Mantener un robot de trading de divisas funcionando las 24 horas sin dejar encendido el ordenador de casa: para eso sirve Onamae.com Desktop Cloud, el servicio de servidores en la nube de GMO Internet. En octubre de 2026, unos atacantes entraron en el servicio y se llevaron las credenciales de cuentas de valores y de forex que los usuarios guardaban en sus programas de trading. Según el diario Asahi Shimbun, un hombre de Kanagawa perdió más de 4 millones de yenes (unos 25.000 dólares) en unos dos segundos, y más de 6 millones de yenes (unos 38.000 dólares) al sumar las operaciones posteriores.

Los atacantes exigieron 50 millones de dólares (unos 8.000 millones de yenes) y GMO se negó a pagar. Luego, el 25 de octubre, el director ejecutivo de GMO Internet Group, Masatoshi Kumagai, contó en su blog que los hackers éticos de la propia empresa habían señalado problemas antes del ataque.

Qué pasó

Onamae.com Desktop Cloud es un servidor privado virtual (VPS) con Windows pensado para ejecutar programas de trading automático de divisas como MetaTrader 4 y 5. Cuesta desde 2.640 yenes (unos 17 dólares) al mes. Los clientes guardan en esos programas el usuario y la contraseña de sus cuentas en casas de valores y empresas de forex.

Según GMO, la investigación empezó el 19 de octubre tras la consulta de un cliente. Al día siguiente, la empresa confirmó que alguien había instalado un programa malicioso en algunos servidores, y desde las 4:00 del 21 de octubre empezó a apagar los servidores de todos los planes. Los servidores posiblemente afectados son 26.739; la empresa aclara que esa no es la cifra de intrusiones confirmadas.

El primer aviso, del 21 de octubre, decía que no se había confirmado ninguna filtración ni uso indebido de datos personales. Tres días después, el cuarto aviso cambió el relato: había un problema de seguridad en el sistema y se confirmaba que datos de clientes habían salido de él. Los atacantes amenazan con seguir manipulando cuentas de clientes en más de 70 casas de valores y empresas de forex, dentro y fuera de Japón. GMO no ha publicado el total de pérdidas ni el número de afectados.

Una exigencia de 8.000 millones de yenes y 5.000 yenes de compensación

Según el blog de Kumagai, la primera carta de los atacantes llegó el 21 de octubre y pedía 50 millones de dólares. Después, la cadena japonesa ANN informó de que los atacantes parecían exigir 1 millón de dólares (unos 157 millones de yenes) antes del mediodía del 27 de octubre, hora de Japón. En su séptimo aviso, la propia GMO confirmó que había recibido la amenaza de publicar datos de clientes y lanzar un ataque de ransomware a esa hora.

La respuesta de GMO no ha cambiado: no pagará, porque pagar no garantiza que los datos robados se borren ni que dejen de usarse. Entregó registros de comunicaciones y otras pruebas a la policía. Negarse a pagar no es una decisión rara entre las empresas japonesas (relacionado: por qué las empresas japonesas no pagan rescates).

Con los clientes, GMO actuó rápido. Todos los usuarios actuales recibirán 5.000 yenes (unos 32 dólares), hayan perdido dinero o no. En las operaciones que la empresa confirme como causadas por el acceso no autorizado, cubrirá las pérdidas realizadas: la pérdida de la operación y las comisiones. Quedan fuera las pérdidas por movimientos del mercado y las ganancias que se hubieran podido obtener. Kumagai escribió que GMO pagará el total de la pérdida cubierta aunque el bróker no devuelva el dinero. La plataforma atacada no se reabrirá tal cual: los usuarios podrán pasarse a un servicio alternativo en otra plataforma en la nube, gratis durante seis meses.

"Lo habían advertido antes"

Kumagai explicó por qué no se evitó, y aclaró que lo contaba como un hecho, no como una excusa. También en este servicio, escribió, los hackers éticos de la empresa habían señalado al equipo problemas que había que corregir, y el equipo los aceptó y estaba trabajando en ellos. Pero avanzó con cautela, sopesando el impacto en la disponibilidad del servicio y otras prioridades. Por eso la respuesta no tuvo la profundidad ni la velocidad suficientes, y los atacantes entraron por ese hueco.

En un servicio cuyo atractivo es operar las 24 horas, apagar los servidores para corregirlos también detiene las operaciones de los clientes.

La advertencia venía de los propios expertos de la empresa. El grupo tiene GMO Cybersecurity by Ierae, una empresa de seguridad con un gran equipo de hackers éticos, y según Kumagai cuenta en total con unos 200 especialistas en seguridad.

