GMO Internet versera 5 000 yens à chaque client après un accès non autorisé à son service de trading de devises, et Park24 versera 3 000 yens à 1,46 million d’utilisateurs d’autopartage dont les pièces d’identité ont été transmises. Ces chèques arrivent alors que le Japon répond aux failles critiques de PHP par des attaques simulées à l’IA, des alertes de catastrophe suspendues et un débat sur ce que vaut une intrusion.
Publié le 26 octobre 2026 · 03:10 GMT
GMO Internet versera 5 000 yens à chaque client après un accès non autorisé à son service de trading de devises, et Park24 versera 3 000 yens à 1,46 million d’utilisateurs d’autopartage dont les pièces d’identité ont été transmises. Ces chèques arrivent alors que le Japon répond aux failles critiques de PHP par des attaques simulées à l’IA, des alertes de catastrophe suspendues et un débat sur ce que vaut une intrusion.
Le lundi 26 octobre 2026, GMO Internet a annoncé l’indemnisation de ses clients après un accès non autorisé à son service de devises. Chaque client reçoit 5 000 yens, environ 32 dollars, comme « premier geste de bonne foi », a écrit dimanche Kumagai. Quelques jours plus tôt, Park24 avait déjà fixé son propre prix : 3 000 yens, environ 19 dollars, à chacun des 1,46 million d’utilisateurs de Times dont les pièces d’identité ont fuité.
Ces versements tombent au milieu d’un colmatage national d’urgence : deux failles critiques dans PHP ont provoqué des millions de tentatives de piratage, mis des sites hors ligne au Japon, en Europe et ailleurs, poussé Tokyo à annoncer vendredi une équipe de simulation à base d’IA, et conduit SoftBank à suspendre ses alertes.
La promesse de GMO comporte deux volets : l’indemnisation des pertes, plus 5 000 yens à chaque client, même sans preuve de perte. Le mot « premier » laisse entrevoir d’autres versements, et aucun montant total n’a été avancé. Les conditions de Park24 sont plus strictes : environ 6,6 millions de comptes touchés, mais les 3 000 yens ne vont qu’aux 1,46 million dont les images d’identité ont été consultées puis transmises. Les versements devraient coûter environ 4,4 milliards de yens, avec une perte exceptionnelle de 5,5 milliards comptabilisée cette année.
Park24 ajoute une réserve : les images étaient chiffrées, donc un accès ne signifie pas une lecture immédiate, mais un déchiffrement futur « ne peut pas être totalement exclu ». Yuki Makino juge 3 000 yens « trop bas », avec plus de 90 000 inscriptions. GMO, de son côté, a révélé une demande d’argent assortie d’une menace de divulgation ; elle refuse, coopère avec la police, et demande au gouvernement des mesures de cyberdéfense.
Chez GMO, attribution et ampleur restent inconnues : qui a attaqué, par où l’intrus est entré, et combien de clients ont perdu en trading. Chez Park24, la question ouverte est cryptographique, puisque personne ne peut garantir que des images chiffrées transmises ne seront jamais déchiffrées. Au-delà des deux entreprises, l’incident PHP laisse ses propres lacunes : combien des millions de tentatives ont abouti, quelles organisations ont été compromises plutôt que simplement sondées, et si les fermetures ont rattrapé tous les systèmes.
L’indemnisation transforme une intrusion en une responsabilité chiffrée à l’unité. Multipliez 3 000 yens par 1,46 million de personnes, et la facture atteint 4,4 milliards de yens avant avocats, régulateurs et clients perdus. Le calendrier amplifie le signal, puisque les versements arrivent alors que le gouvernement japonais traite les failles PHP comme un événement d’ampleur nationale, avec une équipe de simulation offensive à base d’IA, une « demande extrêmement urgente » de Sanae Takaichi, et des alertes suspendues pour plus de 30 millions de clients SoftBank. Un précédent est créé : les clients de la prochaine entreprise demanderont pourquoi ils n’ont rien reçu, ou moins, tandis que le CERT-In indien classait les failles critiques le 21 octobre et que les Philippines ordonnaient une correction immédiate.
Sur le plan géopolitique, l’équipe de simulation japonaise marque un changement de doctrine : au lieu de corriger après la divulgation, attaquer ses propres systèmes d’abord. Le ministre de l’Industrie Ryosei Akazawa l’a dit simplement, une attaque peut réussir en passant par un seul trou, tandis que la demande de GMO teste cette frontière. Sur le plan économique, la semaine a repricé le risque en public : GMO en baisse de 11 %, Park24 perdant 5,5 milliards de yens, pour des consommateurs ordinaires. Sur le plan historique, la semaine a compressé les paniques de correctifs : il faut réagir en heures. Sur le plan technologique, la cause est la concentration : PHP fait fonctionner environ 70 % des sites identifiables, de sorte que deux failles notées 9,2, exploitables à distance, sont devenues un événement mondial en une nuit, une boucle que les avertissements de la Banque du Japon sur l’IA suivent déjà de près.
