GMO ofrece una recompensa de 1 millón de dólares por los atacantes de su nube de trading FX

El grupo japonés GMO Internet ha rechazado una demanda de extorsión de decenas de millones de dólares y, en su lugar, ofrece hasta 1 millón de dólares a quien aporte información que conduzca al arresto de quienes irrumpieron en su servicio Onamae.com Desktop Cloud. El programa de recompensas abrió el 28 de octubre de 2026 y durará un año, o hasta que un arresto o una orden de búsqueda internacional cierre el caso.

Qué ocurrió

Onamae.com Desktop Cloud alquila escritorios Windows alojados, usados sobre todo por operadores minoristas de divisas para mantener plataformas como MetaTrader 4 y 5 funcionando las 24 horas. El 20 de octubre, GMO Internet, la filial que opera el servicio, descubrió que un tercero había instalado programas maliciosos en los servidores virtuales de algunos clientes. Desconectó todos los servidores de todos los planes a partir del 21 de octubre y actualmente cuenta 26.739 servidores como potencialmente afectados. Esa cifra es la flota completa, no un recuento de intrusiones confirmadas.

Para el 24 de octubre la empresa había confirmado tres cosas: una falla de seguridad en el servicio, acceso no autorizado al mismo y la exfiltración de información de clientes. Cualquier cosa que un cliente hubiera guardado en su escritorio alojado pudo haber sido leída, incluidas las credenciales de brókers almacenadas dentro del software de trading. Los datos de tarjetas de pago nunca se guardaron en esos servidores.

Las consecuencias aparecieron rápido en los brókers. Desde el 21 de octubre, los operadores empezaron a reportar operaciones que no habían realizado. Un bróker japonés confirmó que un tercero inició sesión en algunas cuentas de clientes con credenciales que cree que provienen de los servidores de GMO y ejecutó operaciones, y ha restringido el trading en las cuentas que podrían estar afectadas. Un segundo bróker advirtió a sus clientes el 22 de octubre de que sus credenciales podrían haber sido robadas de la misma forma y les pidió restablecer las contraseñas desde un dispositivo que nunca se hubiera conectado al escritorio alojado.

El intento de extorsión

El 21 de octubre la empresa recibió una demanda de unos 50 millones de dólares, alrededor de 8.000 millones de yenes, de un grupo que cree responsable de la intrusión. Los atacantes amenazaron con seguir manipulando cuentas en más de 70 firmas de valores y FX, publicar datos sobre el servicio y sus clientes, lanzar ransomware a los PC de los clientes y exponer detalles de los sistemas internos de GMO.

GMO se negó. El grupo fijó el mediodía del 27 de octubre como plazo. Ese día no se confirmó ninguna oleada de ransomware, y el material que sí apareció en el sitio de filtraciones del grupo fue descrito como la información personal de un único cliente. El sitio y sus espejos quedaron fuera de línea hacia las 4 de la madrugada, hora de Japón, del 28 de octubre, y GMO afirma que actuará contra cualquier sitio de reemplazo. También advirtió que el sitio de filtraciones recopilaba datos de todos sus visitantes y pidió al público no visitarlo, no enlazarlo y no republicar nada de él.

Cómo entraron los atacantes

GMO todavía no ha explicado cómo empezó la intrusión. El presidente del grupo escribió el 25 de octubre que su propio equipo de hackers éticos había señalado con antelación problemas en el servicio, y que la respuesta no fue ni suficientemente rápida ni suficientemente exhaustiva. Los atacantes, por su parte, afirman que una sola cuenta de administrador se compartía entre todos los servidores y que las unidades locales de los PC de los clientes quedaban expuestas por defecto a los escritorios alojados. También dicen haber usado una falla del servicio para llegar a los equipos propios de los clientes. GMO no ha confirmado públicamente ninguna de estas afirmaciones.

Los PC de clientes entregados para análisis no mostraban malware, ransomware incluido, hasta la mañana del 27 de octubre. GMO aclara que eso no significa que todos los dispositivos estén limpios, y el trabajo forense continúa.

