L’offre de ¥5,000 de GMO ne répond pas aux pertes de trading des clients

Quel montant GMO remboursera-t-il aux clients dont les comptes de trading ont été manipulés, et quand l’argent sera-t-il versé ? Sa promesse de ¥5,000, soit environ US$32, ne répond à aucune de ces questions. Il s’agit d’un versement de bonne volonté destiné aux utilisateurs d’Onamae.com Desktop Cloud, y compris ceux qui n’ont perdu aucun argent. L’indemnisation des pertes admissibles résultant d’opérations non autorisées constitue un engagement distinct, dont les règles d’évaluation essentielles et les dates de versement ne sont toujours pas définies. ¹⁸

Cette distinction est au cœur de la réponse de GMO aux accès non autorisés au service. Un versement forfaitaire reconnaît les perturbations et les inquiétudes ; le remboursement doit tenir compte de ce qui est arrivé à l’argent de chaque client. Confondre les deux donne à penser que l’offre plafonne les pertes à ¥5,000, ce que les conditions disponibles ne permettent pas d’affirmer. Cela masque aussi la tâche la plus difficile à venir : transformer une promesse publique en un recours réellement accessible aux clients. ^{4 18}

Les avis d’indemnisation ont été publiés le 24 octobre 2026. Masatoshi Kumagai, directeur général de GMO Internet Group, a rendu publique la réponse sur un blog le lendemain — il ne s’agissait pas de la première annonce de la politique. Reuters, dans un article publié par le South China Morning Post, a cité sa description du versement comme « un premier geste de bonne foi ». Selon le compte rendu d’ITmedia consacré au blog, il a rejeté l’idée qu’il s’agissait de clore le dossier. ^{22 2 1 4}

Le service concerné est Onamae.com Desktop Cloud, un serveur privé virtuel : un ordinateur hébergé à distance que les clients utilisent pour faire fonctionner des outils automatisés de trading de devises. Il est exploité par GMO Internet, la filiale cotée sous le code boursier 4784. Il ne faut pas le confondre avec toutes les sociétés de courtage ou de change du groupe. ^{18 12}

Selon les médias japonais, l’offre de ¥5,000 couvre les utilisateurs actuels de Desktop Cloud, qu’ils aient subi ou non un préjudice financier. Cela ne rend pas automatiquement admissibles les clients d’autres sociétés de trading de GMO. La date limite précise pour être admissible n’est toujours pas définie ; même ce versement plus simple nécessite donc une définition exacte des personnes concernées. ^{18 25}

La seconde promesse concerne les pertes admissibles réellement subies à la suite de transactions non autorisées liées à l’intrusion. ITmedia indique que les remboursements déjà accordés par la plateforme de trading seront déduits du calcul de cette indemnisation. Cela ne signifie pas que le versement de bonne volonté de ¥5,000 sera déduit : son traitement en tant que compensation n’a pas été précisé. ¹⁸

Les dispositions officielles disponibles ne précisent pas non plus les exigences complètes en matière de justificatifs, la manière dont GMO déterminera qu’une transaction résulte de cette intrusion, un éventuel plafond d’indemnisation, l’ensemble des exclusions ni une procédure de réclamation et une date limite définitives. La promesse d’indemniser les opérations non autorisées ne peut être interprétée sans risque comme un remboursement inconditionnel de toutes les pertes de trading. Les pertes de marché, les transactions non autorisées et les occasions manquées sont des choses différentes ; les règles applicables doivent préciser quelles pertes sont admissibles. ^{28 22}

Une échéance concrète a été fixée. Il a été promis aux utilisateurs de leur envoyer un courriel d’ici au 30 octobre pour leur expliquer comment recevoir le versement de bonne volonté et quand il serait effectué. Il s’agit d’une date limite pour communiquer les instructions, et non de la promesse que l’argent sera versé sur un compte ce jour-là. Aucune date de versement effective n’a été fixée pour le versement de bonne volonté ni pour le remboursement des pertes de trading. ¹⁸

