GMO Internet Group bevestigde op 20 oktober 2026 dat een kwaadaardig programma was geïnstalleerd in sommige klantomgevingen van Onamae.com Desktop Cloud, waardoor tot 26.739 servers mogelijk zijn blootgesteld aan ongeautoriseerde toegang en inloggegevens van handelsrechten direct dreigen te worden gecompromitteerd.

Het incident raakt een van de grootste internetinfrastructuurconglomeraten van Japan op een bijzonder gevoelige laag: cloudgehoste desktopomgevingen die worden gebruikt door retail-handelaren in valuta (FX) en cryptocurrency om geautomatiseerde strategieën te draaien op MetaTrader 4 en MetaTrader 5. Wanneer aanvallers de hostomgeving compromitteren in plaats van de handelsapplicatie zelf, omzeilt diefstal van inloggegevens alle beveiliging op applicatieniveau die de gebruiker heeft geconfigureerd.

Wat GMO heeft bevestigd

Volgens de officiële openbaarmaking van GMO heeft het bedrijf een kwaadaardig programma van derden geïdentificeerd dat was geïnstalleerd in de serveromgevingen van Onamae.com Desktop Cloud. GMO bevestigde dat klanten vervolgens ongeautoriseerde handelingen op hun handelsrechten hebben gemeld en dat inloggegevens van handelsrechten die op die servers waren opgeslagen, mogelijk door de aanvaller zijn bekeken.

Het bedrijf meldde 26.739 potentieel getroffen servers binnen de dienst. Dat cijfer vertegenwoordigt de potentiële blootstellingsomvang — geen bevestigd aantal servers met geverifieerde ongeautoriseerde toegang of bevestigde gegevensverwerving.

GMO begon op 21 oktober 2026 om 4:00 JST alle servers van het Onamae.com Desktop Cloud-abonnement te schorsen, en omschreef de stillegging als een preventieve maatregel om verdere schade te beperken. De volledige schorsing betekent dat elke klant die geautomatiseerde handelsbots of actieve MetaTrader-sessies op het platform draaide, tegelijkertijd de toegang verloor.

In een derde update gepubliceerd op 23 oktober (de waarschuwingsing van GMO) verklaarde het bedrijf dat het op 22 oktober politie had geraadpleegd, een externe securityspecialist had ingeschakeld en rapporten en overleg met relevante toezichthouders was gestart. De inbraakmethode, de identiteit van de aanvaller en het bevestigde aantal gecompromitteerde servers blijven onbekend in de officiële documenten die zijn bekeken.

Waarom het risico op handelsrechten-inloggegevens onderscheidend is

Onamae.com Desktop Cloud is een virtual desktop infrastructure-product. Handelaren gebruiken het om MetaTrader-instanties continu te laten draaien zonder lokale hardware te bezetten. Die architectuur betekent dat inloggegevens voor makelaarsrekeningen, FX-platforms en crypto-exchanges standaard worden opgeslagen in browsersessies, applicatieconfiguraties en klembordgeschiedenis op de gehoste server — niet alleen in de lokale omgeving van de handelaar.

Een aanvaller met uitvoeringstoegang tot die serveromgevingen kon opgeslagen inloggegevens passief oogsten, zonder waarschuwingen op makelaarsniveau te activeren. GMO's openbaarmaking dat klanten ongeautoriseerde handelingen op hun handelsrechten meldden, suggereert dat het extraheren van inloggegevens in ten minste sommige gevallen niet louter theoretisch was.

GMO's beheersingsadvies benadrukte een nuance die dit incident onderscheidt van een standaard scenario voor wachtwoordherstel: het wijzigen van een makelaarswachtwoord beëindigt niet onmiddellijk een bestaande geauthenticeerde sessie. Klanten werd geadviseerd om naast het wijzigen van inloggegevens expliciet alle actieve sessies uit te loggen via de interface van hun makelaar, omdat een aanvaller met een geldige sessietoken kan blijven opereren, zelfs nadat het wachtwoord is gewijzigd. Dit risico van sessiepersistentie is het meest operationeel kritieke detail voor getroffen gebruikers, en het ontbreekt in veel secundaire berichtgeving over het incident.