Lo que el blog no dice es cuándo se señalaron los problemas, cuáles eran ni si coinciden con la vía que usaron los atacantes. ITmedia señaló que GMO no ha revelado el contenido de esos problemas ni por qué se retrasó la corrección.

Lo que dicen los atacantes y un ajuste que llega al ordenador de casa

En un sitio web que ellos mismos abrieron, los atacantes aseguran que entraron aprovechando errores de configuración de GMO. Según ITmedia, afirman que todos los servidores compartían una cuenta de administrador común y que, por defecto, las unidades del ordenador del usuario quedaban visibles desde el servidor al conectarse.

Lo de las unidades coincide con lo que explica la propia GMO. La guía oficial del servicio describe cómo compartir archivos con el ordenador del usuario y añade que el archivo de conexión (un archivo RDP) que se descarga desde el panel de control ya viene configurado para compartir archivos.

Con esa función activada, mientras el usuario está conectado, las unidades de su ordenador aparecen como carpetas dentro del servidor. Quien se haya hecho con el servidor puede leer lo que hay en ese ordenador, y quizá también escribir archivos en él. Los atacantes amenazan con publicar datos de los ordenadores de los usuarios y atacarlos con ransomware. Por eso el daño podría no quedarse dentro de los servidores.

Aun así, GMO no ha revelado cómo entraron los atacantes ni cómo estaban configurados sus servidores, así que no es posible confirmar si llegaron de verdad a los ordenadores de los usuarios por esta vía. En su cuarto aviso, la empresa advirtió que podrían publicar material con información falsa. Al mismo tiempo, desde el 24 de octubre pidió a los usuarios que hicieran un análisis completo de sus propios ordenadores y teléfonos y copias de seguridad, y el 26 empezó a analizar equipos prestados por clientes. Todavía no se sabe si el daño llegó más allá de los servidores.

Pedir ser "el caso número uno"

El 24 de octubre, GMO pidió al Gobierno que aplicara la "ciberdefensa activa". Con leyes que entraron en vigor en parte el 1 de octubre, el Estado puede acceder a servidores usados en ciberataques graves contra el país o contra infraestructuras críticas y neutralizarlos, por ejemplo borrando programas maliciosos. GMO presentó su caso como el primero en el que deberían usarse esos poderes.

Pero no es un mecanismo que una empresa pueda activar con una petición. El secretario jefe del Gabinete, Minoru Kihara, dijo el 26 de octubre que la policía y el Ministerio de Defensa y las Fuerzas de Autodefensa decidirán sobre la neutralización según los requisitos de la ley, haya o no petición de la víctima. GMO tampoco es un "operador de infraestructura básica designado" según la ley, la categoría de empresas como las eléctricas o las de gas. Business+IT señaló dudas jurídicas sobre usar esta herramienta cuando el daño ya está hecho, y la posibilidad de que anunciar la petición pusiera en guardia a los atacantes.

En redes sociales la reacción fue fría. Según ITmedia, en X dominaban las críticas: usuarios que pedían a GMO revisar primero su propia configuración y sus decisiones, y otros que preguntaban si no estaba trasladando la culpa al Estado. Quienes la defendían eran minoría. Kumagai escribió que hizo la petición conociendo los límites legales, que no pretende trasladar su responsabilidad al Gobierno y que la empresa asumirá todos los costes de las compensaciones, el servicio alternativo y la renovación del sistema.

No es la única intrusión en el grupo este otoño

En el grupo GMO ya se habían anunciado otras intrusiones este otoño. El 20 de septiembre, GMO Internet informó de que se había instalado un programa malicioso en el espacio de servidor web de 426 clientes de su servicio de alojamiento ConoHa WING. El 14 de octubre, GMO Research & AI anunció que había confirmado la salida de 894.082 registros con datos personales de socios de su web de encuestas infoQ. No se ha mostrado ninguna relación con el caso de Desktop Cloud.

¿Corregir o seguir funcionando?

A 27 de octubre, la última actualización de GMO es su séptimo aviso, publicado la noche del 26. La causa se sigue investigando con expertos externos, y aún no se sabe qué habían señalado los hackers éticos.

Un equipo recibe un aviso, busca cómo corregirlo sin apagar el servicio y se le acaba el tiempo. Ese es el fallo que GMO ha admitido, y podría pasar en casi cualquier empresa.

En tu trabajo, cuando un aviso de seguridad choca con la promesa de no dejar nunca de funcionar, ¿cuál gana?

Referencias