GMO, hacker nel cloud del trading: conti a rischio e risarcimenti

🛡️ Executive Summary

• GMO Internet conferma un accesso non autorizzato e la sottrazione di informazioni dal servizio Onamae Desktop Cloud, con 26.739 server nel perimetro potenzialmente coinvolto.
• Alcuni clienti segnalano operazioni non riconosciute sui conti trading: GMO promette il rimborso delle perdite direttamente riconducibili alla compromissione e 5.000 yen a tutti gli utenti attivi.
• Gli aggressori chiedono denaro e minacciano ulteriori operazioni su conti presso oltre 70 intermediari finanziari. GMO rifiuta il ricatto e sollecita l’intervento della cyberdifesa giapponese.

GMO Internet ha confermato il furto di informazioni dal proprio cloud utilizzato per il trading finanziario e ha annunciato risarcimenti per i clienti che hanno subito operazioni non autorizzate sui conti. L’incidente coinvolge Onamae Desktop Cloud, infrastruttura giapponese utilizzata anche per eseguire piattaforme di negoziazione Forex, e riguarda un perimetro potenziale di 26.739 server. Il 24 ottobre 2026 la società ha riconosciuto l’esfiltrazione di informazioni e le segnalazioni di transazioni non riconosciute, rivelando inoltre una richiesta di denaro da parte dei presunti responsabili. La minaccia non si limita alla pubblicazione dei dati sottratti: comprende la possibilità di continuare a manipolare conti finanziari e colpire sistemi collegati al servizio compromesso.

GMO conferma il furto di dati e operazioni anomale sui conti trading

Il quarto aggiornamento ufficiale di GMO Internet modifica sostanzialmente la gravità dell’incidente inizialmente comunicato il 21 ottobre. La società riconosce l’esistenza di vulnerabilità nei sistemi del servizio, un accesso non autorizzato e l’effettiva sottrazione di informazioni dei clienti, mentre resta in corso la verifica del numero di soggetti e ambienti direttamente compromessi. Il servizio interessato è Onamae Desktop Cloud, che mette a disposizione desktop e server remoti impiegati anche per mantenere attive applicazioni di trading come MetaTrader 4 e MetaTrader 5. L’azienda aveva già individuato programmi malevoli in alcuni ambienti e sospeso progressivamente tutti i server a partire dal 21 ottobre, ma la nuova comunicazione introduce una conseguenza ulteriore: alcuni clienti hanno denunciato operazioni eseguite sui propri conti senza autorizzazione. I 26.739 server indicati da GMO costituiscono la popolazione potenzialmente esposta, non il numero di sistemi sui quali sia stato dimostrato l’accesso degli aggressori. Il nuovo sviluppo supera quindi quanto emerso nel precedente incidente Onamae, raccontato insieme alle violazioni Capcom e Railway, perché il problema non riguarda più soltanto disponibilità del cloud e riservatezza delle credenziali: l’attacco potrebbe avere prodotto perdite finanziarie attraverso strumenti di trading legittimamente installati sui sistemi delle vittime.

Risarcimenti per le perdite confermate e 5.000 yen a tutti i clienti

Nel comunicato ufficiale del 24 ottobre, GMO si impegna a compensare le perdite effettivamente realizzate attraverso operazioni che la propria indagine riconoscerà come conseguenza dell’accesso abusivo. Il rimborso comprende differenze negative generate dalle negoziazioni e commissioni associate, mentre esclude le normali oscillazioni di mercato, i profitti ipotetici non conseguiti e gli ulteriori danni indiretti. L’azienda verificherà registrazioni delle operazioni, log di accesso ed eventuale documentazione integrativa fornita dai clienti. Gli utenti vengono invitati a contattare anche gli intermediari finanziari per chiedere annullamenti o rimborsi; qualora il broker non restituisca le somme, GMO dichiara che coprirà le perdite ritenute ammissibili. Separatamente, tutti i clienti attivi del servizio riceveranno 5.000 yen, indipendentemente dall’esistenza di un danno economico, quale riconoscimento del disagio subito. Entro il 30 ottobre la società comunicherà le modalità di erogazione del pagamento forfettario, mentre entro il 6 novembre pubblicherà la procedura per richiedere il risarcimento delle operazioni abusive. GMO promette inoltre un servizio alternativo gratuito per sei mesi, senza imporre automaticamente la migrazione. Non è stato ancora quantificato un ammontare complessivo delle perdite rimborsabili, perciò l’annuncio rappresenta un impegno economico dell’azienda, non un bilancio definitivo del denaro sottratto.