Cómo funciona la recompensa

El programa, llamado GMO Cybercrime Bounty, acepta pistas por correo electrónico en japonés, inglés o chino, de forma anónima si el informante lo prefiere. GMO busca pruebas que vinculen a personas, servidores, dominios, direcciones IP, cuentas o billeteras de criptomonedas con la intrusión, la extorsión o el movimiento del dinero. Las especulaciones, las acusaciones sin fundamento y las republicaciones de material público no cuentan.

El pago se realiza solo si una pista contribuye a un arresto, incluso por parte de policías fuera de Japón, o a una orden de búsqueda internacional como una Notificación Roja de Interpol. GMO decide cuánto aportó cada pista, de modo que una sola persona puede llevarse el total o el fondo puede repartirse. Los informantes deben verificar su identidad antes de cobrar. Quedan excluidos quienes participaron en el delito, quienes obtuvieron información de forma ilegal, por ejemplo comprando datos filtrados, y los empleados de GMO. La empresa pide expresamente a los informantes que no hackeen a nadie, que no negocien con los atacantes ni les paguen, y que no le envíen datos filtrados, credenciales ni malware. Las pistas se comparten con las fuerzas del orden de Japón y del extranjero.

GMO añade que nunca pedirá a los informantes contraseñas, códigos de un solo uso ni tarifas, y que escribe únicamente desde su dominio de correo dedicado al programa. Es de esperar que los impostores pongan eso a prueba.

Qué deben hacer los clientes afectados

Cambiar las contraseñas de las cuentas y plataformas de trading desde un dispositivo nunca usado para operar, como un teléfono.
Cerrar todas las sesiones activas, a través del bróker si es necesario, incluso después de cambiar la contraseña.
Revisar el historial de operaciones y los saldos, y reportar las operaciones desconocidas primero al bróker.
Activar la autenticación en dos pasos siempre que el bróker la ofrezca.
Rotar cualquier contraseña reutilizada en otros servicios o guardada en un navegador del escritorio alojado.
Ejecutar un análisis antivirus completo en cada dispositivo que se conectó al servicio y hacer copia de seguridad de los datos.
Ignorar los mensajes de cualquiera que afirme ser el atacante y no abrir sus enlaces ni archivos adjuntos.
Tratar cualquier oferta de recuperar fondos perdidos a cambio de una tarifa como una estafa.

GMO Internet pagará a cada usuario actual 5.000 yenes, cubrirá las pérdidas y comisiones reales de las operaciones que confirme como no autorizadas y causadas por la brecha, y pagará entre 10.000 y 25.000 yenes por cada categoría de datos personales que confirme como publicada. No volverá a poner en marcha los sistemas comprometidos tal como están. A los clientes que sigan necesitando un escritorio Windows alojado se les ofrecerá migrar a un servicio separado, gratuito durante seis meses y solo con su consentimiento, con detalles prometidos para el 30 de octubre. La empresa ha dicho que todavía no puede confirmar a cuántos clientes cubrirá su compensación, cuántos datos se publicaron ni qué operaciones califican.

Por qué importa

Este incidente recuerda que un escritorio alojado es tan seguro como la plataforma sobre la que corre. Un operador puede hacerlo todo bien con su bróker y aun así perder el control de la cuenta porque las credenciales estaban en un archivo de configuración en el servidor de otro. Para los brókers, el ataque llegó como inicios de sesión válidos desde sesiones de apariencia legítima, y por eso la primera señal vino de clientes que notaron operaciones que nunca hicieron.

Los conjuntos de credenciales robadas como estos rara vez se quedan con los ladrones originales. Se venden, se intercambian y se reutilizan mucho después de que los titulares se apaguen. Nuestro servicio de monitorización de la Deep/Dark Web rastrea foros criminales y sitios de filtraciones en busca de exactamente este tipo de datos, para que una organización sepa que las credenciales de sus usuarios o empleados están circulando antes de que alguien más las use.