stratégie de groupe, fermeture des ports exposés, RPV et double authentification. Pour vos serveurs et vos VPS, notre service de gestion des serveurs applique les correctifs et suit les avis de sécurité jusqu’au bout, et notre surveillance automatisée 24/7 avec intervention du technicien de garde signale les connexions anormales et les nouveaux comptes administrateurs le jour même. Vous évaluez un hébergeur ou un service infonuagique? Nos services infonuagiques et de consultation vous aident à poser les bonnes questions.
Réservez votre Bilan cyber gratuit
En 30 minutes, nous regardons ensemble comment votre équipe se connecte à distance, quels réglages sont actifs et qui serait averti si un serveur était piraté cette nuit.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Nos bureaux : 2572, boul. Daniel-Johnson, bureau 237, Laval.
Sources
- The Asahi Shimbun — GMO missed cyberattack for 11 weeks; files of customers stolen, 3 novembre 2026 (en anglais)
- Kyodo News — couverture de la conférence de presse de GMO du 2 novembre 2026 (en anglais)
- Associated Press — couverture du piratage de GMO (en anglais)
- GMO Internet Group — avis aux investisseurs du 23 octobre 2026 (PDF) (en anglais)
Photo : panumas nikhomkhai, Pexels (licence Pexels).