GMO Internet Group potwierdziło 20 października 2026 r., że w niektórych środowiskach serwerowych klientów usługi Onamae.com Desktop Cloud zainstalowano złośliwy program, co naraziło do 26 739 serwerów na potencjalny nieautoryzowany dostęp i bezpośrednio wystawiło na ryzyko kompromitacji dane logowania do kont handlowych.

Incydent dotyka jednego z największych japońskich konglomeratów infrastruktury internetowej na szczególnie wrażliwej warstwie: chmurowych środowisk pulpitowych wykorzystywanych przez detalicznych traderów walutowych (FX) i kryptowalut do uruchamiania strategii automatycznych na MetaTrader 4 i MetaTrader 5. Gdy atakujący kompromitują środowisko hosta, a nie samą aplikację handlową, kradzież danych logowania omija wszelkie zabezpieczenia warstwy aplikacji skonfigurowane przez użytkownika.

Co GMO potwierdziło

Zgodnie z oficjalnym oświadczeniem GMO firma zidentyfikowała zewnętrzny złośliwy program zainstalowany w środowiskach serwerowych Onamae.com Desktop Cloud. GMO potwierdziło, że klienci następnie zgłaszali nieautoryzowane operacje na swoich kontach handlowych, a dane logowania do kont przechowywane na tych serwerach mogły zostać wyświetlone przez atakującego.

Firma zgłosiła 26 739 potencjalnie dotkniętych serwerów w ramach usługi. Liczba ta odzwierciedla potencjalny zakres ekspozycji — a nie potwierdzoną liczbę serwerów z zweryfikowanym nieautoryzowanym dostępem lub potwierdzonym pozyskaniem danych.

GMO rozpoczęło zawieszanie wszystkich serwerów w planach Onamae.com Desktop Cloud 21 października 2026 r. o 4:00 JST, opisując wyłączenie jako środek zapobiegawczy mający ograniczyć dalsze szkody. Pełne zawieszenie usługi oznacza, że każdy klient uruchamiający automatyczne boty handlowe lub aktywne sesje MetaTrader na platformie utracił do niej dostęp jednocześnie.

W trzeciej aktualizacji opublikowanej 23 października (powiadomienie GMO) firma oświadczyła, że 22 października skonsultowała się z policją, zaangażowała zewnętrznego specjalistę ds. bezpieczeństwa oraz rozpoczęła zgłoszenia i konsult z właściwymi organami regulacyjnymi. Metoda włamania, tożsamość atakującego oraz potwierdzona liczba skompromitowanych serwerów pozostają nieujawnione w przejrzanych oficjalnych zgłoszeniach.

Dlaczego ryzyko dla danych logowania do kont handlowych jest szczególne

Onamae.com Desktop Cloud to produkt infrastruktury wirtualnych pulpitów. Traderzy wykorzystują go, aby utrzymywać instancje MetaTrader w ciągłym działaniu bez obciążania lokalnego sprzętu. Taka architektura oznacza, że dane logowania do kont maklerskich, platform FX i giełd kryptowalut są rutynowo przechowywane w sesjach przeglądarki, konfiguracjach aplikacji i historii schowka na serwerze hostingu — a nie tylko w lokalnym środowisku tradera.

Atakujący z dostępem wykonawczym do tych środowisk serwerowych mógł biernie zbierać przechowywane dane logowania, nie wyzwalając żadnych alertów po stronie brokera. Oświadczenie GMO, że klienci zgłaszali nieautoryzowane operacje na kontach handlowych, wskazuje, że pozyskiwanie danych logowania nie było jedynie teoretyczne przynajmniej w niektórych przypadkach.

Wytyczne GMO dotyczące powstrzymania incydentu podkreślały niuans odróżniający to zdarzenie od standardowego scenariusza resetu hasła: zmiana hasła u brokera nie powoduje natychmiastowego zakończenia istniejącej uwierzytelnionej sesji. Klientom zalecono wyraźne wylogowanie wszystkich aktywnych sesji za pośrednictwem interfejsu brokera oprócz zmiany danych logowania, ponieważ atakujący posiadający ważny token sesji może kontynuować działanie nawet po zmianie hasła. To ryzyko utrzymywania się sesji jest najbardziej krytycznym operacyjnie szczegółem dla dotkniętych użytkowników, a przy tym jest nieobecne w większości wtórnych relacji o incydencie.

