GMO Internet Group подтвердила 20 октября 2026 года, что в некоторых серверных средах клиентов Onamae.com Desktop Cloud была установлена вредоносная программа, что подвергло потенциальному несанкционированному доступу до 26 739 серверов и поставило под прямую угрозу компрометации учётные данные торговых счетов.

Инцидент затронул одну из крупнейших японских конгломератов интернет-инфраструктуры на особенно чувствительном уровне: облачные настольные среды, используемые розничными трейдерами Forex (FX) и криптовалют для запуска автоматических стратегий на MetaTrader 4 и MetaTrader 5. Когда злоумышленники компрометируют хостовую среду, а не само торговое приложение, кража учётных данных обход любые настроенные пользователем средства защиты на уровне приложения.

Что подтвердила GMO

Согласно официальному сообщению GMO, компания выявила стороннюю вредоносную программу, установленную в серверных средах Onamae.com Desktop Cloud. GMO подтвердила, что клиенты впоследствии сообщили о несанкционированных операциях на своих торговых счетах, и что хранившиеся на этих серверах учётные данные для входа в торговые счета могли быть просмотрены злоумышленником.

Компания сообщила о 26 739 потенциально затронутых серверах сервиса. Эта цифра отражает масштаб потенциального воздействия, а не подтверждённое количество серверов с верифицированным несанкционированным доступом или подтверждённым получением данных.

GMO начала приостановку всех серверов тарифных планов Onamae.com Desktop Cloud в 4:00 JST 21 октября 2026 года, назвав отключение превентивной мерой для сдерживания дальнейшего ущерба. Полная приостановка сервиса означает, что все клиенты, запускавшие автоматических торговых ботов или активные сессии MetaTrader на платформе, потеряли доступ одновременно.

В третьем обновлении, опубликованном 23 октября (уведомление GMO), компания сообщила, что 22 октября проконсультировалась с полицией, привлекла внешнего специалиста по безопасности и инициировала отчёты и консультации с соответствующими регуляторными органами. Способ вторжения, личность злоумышленника и подтверждённое количество скомпрометированных серверов остаются нераскрытыми в рассмотренных официальных документах.

Почему риск для учётных данных торговых счетов особый

Onamae.com Desktop Cloud — это продукт виртуальной настольной инфраструктуры. Трейдеры используют его, чтобы держать экземпляры MetaTrader работающими непрерывно, не занимая локальное оборудование. Такая архитектура означает, что учётные данные брокерских счетов, FX-платформ и криптобирж обычно хранятся в сессиях браузера, конфигурациях приложений и истории буфера обмена на хостовом сервере, а не только в локальной среде трейдера.\nЗлоумышленник с правом выполнения кода в этих серверных средах мог пассивно собирать хранившиеся учётные данные, не вызывая никаких предупреждений на уровне брокера. Сообщение GMO о том, что клиенты сообщили о несанкционированных операциях на торговых счетах, указывает, что извлечение учётных данных как минимум в некоторых случаях не было лишь теоретическим.

Рекомендации GMO по сдерживанию инцидента подчеркнули нюанс, отличающий этот случай от стандартного сценария сброса пароля: смена брокерского пароля не завершает немедленно существующую аутентифицированную сессию. Клиентам было рекомендовано в дополнение к смене учётных данных явно завершить все активные сессии через интерфейс брокера, поскольку злоумышленник с валидным токеном сессии может продолжать операции даже после смены пароля. Этот риск сохранения сессии — наиболее критичная с операционной точки зрения деталь для затронутых пользователей, и он отсутствует во многих вторичных публикациях об инциденте.

Агентство США по кибернетической и инфраструктурной безопасности (CISA) предлагает непосредственно применимые рекомендации. CISA заявляет, что многофакторная аутентификация добавляет вторую проверку личности, так что «даже если неавторизованный пользователь украдёт ваш пароль, он не сможет выполнить второй шаг для доступа к вашим аккаунтам», согласно странице рекомендаций агентства по MFA. Для трейдеров, чьи учётные данные хранились на затронутых серверах без настроенной на уровне брокера MFA, одна лишь смена учётных данных даёт ограниченные гарантии.

Масштаб: потенциальное воздействие против подтверждённой компрометации

Цифра в 26 739 серверов требует аккуратной интерпретации. Отчёт GMO от 23 октября прямо уточняет, что это количество потенциально затронутых серверов, то есть серверов, активных в затронутой сервисной среде в период компрометации, а не серверов, где несанкционированный доступ или получение данных подтверждены индивидуально. Это различие важно для оценки реального масштаба ущерба по мере развития расследования.

Ни одно из рассмотренных официальных сообщений не называет количество FX-брокеров, чьи клиенты затронуты, общее число торговых счетов под угрозой, подтверждённые финансовые потери или сроки восстановления сервиса. Одна криптомедийная публикация ссылалась на требования выкупа и затронутость более 70 брокеров, но эти утверждения отсутствуют в собственных документах GMO и должны считаться неподтверждёнными, пока их не подтвердят компания или правоохранительные органы.

Инцидент структурно схож с атаками на цепочки поставок, нацеленными на общую инфраструктуру. Когда один провайдер облачных рабочих столов обслуживает тысячи торговых клиентов, единичная вредоносная имплантация может обеспечить горизонтальное раскрытие учётных данных одновременно у широкого круга брокеров и бирж, многократно увеличивая эффективную поверхность атаки по сравнению с прямыми вторжениями в брокерские системы. Вектор атаки через вредоносный сервер Electrum демонстрировал схожий мультиплицирующий эффект, когда компрометация инфраструктурного уровня приводила к потерям учётных данных и средств у распределённой базы пользователей.

За чем следить по мере продолжения расследования

GMO не предоставила сроков восстановления сервиса Onamae.com Desktop Cloud. Клиенты с активными стратегиями MetaTrader или открытыми FX-позициями на платформе остаются заблокированными после приостановки 21 октября. Привлечение внешнего специалиста по безопасности и консультации с полицией указывают на идущий формальный форензический процесс, однако компания не сообщила, когда будут опубликованы результаты.

В последующих обновлениях GMO стоит отслеживать три пробела в раскрытии информации: во-первых, ли вредоносная программа целевой имплантацией или оппортунистическим вредоносным ПО; во-вторых, подтверждённый вектор первичного проникновения; и в-третьих, были ли конкретные брокеры или хранители индивидуально уведомлены о подтверждённом раскрытии учётных данных, затрагивающем их клиентские счета.

Для трейдеров с активными сессиями на платформе немедленная поверхность риска выходит за рамки FX-счетов. Виртуальные настольные среды для торговли часто хранят API-ключи для подключений к криптобиржам, конфигурации программ кошельков и сохранённые в браузере учётные данные для инструментов управления ончейн-портфелем. При тестировании биткоином уровня $80 000 на фоне повышенной волатильности рынка любая задержка с завершением сессий и ротацией учётных данных на подключённых криптоаккаунтах расширяет окно воздействия. Индекс страха и жадности находится на нейтральном уровне 50, но открытые торговые позиции на скомпрометированной инфраструктуре несут риск уровня протокола, полностью независимый от направления рынка.

Пока GMO не опубликует подтверждённые цифры компрометации и не возобновит сервис, затронутым пользователям следует считать все учётные данные, хранившиеся на серверах Onamae.com Desktop Cloud, скомпрометированными, завершить сессии брокеров и бирж независимо от сброса пароля и включить MFA на каждом аккаунте, к которому имела доступ серверная среда.