Het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) biedt direct relevante richtlijnen. CISA stelt dat multi-factor authenticatie een tweede identiteitscontrole toevoegt, zodat "zelfs als een ongeautoriseerde gebruiker uw wachtwoord steelt, zij niet aan de tweede stap kunnen voldoen om toegang te krijgen tot uw rekeningen", volgens de MFA-richtlijnenpagina van het agentschap. Voor handelaren wiens inloggegevens op getroffen servers waren opgeslagen zonder MFA op makelaarsniveau, biedt het wijzigen van inloggegevens alleen beperkte zekerheid.

Omvang: potentiële blootstelling versus bevestigde compromittering

Het cijfer van 26.739 servers vraagt om zorgvuldige duiding. GMO's rapport van 23 oktober verduidelijkte expliciet dat het een telling van potentiële blootstelling betreft, wat betekent servers die actief waren binnen de getroffen serviceomgeving tijdens de compromitteringsperiode — geen servers waar ongeautoriseerde toegang of gegevensverwerving individueel is bevestigd. Dit onders is van belang voor het beoordelen van de werkelijke impactradius naarmate het onderzoek vordert.

Geen enkele tot nu toe bekeken officiële openbaarmaking identificeert het aantal FX-makelaars waarvan klanten zijn getroffen, het totale aantal risico lopende handelsrekeningen, bevestigde geldelijke verliezen of een tijdlijn voor herstel van de dienst. Eén crypto-mediabericht noemde afpersings demands en impact bij meer dan 70 makelaars, maar die beweringen komen niet voor in GMO's eigen documenten en moeten als ongeverifieerd worden beschouwd totdat ze door het bedrijf of de politie zijn bevestigd.

Het incident heeft structurele parallellen met supply-chain-inbraken op gedeelde infrastructuur. Wanneer één cloud-desktopprovider duizenden handelsklanten bedient, kan één kwaadaardige implant horizontale blootstelling van inloggegevens bereiken bij een breed scala aan makelaars en exchanges tegelijk, waardoor het effectieve aanvalsoppervlak veel groter wordt dan directe inbraken bij makelaars zouden bereiken. De aanvalsvector van de kwaadaardige Electrum-server liet een vergelijkbaar vermenigvuldigingseffect zien, waarbij compromittering op infrastructuurniveau leidde tot verlies van inloggegevens en fondsen bij een gedistribueerde gebruikersbasis.

Waar op te letzen naarmate het onderzoek voortduurt

GMO heeft geen tijdlijn verstrekt voor het herstel van Onamae.com Desktop Cloud-diensten. Klanten met actieve MetaTrader-strategieën of open FX-posities op het platform blijven buitengesloten na de schorsing van 21 oktober. De inschakeling van een externe securityspecialist en het politieoverleg wijzen op een formeel forensisch onderzoek, maar het bedrijf heeft niet aangegeven wanneer bevindingen worden gepubliceerd.

Drie openbaarmakingslekken zijn het volgen waard in toekomstige updates van GMO: ten eerste of het kwaadaardige programma een gerichte implant was of opportunistische malware; ten tweede de bevestigde aanvalsvector voor initiële toegang; en ten derde of specifieke makelaars of bewaarders afzonderlijk zijn geïnformeerd over bevestigde blootstelling van inloggegevens die hun klantrekeningen raken.

Voor handelaren die actieve sessies op het platform hadden, strekt het onmiddellijke risicoppervlak zich uit tot verder dan FX-rekeningen. Virtuele desktopomgevingen voor handel slaan vaak API-sleutels op voor crypto-exchangeverbindingen, walletsoftwareconfiguraties en in browsers opgeslagen inloggegevens voor on-chain portefeuillehulpmiddelen. Nu Bitcoin het niveau van $80.000 test te midden van verhoogde marktvolatiliteit, vergroot elke vertraging in sessiebeëindiging en het roteren van inloggegevens over verbonden crypto-rekeningen het blootstellingsvenster. De Fear and Greed Index stond op een neutrale 50, maar open handelsposities op gecompromitteerde infrastructuur dragen protocolniveau-risico dat volledig onafhankelijk is van de marktrichting.

Totdat GMO bevestigde aantallen compromitteringen publiceert en de dienst hervat, zouden getroffen gebruikers alle inloggegevens die zijn opgeslagen op Onamae.com Desktop Cloud-servers als gecompromitteerd moeten behandelen, makelaars- en exchange-sessies onafhankelijk van wachtwoordherstel moeten beëindigen en MFA moeten inschakelen op elke rekening waartoe de serveromgeving toegang had.