Amerykańska agencja Cybersecurity and Infrastructure Security Agency (CISA) oferuje bezpośrednio istotne wytyczne. Zgodnie ze stroną wytycznych CISA dotyczących MFA uwierzytelnianie wieloskładnikowe dodaje drugi etap weryfikacji tożsamości tak, że „nawet jeśli nieautoryzowany użytkownik ukradnie Twoje hasło, nie będzie w stanie spełnić wymogu drugiego kroku, aby uzyskać dostęp do Twoich kont". Dla traderów, których dane logowania były przechowywane na dotkniętych serwerach bez skonfigurowanego MFA na poziomie brokera, sama zmiana danych zapewnia ograniczone bezpieczeństwo.

Zakres: potencjalna ekspozycja a potwierdzona kompromitacja

Liczba 26 739 serwerów wymaga ostrożnej interpretacji. Raport GMO z 23 października wprost wyjaśnił, że jest to liczba potencjalnej ekspozycji — oznacza serwery aktywne w dotkniętym środowisku usługi w okresie trwania kompromitacji, a nie serwery, na których nieautoryzowany dostęp lub pozyskanie danych zostały indywidualnie potwierdzone. To rozróżnienie ma znaczenie dla oceny rzeczywistego zasięgu skutków warę postępu śledztwa.

Żadne z przejrzanych oficjalnych oświadczeń nie wskazuje liczby firm maklerskich FX, których klienci zostali dotknięci, łącznej liczby zagrożonych kont handlowych, potwierdzonych strat finansowych ani harmonogramu przywrócenia usługi. Jeden z serwisów informacyjnych o kryptowalutach powołał się na żądania okupu i skutki obejmujące ponad 70 firm maklerskich, jednak twierdzenia te nie występują we własnych zgłoszeniach GMO i należy je traktować jako niezweryfikowane do czasu potwierdzenia przez firmę lub organy ścigania.

Incydent wykazuje podobieństwa strukturalne do włamań typu supply-chain wymierzonych we współdzieloną infrastrukturę. Gdy jeden dostawca chmurowych pulpitów obsługuje tysiące klientów handlowych, pojedynczy złośliwy implant może jednocześnie zapewnić horyzontalną ekspozycję danych logowania w szerokim zbiorze firm maklerskich i giełd, wielokrotnie zwiększając skuteczną powierzchnię ataku ponad to, co osiągnęłyby bezpośrednie włamania na brokerów. Wektor ataku Electrum poprzez złośliwy serwer zademonstrował podobną dynamikę mnożenia skutków, w której kompromitacja warstwy infrastruktury doprowadziła do utraty danych logowania i środków w rozproszonej bazie użytkowników.

Na co zwracać uwagę w toku śledztwa

GMO nie podało harmonogramu przywrócenia usług Onamae.com Desktop Cloud. Klienci z aktywnymi strategiami MetaTrader lub otwartymi pozycjami FX na platformie pozostają odcięci od dostępu po zawieszeniu z 21 października. Zaangażowanie zewnętrznego specjalisty ds. bezpieczeństwa i konsultacje z policją sugerują, że trwa formalny proces kryminalistyczny, jednak firma nie wskazała, kiedy zostaną opublikowane ustalenia.

W kolejnych aktualizacjach GMO warto śledzić trzy luki informacyjne: po pierwsze, czy złośliwy program był ukierunkowanym implantem czy oportunistycznym malware; po drugie, potwierdzony wektor początkowego dostępu; i po trzecie, czy konkretne firmy maklerskie lub depozytariusze zostały indywidualnie powiadomione o potwierdzonej ekspozycji danych logowania dotyczącej kont ich klientów.

Dla traderów, którzy mieli aktywne sesje na platformie, bezpośrednia powierzchnia ryzyka wykracza poza konta FX. Wirtualne środowiska pulpitowe wykorzystywane do handlu często przechowują klucze API do połączeń z giełdami kryptowalut, konfiguracje oprogramowania portfeli oraz zapisane w przeglądarce dane logowania do narzędzi do zarządzania portfelem on-chain. Przy Bitcoinie testującym poziom 80 000 USD w warunkach podwyższonej zmienności rynku każde opóźnienie w zakończeniu sesji i rotacji danych logowania na połączonych kontach kryptowalutowych wydłuża okno ekspozycji. Indeks Fear and Greed wynosił neutralne 50, ale otwarte pozycje handlowe na skompromitowanej infrastrukturze niosą ryzyko na poziomie protokołu całkowicie niezależne od kierunku rynku.

Do czasu opublikowania przez GMO potwierdzonych liczb kompromitacji i wznowienia usługi dotknięci użytkownicy powinni traktować wszystkie dane logowania przechowywane na serwerach Onamae.com Desktop Cloud jako skompromitowane, zakończyć sesje u brokerów i na giełdach niezależnie od resetu hasła oraz włączyć MFA każdym koncie, do którego środowisko serwerowe miało dostęp.