✨︎ Resumen (TL;DR):
- GMO detectó un programa malicioso en servidores de Onamae.com Desktop Cloud y suspendió el servicio en todos sus planes.
- 26,739 servidores podían estar expuestos, pero la cifra no representa intrusiones confirmadas ni personas afectadas.
- OANDA Japan reportó operaciones no reconocidas y GMO anunció 5,000 yenes para cada cliente, además de posibles compensaciones.
GMO Internet confirmó que un ciberataque contra Onamae.com Desktop Cloud expuso información de clientes. OANDA Japan informó que terceros habían accedido a cuentas de algunos clientes y realizado operaciones no reconocidas, mientras GMO investiga si se obtuvieron y usaron credenciales de negociación. Kyodo News señaló un posible vínculo con un grupo asociado con Corea del Norte, pero la autoría no está confirmada públicamente.
El ataque alcanzó escritorios usados para hacer trading
Onamae.com Desktop Cloud es un servicio de escritorios remotos que algunos clientes usaban para ejecutar programas de negociación de divisas. GMO Internet detectó un programa malicioso en servidores de algunos usuarios el 20 de octubre de 2026 y comenzó a suspender el servicio en todos sus planes el 21 de octubre de 2026.
En su reporte del 22 de octubre, GMO indicó que 26,739 servidores podían estar afectados. El número describe entornos potencialmente expuestos. No equivale a servidores con intrusiones confirmadas ni al total de personas afectadas.
Después, GMO confirmó que se había extraído información de clientes y dijo que investigaba si también se habían obtenido y utilizado credenciales de sus cuentas de negociación.
OANDA Japan informó el 26 de octubre que terceros habían accedido a cuentas de algunos clientes y realizado operaciones con credenciales posiblemente filtradas. La corredora atribuyó el incidente a información almacenada en servidores externos y dijo que no había detectado una intrusión en sus sistemas centrales.
GMO ofrece un pago, con límites para las pérdidas
GMO anunció un pago de 5,000 yenes para cada cliente del servicio, incluso si no sufrió pérdidas. Por separado, prometió compensar las pérdidas realizadas y las comisiones de operaciones que su investigación confirme como no autorizadas y vinculadas con el ataque.
La cobertura excluye, entre otros conceptos, las pérdidas causadas por fluctuaciones del mercado y las ganancias que los clientes habrían podido obtener. GMO prevé comunicar el procedimiento y el calendario de pagos a más tardar el 6 de noviembre.
45,030 personas pertenecen a otra filtración
La cifra de 45,030 personas no es un recuento de víctimas del ataque a Desktop Cloud. GMO GlobalSign la publicó al actualizar el alcance de una filtración en Trust Login, su servicio de gestión de identidades, el 30 de octubre.
Los archivos obtenidos por terceros contenían datos de 45,030 personas de 2,492 empresas. GlobalSign detectó el problema en septiembre, antes de que GMO Internet iniciara su investigación sobre el ataque a Desktop Cloud.
Una configuración incorrecta dejó los archivos disponibles desde 2017 hasta septiembre de 2026. Los registros permitieron confirmar que terceros obtuvieron información a partir de junio de 2021. No había registros anteriores para determinar si también accedieron antes.
Los comunicados consultados no establecen un vínculo entre esa filtración y el ataque a los escritorios. Por eso, ambas cifras y ambos incidentes deben mantenerse separados.
Las pistas sobre Corea del Norte no son una atribución
Kyodo News informó, con base en fuentes cercanas al caso, que un análisis del grupo GMO apuntaba a la posible participación de un grupo vinculado con Corea del Norte.
La agencia examinó junto con especialistas los accesos a una página que reivindicaba el ataque. 5 direcciones IP coincidían con otras utilizadas previamente por un grupo norcoreano. Esa coincidencia, por sí sola, no identifica a quien ejecutó el ataque.
Un directivo de GMO dijo a TBS que la empresa investiga esa posibilidad. Kyodo también reportó que un sitio que invitaba a las personas afectadas a compartir información se registró el 19 de octubre, antes del anuncio público del incidente.
Ese sitio presentaba similitudes de diseño y código con la página de reivindicación. Los especialistas consultados por Kyodo consideraron posible que el atacante lo hubiera creado para obtener información de las personas afectadas. La posibilidad sigue bajo examen.
GMO rechazó las exigencias de pago de quien decía estar detrás del ataque. Su presidente, Masatoshi Kumagai, tiene prevista una conferencia de prensa el 2 de noviembre en Japón para abordar el incidente y la respuesta de la compañía.
La investigación aún debe aclarar si las credenciales de negociación se obtuvieron y utilizaron, qué operaciones pueden vincularse con el ataque y quién lo ejecutó. Mientras tanto, GMO mantiene separada la compensación por pérdidas confirmadas del pago general de 5,000 yenes, y la cifra de 45,030 personas corresponde a Trust Login, no a los escritorios en la nube.
