GMO Internet Group ha confermato il 20 ottobre 2026 che un programma dannoso era stato installato all'interno di alcuni ambienti server dei clienti di Onamae.com Desktop Cloud, esponendo fino a 26.739 server a un potenziale accesso non autorizzato e mettendo direttamente a rischio le credenziali dei conti di trading.

L'incidente riguarda uno dei maggiori conglomerati giapponesi di infrastrutture internet in un livello particolarmente sensibile: ambienti desktop ospitati nel cloud utilizzati da trader retail di FX (divisa) e criptovalute per eseguire strategie automatizzate su MetaTrader 4 e MetaTrader 5. Quando gli aggressori compromettono l'ambiente host anziché l'applicazione di trading stessa, il furto di credenziali aggira qualsiasi protezione a livello applicativo configurata dall'utente.

Cosa ha confermato GMO

Secondo la comunicazione ufficiale di GMO, la società ha individuato un programma dannoso di terze parti installato negli ambienti server di Onamae.com Desktop Cloud. GMO ha confermato che i clienti hanno successivamente segnalato operazioni non autorizzate sui propri conti di trading e che le credenziali di accesso ai conti archiviate su tali server potrebbero essere state visualizzate dall'aggressore.

La società ha segnalato 26.739 server potenzialmente interessati nell'ambito del servizio. Tale cifra rappresenta l'ambito di potenziale esposizione — non un conteggio confermato di server con accesso non autorizzato verificato o acquisizione di dati confermata.

GMO ha iniziato a sospendere tutti i server dei piani Onamae.com Desktop Cloud alle 4:00 JST del 21 ottobre 2026, descrivendo lo spegnimento come una misura preventiva per contenere ulteriori danni. La sospensione totale del servizio implica che ogni cliente che gestiva bot di trading automatizzati o sessioni MetaTrader attive sulla piattaforma ha perso l'accesso contemporaneamente.

In un terzo aggiornamento pubblicato il 23 ottobre (l'avviso di GMO), la società ha dichiarato di essersi consultata con la polizia il 22 ottobre, di aver incaricato uno specialista esterno di sicurezza e di aver avviato segnalazioni e consultazioni con le autorità di regolamentazione competenti. Il metodo di intrusione, l'identità dell'aggressore e il numero confermato di server compromessi restano non divulgati nei documenti ufficiali esaminati.

Perché il rischio per le credenziali dei conti di trading è diverso

Onamae.com Desktop Cloud è un prodotto di infrastruttura desktop virtuale. I trader lo utilizzano mantenere in esecuzione continua le istanze MetaTrader senza impegnare l'hardware locale. Questa architettura fa sì che le credenziali dei conti presso i broker, delle piattaforme FX e degli exchange di criptovalute siano abitualmente archiviate nelle sessioni del browser, nelle configurazioni delle applicazioni e nella cronologia degli appunti sul server ospitato — non solo nell'ambiente locale del trader.

Un aggressore con accesso in esecuzione a tali ambienti server potrebbe raccogliere passivamente le credenziali archiviate, senza attivare alcun allarme a livello di broker. La divulgazione di GMO secondo cui i clienti hanno segnalato operazioni non autorizzate sui conti di trading suggerisce che l'estrazione delle credenziali non sia stata meramente teorica almeno in alcuni casi.

Le indicazioni di contenimento di GMO hanno sottolineato una sfumatura che distingue questo incidente da un normale scenario di reimpostazione della password: la modifica della password di un broker non termina immediatamente una sessione autenticata esistente. Ai clienti è stato consigliato di disconnettersi esplicitamente da tutte le sessioni attive tramite l'interfaccia del proprio broker, oltre a modificare le credenziali, poiché un aggressore in possesso di un token di sessione valido può continuare a operare anche dopo la rotazione della password. Questo rischio di persistenza della sessione è il dettaglio più critico dal punto di vista operativo per gli utenti coinvolti, ed è assente da gran parte della copertura secondaria dell'incidente.

