GMO Internet Group于2026年10月20日证实，部分Onamae.com Desktop Cloud客户服务器环境中被植入了恶意程序，多达26,739台服务器面临潜在的未经授权访问，存储的交易账户凭证也面临直接泄露风险。

此次事件波及日本最大的互联网基础设施集团之一，且发生在尤为敏感的层面：零售外汇（FX）和加密货币交易者用来在MetaTrader 4和MetaTrader 5上运行自动化策略的云托管桌面环境。当攻击者入侵的是宿主环境而非交易应用程序本身时，凭证窃取便绕过了用户所配置的一切应用层防护。

GMO已确认的信息

根据GMO的官方披露，该公司确认在Onamae.com Desktop Cloud服务器环境中发现了第三方恶意程序。GMO证实，随后有客户报告其交易账户出现未经授权的操作，存储在这些服务器上的交易账户登录凭证可能已被攻击者查看。

该公司报告称，整个服务共有26,739台服务器可能受到影响。这一数字代表的是潜在暴露范围，而非已核实存在未经授权访问或确认发生数据获取的服务器数量。

GMO于2026年10月21日4:00（日本时间）开始暂停所有Onamae.com Desktop Cloud套餐服务器，称此次停服是防止损害进一步扩大的预防性措施。全面暂停服务意味着在该平台上运行自动化交易机器人或持有活跃MetaTrader会话的所有客户同时失去访问权限。

在10月23日发布的第三次更新（GMO的警报通知）中，该公司表示已于10月22日咨询警方，聘请了外部安全专家，并启动了向相关监管机构的报告与沟通程序。在已查阅的官方文件中，入侵手法、攻击者身份以及确认受感染的服务器数量均未披露。

交易账户凭证风险为何与众不同

Onamae.com Desktop Cloud是一种虚拟桌面基础设施产品。交易者利用它来持续运行MetaTrader实例，而不占用本地硬件。这种架构意味着券商账户、外汇平台和加密货币交易所的凭证通常会存储在托管服务器的浏览器会话、应用程序配置和剪贴板历史记录中，而不仅仅是交易者的本地环境。

对这些服务器环境拥有执行权限的攻击者可以被动地窃取存储的凭证，而不会在券商层面触发任何警报。GMO披露有客户报告交易账户遭未经授权操作，这表明至少在某些案例中，凭证被窃取并非仅停留于理论。

GMO的遏制指导强调了一个细节，使其区别于常规的密码重置场景：更改券商密码并不会立即终止现有的已验证会话。除更改凭证外，客户还被建议通过券商界面明确注销所有活跃会话，因为持有有效会话令牌的攻击者即使密码已被更换仍可继续操作。这种会话持久性风险是对受影响用户而言在操作层面最关键的细节，但在该事件的二手报道中却未出现。

美国网络安全和基础设施安全局（CISA）提供了直接相关的指导。CISA表示，多因素认证增加了第二重身份验证，因此"即使未经授权的用户窃取了您的密码，他们也无法通过第二重验证来访问您的账户"，详见该机构的MFA指导页面。对于凭证存储在受影响服务器上且券商层面未配置MFA的交易者而言，仅更改凭证所能提供的保障有限。

范围：潜在暴露与确认入侵之别

26,739台服务器这一数字需要谨慎解读。GMO在10月23日的报告中明确澄清，这是一个潜在暴露计数，即在受影响服务环境的入侵时间窗口内处于活跃状态的服务器数量，而非逐一确认存在未经授权访问或数据获取的服务器数量。随着调查的推进，这一区别对于评估实际影响范围至关重要。

在已查阅的官方披露中，没有任何一份说明受影响客户所属的外汇券商数量、面临风险的交易账户总数、已确认的金钱损失或服务恢复时间表。一份加密媒体报道援引了勒索要求以及波及超过70家券商的说法，但这些内容并未出现在GMO自身的文件中，在公司或执法部门确认之前应视为未经证实。

此次事件与针对共享基础设施的供应链入侵存在结构上的相似之处。当单一云桌面提供商为数以千计的交易客户服务时，一个恶意植入程序便可同时对广泛的券商和交易所造成横向凭证暴露，使有效攻击面远超直接入侵券商所能波及的范围。Electrum恶意服务器攻击向量曾展示了类似的放大效应：基础设施层面的入侵导致分布式用户群体的凭证和资金损失。

调查持续推进中值得关注的事项

GMO尚未提供Onamae.com Desktop Cloud服务的恢复时间表。在10月21日停服后，在该平台上拥有活跃MetaTrader策略或未平仓外汇头寸的客户仍无法登录。聘请外部安全专家和咨询警方表明正式的取证过程正在进行中，但该公司尚未说明何时公布调查结果。

在GMO后续更新中，有三个披露缺口值得追踪：其一，恶意程序是有针对性的植入还是机会性恶意软件；其二，已确认的初始入侵途径；其三，是否有具体券商或托管机构已被告知其客户账户存在已确认的凭证暴露。

对于曾在该平台上持有活跃会话的交易者而言，直接风险面不仅限于外汇账户。用于交易的虚拟桌面环境通常还存储加密货币交易所连接的API密钥、钱包软件配置以及浏览器中保存的链上投资组合工具凭证。在比特币测试80,000美元关口、市场波动加剧之际，任何在会话终止和已关联加密账户凭证轮换方面的延误都会扩大暴露窗口。恐惧与贪婪指数处于中性的50，但在被入侵基础设施上的未平仓头寸所承载的协议层面风险，与市场方向完全无关。

在GMO公布确认的受感染数量并恢复服务之前，受影响用户应将存储在Onamae.com Desktop Cloud服务器上的所有凭证视为已泄露，独立于任何密码重置终止券商和交易所会话，并在服务器环境可访问的每个账户上启用MFA。