Les assureurs paient d’abord, puis font payer, car les polices seront réécrites autour de ce risque, avec des primes plus élevées et des exclusions pour les failles connues non corrigées. Les petites entreprises et les services publics paient ensuite, et ils en ont le moins les moyens : les fermetures ont touché des municipalités, une application de garde d’enfants, une université et une agence fiscale. Les utilisateurs organisés encaissent ensuite, car le modèle Makino sera copié partout où le forfait semblera faible, et les tribunaux décideront alors ce que vaut un permis divulgué. Les attaquants, enfin, maintiennent en vie l’extorsion : GMO a refusé une demande adossée à une menace de divulgation, mais le refus ne fonctionne que si la divulgation est survivable.
Surveillez d’abord les pertes de GMO : si les 5 000 yens « premiers » augmentent, et la réponse du gouvernement sur la cyberdéfense. Surveillez ensuite l’action Park24, et les résultats annuels, puisqu’un jugement supérieur à 3 000 yens par personne repricerait chaque intrusion similaire. Surveillez surtout la conformité des correctifs, et l’équipe de simulation offensive : l’unité japonaise n’a rien publié, et le parc mondial de PHP comprend toujours des versions qui ne recevront jamais de correctif officiel, de sorte que la prochaine faille découverte par l’IA dira si les opérateurs ont appris à corriger en quelques heures, ou simplement à s’excuser en milliers de yens, une leçon au-delà de Tokyo, comme une cyberattaque antérieure qui a vidé les congélateurs de supermarchés français l’a montré.
L’indemnisation devient la nouvelle divulgation Depuis Washington, Londres et Bruxelles, l’histoire se lit comme un chiffrage : la NSA américaine a exhorté le 21 octobre à corriger immédiatement ou à mettre hors ligne. Les avis européens ont suivi, la Maison-Blanche mobilise les laboratoires d’IA, et le forfait versé à chaque client devient le premier chiffre du marché pour une intrusion.
Tokyo transforme la défense en doctrine Depuis Tokyo, l’histoire se lit comme un État qui monte en première ligne : la Première ministre Sanae Takaichi a qualifié les fermetures de demande extrêmement urgente. Le Bureau national de la cybernétique a approuvé la mise hors ligne des sites non corrigés, une équipe de simulation offensive à base d’IA sondera désormais les systèmes du pays, et Nomura, MUFG, ANA, JR East et des ministères ont suspendu des services en ligne.
La course au correctif atteint les serveurs du Sud global Depuis Delhi et Manille, l’histoire se lit comme une exposition sans capacité égale : le CERT-In indien a publié une note critique le 21 octobre, avertissant d’une exécution de code à distance et d’une compromission complète. L’équipe de réponse philippine a ordonné aux agences, aux opérateurs critiques et aux hébergeurs de corriger immédiatement, en signalant des preuves de concept publiques et des tentatives d’attaque, sans compromission établie, tandis que les petits sites mutualisés dépendent de leurs hébergeurs.
GMO Internet a déclaré qu’elle indemniserait ses clients des pertes liées à l’accès non autorisé à son service de trading de devises, et que chaque client recevrait 5 000 yens, environ 32 dollars, comme premier geste de bonne foi. Ce versement a été annoncé par le directeur général Masatoshi Kumagai dans un billet de blog le dimanche 25 octobre, et le mot premier laisse la place à d’autres versements.
Ce versement va aux quelque 1,46 million d’utilisateurs de Times Car dont les images de pièces d’identité, y compris les permis de conduire, ont été à la fois consultées et transmises à l’extérieur après une intrusion de septembre. Il est payé en espèces ou en chèques-cadeaux. Environ 6,6 millions de comptes ont été touchés au total, mais seuls les utilisateurs dont les documents ont quitté l’entreprise y ont droit.
Deux vulnérabilités critiques de PHP, regroupées sous le nom de php2shell et notées 9,2 en gravité, pouvaient permettre à un attaquant non authentifié d’exécuter du code à distance sur un serveur web. PHP fait fonctionner environ 70 % des sites dont le langage serveur peut être identifié. Des versions corrigées ont été publiées le 21 octobre, et les versions 8.1 et antérieures ne reçoivent aucun correctif officiel.
SoftBank, troisième opérateur mobile du Japon avec plus de 30 millions de clients équipés d’un smartphone, a suspendu son système d’alerte d’urgence vendredi le temps de traiter une vulnérabilité PHP. Ses clients ont donc manqué les avertissements précoces de séismes, d’alertes au tsunami et d’informations de catastrophe par ce canal, même si les avertissements restaient disponibles via des services comme son application Yahoo.
Pas nécessairement. Park24 dit qu’elle réagira au cas par cas si un préjudice réel survient, et un cabinet d’avocats qui organise les utilisateurs concernés juge 3 000 yens trop bas, avec plus de 90 000 personnes inscrites pour une action en justice envisagée. Le versement de GMO est explicitement décrit comme premier, de sorte que d’autres indemnisations pourraient suivre une fois les pertes des clients évaluées.
