GMO Internet Group bestätigte am 20. Oktober 2026, dass in einigen Kundenumgebungen von Onamae.com Desktop Cloud ein Schadprogramm installiert wurde, wodurch bis zu 26.739 Server potenziell unbefugten Zugriffen ausgesetzt sind und Zugangsdaten für Handelskonten in direkter Gefahr stehen.

Der Vorfall betrifft einen der größten Internet-Infrastrukturkonzerne Japans auf einer besonders sensiblen Ebene: Cloud-gehostete Desktop-Umgebungen, die von privaten Devisen- (FX) und Kryptohändlern genutzt werden, um automatisierte Strategien auf MetaTrader 4 und MetaTrader 5 auszuführen. Wenn Angreifer die Host-Umgebung statt der Handelsanwendung selbst kompromittieren, umgeht der Diebstahl von Zugangsdaten sämtliche vom Nutzer konfigurierten Schutzmaßnahmen auf Anwendungsebene.

Was GMO bestätigt hat

Laut offizieller Mitteilung von GMO identifizierte das Unternehmen ein Schadprogramm eines Dritten, das in Serverumgebungen von Onamae.com Desktop Cloud installiert worden war. GMO bestätigte, dass Kunden anschließend unbefugte Vorgänge auf ihren Handelskonten meldeten und dass auf diesen Servern gespeicherte Login-Daten für Handelskonten möglicherweise vom Angreifer eingesehen wurden.

Das Unternehmen meldete 26.739 potenziell betroffene Server über den gesamten Dienst. Diese Zahl bezeichnet den Umfang der potenziellen Exposition – nicht die Anzahl von Servern mit bestätigtem unbefugtem Zugriff oder bestätigtem Datenabfluss.

GMO begann am 21. Oktober 2026 um 4:00 Uhr JST mit der Sperrung sämtlicher Server der Onamae.com Desktop Cloud-Pläne und bezeichnete die Abschaltung als vorbeugende Maßnahme zur Eindämmung weiterer Schäden. Die vollständige Dienstsuspension bedeutet, dass jeder Kunde, der automatisierte Trading-Bots oder aktive MetaTrader-Sitzungen auf der Plattform betrieb, gleichzeitig den Zugriff verlor.

In einem dritten Update vom 23. Oktober (Warnhinweis von GMO) teilte das Unternehmen mit, dass es am 22. Oktober die Polizei konsultiert, einen externen Sicherheitsspezialisten hinzugezogen und Meldungen sowie Abstimmungen mit den zuständigen Aufsichtsbehörden veranlasst habe. Die Methode des Eindringens, die Identität des Angreifers und die bestätigte Zahl kompromittierter Server bleiben in den geprüften offiziellen Unterlagen nicht offengelegt.

Warum das Risiko für Zugangsdaten von Handelskonten besonders ist

Onamae.com Desktop Cloud ist ein Produkt für virtuelle Desktop-Infrastrukturen. Händler nutzen es, umTrader-Instanzen dauerhaft laufen zu lassen, ohne lokale Hardware zu binden. Diese Architektur bedeutet, dass Zugangsdaten für Broker-Konten, FX-Plattformen und Kryptobörsen regelmäßig in Browser-Sitzungen, Anwendungskonfigurationen und der Zwischenablage auf dem gehosteten Server gespeichert werden – nicht nur in der lokalen Umgebung des Händlers.

Ein Angreifer mit Ausführungszugriff auf diese Serverumgebungen könnte gespeicherte Zugangsdaten passiv einsammeln, ohne auf Broker-Ebene Alarm auszulösen. Die Mitteilung von GMO, wonach Kunden unbefugte Vorgänge auf ihren Handelskonten meldeten, deutet darauf hin, dass das Auslesen von Zugangsdaten zumindest in einigen Fällen nicht bloß theoretisch war.

GMOs Hinweise zur Schadensbegrenzung betonten einen Nuance, die diesen Vorfall von einem üblichen Passwort-Reset-Szenario unterscheidet: Das Ändern eines Broker-Passworts beendet keine bereits bestehende authentifizierte Sitzung. Kunden wurden empfohlen, neben dem Wechsel der Zugangsdaten sämtliche aktiven Sitzungen explizit über die Schnittstelle ihres Brokers abzumelden, da ein Angreifer mit einem gültigen Sitzungstoken auch nach dem Passwortwechsel weiterarbeiten kann. Dieses Risiko persistenter Sitzungen ist das operativ kritischste Detail für betroffene Nutzer und fehlt in viel der sekundären Berichterstattung zum Vorfall.

Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) bietet hierzu direkt einschlägige Hinweise. Nach Angaben der Behörde auf ihrer MFA-Ratgeberseite ergänzt die Multi-Faktor-Authentifizierung eine zweite Identitätsprüfung, sodass „selbst wenn ein unbefugter Nutzer Ihr Passwort stiehlt, er die Anforderung des zweiten Schritts für den Zugriff auf Ihre Konten nicht erfüllen kann.“ Für Händler, deren Zugangsdaten auf betroffenen Servern ohne auf Broker-Ebene konfigurierte MFA gespeichert waren, bietet ein alleiniger Wechsel der Zugangsdaten nur begrenzte Sicherheit.

Umfang: Potenzielle Exposition gegenüber bestätigter Kompromittierung

Die Zahl von 26.739 Servern erfordert eine sorgfältige Einordnung. GMOs Bericht vom 23. Oktober stellte ausdrücklich klar, dass es sich um eine Zahl potenzieller Exposition handelt – also Server, die während des Kompromittierungszeitraums in der betroffenen Dienstumgebung aktiv waren – und nicht um Server, bei denen unbefugter Zugriff oder Datenabfluss individuell bestätigt wurde. Der Unterschied ist wichtig, um den tatsächlichen Wirkungsbereich im Verlauf der Untersuchung einzuschätzen.

Keine der bislang geprüften offiziellen Mitteilungen nennt die Zahl der betroffenen FX-Broker, die Gesamtzahl der gefährdeten Handelskonten, bestätigte finanzielle Verluste oder einen Zeitplan zur Wiederherstellung des Dienstes. Ein Krypto-Medienbericht bezog sich auf Erpressungsforderungen und Auswirkungen auf mehr als 70 Broker; diese Angaben erscheinen jedoch nicht in GMOs eigenen Unterlagen und sollten als unbestätigt gelten, bis sie vom Unternehmen oder den Strafverfolgungsbehörden bestätigt werden.

Der Vorfall weist strukturelle Parallelen zu Supply-Chain-Angriffen auf gemeinsam genutzte Infrastruktur auf. Wenn ein einziger Cloud-Desktop-Anbieter Tausende Handelskunden bedient, kann ein einziges Schadprogramm gleichzeitig eine horizontale Exposition von Zugangsdaten über ein breites Spektrum von Brokern und Börsen hinweg bewirken und die wirksame Angriffsfläche weit über das hinaus vergrößern, was direkte Angriffe auf Broker erreichen. Der Angriffsvektor über bösartige Server bei Electrum zeigte eine ähnliche Multiplikatorwirkung, bei der die Kompromittierung der Infrastrukturebene zu Verlusten von Zugangsdaten und Geldern bei einer verteilten Nutzerschaft führte.

Was im Verlauf der Untersuchung zu beobachten ist

GMO hat keinen Zeitplan zur Wiederherstellung der Onamae.com Desktop Cloud-Dienste genannt. Kunden mit aktiven MetaTrader-Strategien oder offenen FX-Positionen auf der Plattform bleiben nach der Sperrung vom 21. Oktober ausgesperrt. Die Hinzuziehung eines externen Sicherheitsspezialisten und die Konsultation der Polizei deuten auf einen formellen forensischen Prozess hin, doch das Unternehmen hat nicht angegeben, wann Ergebnisse veröffentlicht werden.

Drei Offenlegungslücken sind in künftigen GMO-Updates zu verfolgen: erstens, ob das Schadprogramm eine gezielte Einführung oder opportunistische Malware war; zweitens, der bestätigte Vektor des ersten Zugriffs; und drittens, ob einzelne Broker oder Verwahrstellen über bestätigte Exposition von Zugangsdaten ihrer Kundenkonten informiert wurden.

Für Händler, die aktive Sitzungen auf der Plattform hatten, reicht die unmittelbare Risikofläche über FX-Konten hinaus. Für den Handel genutzte virtuelle Desktop-Umgebungen speichern häufig API-Schlüssel für Kryptobörsen-Anbindungen, Konfigurationen von Wallet-Software und im Browser gespeicherte Zugangsdaten für On-Chain-Portfolio-Tools. Während Bitcoin angesichts erhöhter Marktvolatilität die Marke von 80.000 USD testet, verlängert jede Verzögerung bei der Sitzungsbeendigung und dem Wechsel der Zugangsdaten verbundener Kryptokonten das Expositionsfenster. Der Fear and Greed Index stand bei neutralen 50, doch offene Positionen auf kompromittierter Infrastruktur tragen ein risikobezogenes Gefahrenpotenzial, das unabhängig von der Marktrichtung ist.

Bis GMO bestätigte Kompromittierungszahlen veröffentlicht und den Dienst wieder aufnimmt, sollten betroffene Nutzer alle auf Onamae.com Desktop Cloud-Servern gespeicherten Zugangsdaten als kompromittiert behandeln, Broker- und Börsensitzungen unabhängig von einem Passwort-Reset beenden und die MFA für jedes Konto aktivieren, auf das die Serverumgebung Zugriff hatte.