GMO Internet Group confirmó el 20 de octubre de 2026 que un programa malicioso fue instalado dentro de algunos entornos de servidores de clientes de Onamae.com Desktop Cloud, exponiendo hasta 26,739 servidores a un posible acceso no autorizado y poniendo las credenciales de cuentas de trading en riesgo directo de compromiso.

El incidente alcanza a uno de los conglomerados de infraestructura de internet más grandes de Japón en una capa particularmente sensible: entornos de escritorio alojados en la nube utilizados por traders minoristas de divisas (FX) y criptomonedas para ejecutar estrategias automatizadas en MetaTrader 4 y MetaTrader 5. Cuando los atacantes comprometen el entorno anfitrión en lugar de la aplicación de trading, el robo de credenciales omite cualquier protección a nivel de aplicación que el usuario haya configurado.

Lo que GMO ha confirmado

Según el anuncio oficial de GMO, la empresa identificó un programa malicioso de terceros instalado en los entornos de servidores de Onamae.com Desktop Cloud. GMO confirmó que clientes reportaron posteriormente operaciones no autorizadas en sus cuentas de trading, y que las credenciales de inicio de sesión almacenadas en esos servidores podrían haber sido vistas por el atacante.

La empresa reportó 26,739 servidores potencialmente afectados en todo el servicio. Esa cifra representa el alcance de exposición potencial, no un conteo confirmado de servidores con acceso no autorizado verificado o adquisición de datos confirmada.

GMO comenzó a suspender todos los servidores del plan Onamae.com Desktop Cloud a las 4:00 JST del 21 de octubre de 2026, describiendo el apagón como una medida preventiva para contener mayores daños. La suspensión total del servicio significa que todos los clientes que ejecutaban bots de trading automatizados o sesiones activas de MetaTrader en la plataforma perdieron acceso simultáneamente.

En una tercera actualización publicada el 23 de octubre (el aviso de alerta de GMO), la empresa declaró que consultó a la policía el 22 de octubre, contrató a un especialista externo en seguridad e inició reportes y consultas con las autoridades regulatorias correspondientes. El método de intrusión, la identidad del atacante y el número confirmado de servidores comprometidos siguen sin revelarse en los documentos oficiales revisados.

Por qué el riesgo a las credenciales de cuentas de trading es distinto

Onamae.com Desktop Cloud es un producto de infraestructura de escritorio virtual. Los traders lo utilizan para mantener instancias de MetaTrader en funcionamiento continuo sin ocupar hardware local. Esa arquitectura significa que las credenciales de cuentas de corredores, plataformas FX y exchanges de criptomonedas se almacenan habitualmente en sesiones de navegador, configuraciones de aplicaciones e historial del portapapeles en el servidor alojado, no solo en el entorno local del trader.

Un atacante con acceso de ejecución a esos entornos de servidores podría recolectar credenciales almacenadas de forma pasiva, sin activar ninguna alerta a nivel del corredor. La revelación de GMO de que clientes reportaron operaciones no autorizadas en sus cuentas de trading sugiere que la extracción de credenciales no fue meramente teórica en al menos algunos casos.

La guía de contención de GMO enfatizó un matiz que distingue este incidente de un escenario estándar de restablecimiento de contraseña: cambiar la contraseña de un corredor no termina de inmediato una sesión autenticada existente. Se aconsejó a los clientes cerrar explícitamente todas las sesiones activas a través de la interfaz de su corredor, además de cambiar las credenciales, porque un atacante que posea un token de sesión válido puede seguir operando incluso después de que la contraseña sea cambiada. Este riesgo de persistencia de sesión es el detalle más crítico a nivel operativo para los usuarios afectados, y está ausente de gran parte de la cobertura secundaria del incidente.

La Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. (CISA) ofrece orientación directamente relevante. CISA indica que la autenticación multifactor agrega una segunda verificación de identidad de modo que "incluso si un usuario no autorizado roba su contraseña, no podrá cumplir con el requisito del segundo paso para acceder a sus cuentas", según la página de guía sobre MFA de la agencia. Para los traders cuyas credenciales estaban almacenadas en servidores afectados sin MFA configurado a nivel del corredor, un simple cambio de credenciales ofrece garantías limitadas.

Alcance: exposición potencial frente a compromiso confirmado

La cifra de 26,739 servidores requiere un encuadre cuidadoso. El informe del 23 de octubre de GMO aclaró explícitamente que se trata de un conteo de exposición potencial, es decir, servidores que estaban activos dentro del entorno del servicio afectado durante la ventana de compromiso, no servidores donde el acceso no autorizado o la adquisición de datos hayan sido confirmados individualmente. La distinción importa para evaluar el radio real del impacto a medida que avanza la investigación.

Ningún anuncio oficial revisado hasta la fecha identifica el número de corredoras de FX cuyos clientes fueron afectados, el número total de cuentas de trading en riesgo, pérdidas monetarias confirmadas o un cronograma de restauración del servicio. Un reporte de medios cripto citó demandas de extorsión e impactos en más de 70 corredoras, pero esas afirmaciones no aparecen en los documentos propios de GMO y deben tratarse como no verificadas hasta que la empresa o las autoridades policiales las confirmen.

El incidente tiene paralelos estructurales con intrusiones de cadena de suministro dirigidas a infraestructura compartida. Cuando un solo proveedor de escritorios en la nube atiende a miles de clientes de trading, un único implant malicioso puede lograr una exposición horizontal de credenciales en un amplio conjunto de corredoras y exchanges simultáneamente, multiplicando la superficie de ataque efectiva mucho más allá de lo que alcanzarían intrusiones directas a corredoras. El vector de ataque del servidor malicioso de Electrum demostró una dinámica multiplicadora similar, en la que el compromiso a nivel de infraestructura produjo pérdidas de credenciales y fondos en una base de usuarios distribuida.

Qué vigilar mientras continúa la investigación

GMO no ha proporcionado un cronograma de restauración para los servicios de Onamae.com Desktop Cloud. Los clientes con estrategias activas de MetaTrader o posiciones FX abiertas en la plataforma siguen sin acceso tras la suspensión del 21 de octubre. La contratación del especialista externo en seguridad y la consulta a la policía sugieren que un proceso forense formal está en curso, pero la empresa no ha indicado cuándo se publicarán los hallazgos.

Tres vacíos de divulgación valen la pena seguir en las próximas actualizaciones de GMO: primero, si el programa malicioso fue un implant dirigido o malware oportunista; segundo, el vector confirmado de acceso inicial; y tercero, si alguna corredora o custodio específico ha sido notificado individualmente sobre exposición confirmada de credenciales que afecte las cuentas de sus clientes.

Para los traders que tenían sesiones activas en la plataforma, la superficie de riesgo inmediata va más allá de las cuentas FX. Los entornos de escritorio virtual utilizados para trading frecuentemente almacenan claves API para conexiones a exchanges de criptomonedas, configuraciones de software de wallets y credenciales guardadas en el navegador para herramientas de portafolio on-chain. Con Bitcoin probando el nivel de $80,000 en medio de una volatilidad elevada del mercado, cualquier retraso en la terminación de sesiones y la rotación de credenciales en las cuentas cripto conectadas amplía la ventana de exposición. El Índice de Miedo y Codicia se situó en un nivel neutral de 50, pero las posiciones de abiertas en infraestructura comprometida conllevan un riesgo a nivel de protocolo completamente independiente de la dirección del mercado.

Hasta que GMO publique conteos confirmados de compromiso y reanude el servicio, los usuarios afectados deben tratar todas las credenciales almacenadas en los servidores de Onamae.com Desktop Cloud como comprometidas, terminar las sesiones de corredores y exchanges independientemente de cualquier restablecimiento de contraseña, y habilitar MFA en cada cuenta a la que el entorno del servidor tuvo acceso.