L'agenzia statunitense per la sicurezza informatica e delle infrastrutture (CISA) offre indicazioni direttamente pertinenti. La CISA dichiara che l'autenticazione a più fattori aggiunge un secondo controllo di identità, tale che "anche se un utente non autorizzato ruba la tua password, non sarà in grado di soddisfare il requisito del secondo passaggio per accedere ai tuoi account", secondo la pagina di guida MFA dell'agenzia. Per i trader le cui credenziali erano archiviate sui server interessati senza MFA configurato a livello di broker, la sola modifica delle credenziali offre un'assicurazione limitata.

Ambito: esposizione potenziale contro compromissione confermata

La cifra di 26.739 server merita un'inquadratura attenta. Il rapporto di GMO del 23 ottobre ha chiarito esplicitamente che si tratta di un conteggio di esposizione potenziale, ossia server attivi nell'ambiente di servizio interessato durante la finestra della compromissione — non server in cui l'accesso non autorizzato o l'acquisizione di dati sia stata confermata singolarmente. La distinzione è importante per valutare il raggio d'azione effettivo man mano che l'indagine avanza.

Nessuna divulgazione ufficiale esaminata finora identifica il numero di broker FX i cui clienti sono stati coinvolti, il numero totale di conti di trading a rischio, le perdite monetarie confermate o un calendario di ripristino del servizio. Un rapporto di media crypto ha citato richieste di estorsione e ripercussioni su oltre 70 broker, ma tali affermazioni non compaiono nei documenti stessi di GMO e devono essere considerate non verificate fino a conferma della società o delle forze dell'ordine.

L'incidente presenta paralleli strutturali con le intrusioni supply-chain mirate a infrastrutture condivise. Quando un unico fornitore di desktop cloud serve migliaia di clienti di trading, un singolo implant dannoso può ottenere un'esposizione orizzontale delle credenziali su un ampio insieme di broker ed exchange contemporaneamente, moltiplicando la superficie di attacco effettiva ben oltre quanto raggiungerebbero intrusioni dirette ai broker. Il vettore di attacco del server dannoso di Electrum ha dimostrato una dinamica moltiplicativa simile, in cui la compromissione a livello di infrastruttura ha prodotto perdite di credenziali e fondi su una base di utenti distribuita.

Cosa monitorare mentre l'indagine prosegue

MO non ha fornito un calendario di ripristino per i servizi Onamae.com Desktop Cloud. I clienti con strategie MetaTrader attive o posizioni FX aperte sulla piattaforma restano esclusi in seguito alla sospensione del 21 ottobre. L'incarico allo specialista esterno di sicurezza e la consultazione con la polizia suggeriscono che è in corso un formale processo forense, ma la società non ha indicato quando saranno pubblicati i risultati.

Tre lacune divulgative meritano di essere seguite nei successivi aggiornamenti di GMO: in primo luogo, se il programma dannoso fosse un implant mirato o un malware opportunistico; in secondo luogo, il vettore confermato dell'accesso iniziale; e in terzo luogo, se specifici broker o custodi siano stati singolarmente informati di un'esposizione confermata delle credenziali che riguarda i conti dei loro clienti.

Per i trader che avevano sessioni attive sulla piattaforma, la superficie di rischio immediata va oltre i conti FX. Gli ambienti desktop virtuali utilizzati per il trading spesso archiviano chiavi API per le connessioni agli exchange di criptovalute, configurazioni di software per wallet e credenziali salvate nel browser per strumenti di portafoglio on-chain. Con Bitcoin che testa il livello di 80.000 dollari in un contesto di volatilità elevata del mercato, qualsiasi ritardo nella chiusura delle sessioni e nella rotazione delle credenziali tra i conti crypto collegati amplia la finestra di esposizione. Il Fear and Greed Index si trova su un livello neutrale di 50, ma le posizioni di trading aperte su infrastrutture compromesse comportano un rischio a livello di protocollo del tutto indipendente dalla direzione del mercato.

Finché GMO non pubblicherà i conteggi confermati delle compromissioni e non ripristinerà il servizio, gli utenti coinvolti dovrebbero trattare tutte le credenziali archiviate sui server Onamae.com Desktop Cloud come compromesse, chiudere le sessioni presso broker ed exchange indipendentemente da qualsiasi reimpostazione della password e attivare l'MFA su ogni conto a cui l'ambiente server aveva accesso.