La chronologie de l’incident commence avant l’annonce de l’indemnisation. Une déclaration du 23 octobre indique que des programmes non autorisés ont été découverts le 20 octobre dans les environnements serveur de certains clients. Elle établit une date de découverte, et non le début de l’intrusion, sa durée ou l’ampleur de sa propagation. ²⁴

Des opérations non autorisées impliquant les comptes de trading de clients ont été signalées, mais cela ne permet pas d’établir que tous les comptes liés à Desktop Cloud ont été compromis — ni que les systèmes de courtage du groupe eux-mêmes ont été piratés. Le 23 octobre, GMO Gaika a indiqué avoir reçu des signalements concernant des outils fonctionnant sur Desktop Cloud, tout en précisant n’avoir constaté aucune opération non autorisée connexe sur les comptes de ses propres clients. Son avis du 26 octobre a maintenu cette position plus limitée. ^{34 5}

Les consignes de protection immédiate étaient plus précises que les modalités de remboursement qui restent à définir. Dans son alerte du 23 octobre, GMO a demandé aux clients de changer sans délai les mots de passe de leurs comptes et outils de trading, de mettre fin aux sessions ouvertes et d’effectuer ces changements depuis un autre appareil, en donnant le smartphone comme exemple. ³³

GMO Gaika a également recommandé aux clients de vérifier les paramètres des clés d’accès et de consulter l’historique des transactions et des ordres, les positions ouvertes et les soldes des comptes. L’entreprise a indiqué que les outils et programmes de trading automatisé externes étaient interdits sur son service. Il s’agit de mesures de protection et de règles de plateforme énoncées à une date donnée, et non de la preuve que l’intrusion a été contenue. Les avis disponibles n’établissent pas si l’accès à Desktop Cloud a été suspendu ou rétabli, si le trading a été désactivé ou si les retraits ont été limités. ^{34 33}

Le point d’entrée précis, l’identité de l’attaquant et l’ampleur totale de l’intrusion restent inconnus. Les chiffres nécessaires pour mesurer son impact financier le sont aussi : aucun total vérifié n’est disponible pour les comptes compromis, les clients ayant subi des pertes admissibles, les dommages cumulés ou le coût de l’indemnisation. Compter toutes les personnes admissibles au versement de bonne volonté ne permettrait pas d’établir le nombre de victimes, puisque cette catégorie comprend expressément des utilisateurs n’ayant subi aucune perte. ^{24 22 18}

Les investisseurs ont déjà manifesté leur inquiétude. Les actions de la société mère cotée, GMO Internet Group — code 9449, et non celui de l’exploitant de Desktop Cloud, 4784 — ont clôturé le 26 octobre à ¥3,179, en baisse de ¥590, soit environ 16%. Un article antérieur de Nikkei, publié à 9:50, heure de Tokyo, faisait état d’un plus bas en cours de matinée de ¥3,351, en baisse de ¥418, soit 11.09%. Le cours de clôture remplace le relevé matinal comme résultat final de la séance ; il ne le contredit pas. ^{12 13}

Reuters a attribué les ventes à l’incertitude quant à l’impact sur les bénéfices des versements de bonne volonté et de l’indemnisation des opérations non autorisées. L’article de clôture de Nikkei a également évoqué les inquiétudes des investisseurs face à l’augmentation des pertes. Il s’agit d’une explication documentée de l’anxiété du marché, et non de la preuve que l’indemnisation, à elle seule, a provoqué chaque transaction. L’exposition sous-jacente n’a pas été quantifiée. ^{15 13}

Pour les clients, la prochaine évolution utile n’est pas une nouvelle déclaration générale rassurante. C’est une explication claire des critères d’admissibilité, des justificatifs, du calcul et du calendrier des versements. Le 30 octobre est la prochaine échéance annoncée, mais uniquement pour les modalités du versement de bonne volonté promis. Tant que les règles et dates de remboursement distinctes ne seront pas précisées, GMO aura pris un engagement important sans encore apporter aux traders concernés une réponse complète sur la récupération de leur argent. ^{18 28}