Leggi anche: Capcom, 11,7 milioni di email esposte dopo l’attacco a CAPCOM ID

Gli aggressori minacciano oltre 70 intermediari e chiedono denaro

La componente estorsiva rende il caso particolarmente delicato. GMO dichiara di avere ricevuto una richiesta di denaro da un soggetto ritenuto coinvolto nell’attacco, accompagnata dalla minaccia di pubblicare informazioni e continuare a effettuare operazioni non autorizzate su conti collegati a oltre 70 società di intermediazione mobiliare e Forex, giapponesi e straniere. Gli aggressori prospettano anche la pubblicazione di informazioni sui computer connessi a Onamae e attacchi ransomware. Il riferimento ai 70 intermediari indica l’estensione della minaccia dichiarata, non la conferma che tutti siano stati violati. La società ha deciso di non pagare, sostenendo che il versamento non garantirebbe la cancellazione delle informazioni sottratte né impedirebbe nuovi abusi. Le comunicazioni ricevute sono state consegnate alla polizia, mentre gli operatori finanziari sono stati invitati a bloccare gli accessi provenienti dal servizio, interrompere le sessioni attive e controllare le operazioni sospette. Il meccanismo mostra una forma di pressione differente rispetto ai tradizionali incidenti di esfiltrazione: gli attaccanti minacciano di continuare a danneggiare direttamente gli asset economici dei clienti, sfruttando credenziali e collegamenti applicativi potenzialmente rimasti validi dopo la compromissione dell’hosting.

Cambiare password non basta se le sessioni MT4 e MT5 restano aperte

La quinta comunicazione di GMO, diffusa sempre il 24 ottobre, contiene un avvertimento operativo importante: la modifica delle password potrebbe non interrompere automaticamente tutte le sessioni di trading già attive. Per questo motivo gli utenti devono cambiare le credenziali dei conti e delle piattaforme utilizzando un dispositivo diverso da quello impiegato per accedere al cloud compromesso, chiedere al proprio broker la disconnessione di tutte le sessioni e verificare lo storico delle negoziazioni. La società raccomanda inoltre scansioni antimalware complete, copie di sicurezza dei dati e controlli contro eventuali truffe che sfruttino l’emergenza. La differenza rispetto a una semplice compromissione di credenziali consiste nella presenza di applicazioni che possono conservare sessioni persistenti: anche un account con password modificata può risultare esposto se un token o una connessione precedente rimane utilizzabile. GMO ha mantenuto la sospensione dei server e non ha comunicato una data certa per il ripristino. Il caso ricorda, sul piano della protezione delle autorizzazioni, le conseguenze del furto di credenziali applicative e chiavi API emerso nell’incidente Railway, sebbene le modalità di compromissione e i sistemi coinvolti siano differenti.

Continua con:

INTERPOL Serengeti III: 1.462 arresti e 105 milioni recuperati in Africa

GMO chiede allo Stato di intervenire contro le infrastrutture criminali

L’incidente ha assunto anche una dimensione istituzionale perché GMO ha chiesto alle autorità giapponesi di ricorrere agli strumenti di Active Cyber Defense per individuare e neutralizzare le infrastrutture utilizzate dagli aggressori. L’azienda ritiene che la sola difesa privata non sia sufficiente a interrompere un’operazione capace di compromettere informazioni personali e incidere direttamente sui patrimoni dei clienti. La richiesta non significa che il governo abbia già autorizzato un’operazione offensiva contro i responsabili, né che sia stata identificata pubblicamente l’organizzazione criminale coinvolta. Per il settore finanziario europeo e italiano, il caso mostra il rischio legato all’esecuzione continuativa di strumenti di trading su server esterni, soprattutto quando le applicazioni conservano credenziali e collegamenti persistenti verso gli intermediari. La compromissione di un fornitore infrastrutturale può diventare una compromissione operativa dei conti finanziari, anche senza un attacco diretto al sistema informatico del broker. Il vero nodo non è quindi soltanto quanti server siano stati esposti, ma quanti privilegi finanziari possano essere esercitati attraverso gli ambienti compromessi e quanto rapidamente possano essere revocati. GMO ha assunto l’impegno di compensare le perdite riconosciute, ma il caso dimostra che la sicurezza delle infrastrutture di trading richiede controllo degli accessi, separazione delle autorizzazioni e capacità di sospendere immediatamente ogni sessione potenzialmente abusata.