Japońska grupa technologiczna GMO zaapelowała do klientów, by przeskanowali komputery w poszukiwaniu złośliwego oprogramowania, wykonali kopie zapasowe, odłączyli urządzenia od internetu i wyłączyli je. Zalecenia pojawiły się po cyberataku na usługę Onamae Desktop Cloud oraz groźbach przestępców, którzy zapowiadali instalację ransomware.
Atak na usługę chmurową
GMO Internet Group działa między innymi w branży infrastruktury internetowej, cyberbezpieczeństwa i usług finansowych. Jedną z jej usług jest Onamae Desktop Cloud, czyli wirtualny pulpit Windows wykorzystywany m.in. przez japońskich inwestorów do uruchamiania automatycznych programów handlowych.
Firma poinformowała o ataku 20 października 2026 roku. Według jej ustaleń napastnicy uzyskali nieuprawniony dostęp do części środowisk klientów i zainstalowali w nich złośliwe oprogramowanie. Zagrożonych mogło być nawet 26 739 serwerów, które GMO stopniowo wyłączało, badało i czyściło.
Skradzione dane i żądanie okupu
Dochodzenie wykazało, że sprawcy wykradli dane klientów. Nie ujawniono jednak, ilu użytkowników dotyczył incydent ani jaki dokładnie zakres informacji został przejęty. Napastnicy zażądali podobno około 50 milionów dolarów, grożąc publikacją danych w dark webie.
Onamae odmówiło zapłaty, a skradzione informacje ostatecznie wyciekły. Firma analizuje je, by ustalić, jakie dane znalazły się w rękach przestępców i jakie mogą być konsekwencje dla klientów. Zaapelowała też, by nie rozpowszechniać ujawnionych materiałów.
Atak na Onamae pokazuje, jak poważne konsekwencje może mieć przejęcie dostępu do usług chmurowych. Klienci powinni potraktować zalecenia firmy jako pilne, szczególnie jeśli korzystają z platform MetaTrader. Warto też uważnie sprawdzać aktywność na kontach i szybko reagować na podejrzane transakcje.
Podobne incydenty pokazują, jak istotne jest zabezpieczenie danych klientów.
LastPass potwierdza wyciek danych po ataku na łańcuch dostaw — co o tym wiemy
Ostrzeżenie przed ransomware
Przestępcy grozili również, że zainstalują ransomware na urządzeniach klientów. W odpowiedzi Onamae zaleciło wykonanie pełnego skanowania antywirusowego, zrobienie kopii zapasowej oraz odłączenie komputerów od sieci i zasilania. Firma podkreśliła, by odpiąć od urządzeń wszystkie przewody.
Jak dotąd nie znaleziono dowodów na to, że groźba instalacji ransomware została zrealizowana. Mimo to klienci korzystający z platform MetaTrader 4 i MetaTrader 5 powinni zachować szczególną ostrożność: część ich danych logowania i informacji o kontach mogła zostać przejęta. Niektórzy użytkownicy zgłosili transakcje, których nie rozpoznają.
Onamae zaleciło zmianę haseł i zakończenie wszystkich aktywnych sesji. Firma zapowiedziała również rekompensatę w wysokości 30 dolarów dla każdego klienta, niezależnie od tego, czy poniósł bezpośrednie straty. Osobno ma rozpatrywać przypadki poważniejszych szkód, a poszkodowanym zaoferowano także komputery zastępcze.
To, że wyłączyli część serwerów dopiero po ataku, mówi wszystko o ich przygotowaniu. 50 mln $ żądanie i potem 30$ rekompensaty? Serio? Brak transparentności (ilu klientów, jakie dane) i tak płytkie informacje o wektorze ataku to klasyka. „Odłączyć od zasilania” – porządna instrukcja, ale co z firmami, które mają SLA i ciągłość działania? Powinni jasno napisać, które środowiska były kompromitowane i jakie dokładnie IOCs wrzucili do publicznej bazy.
Jeśli to prawda, że napastnicy uzyskali dostęp do środowisk klientów, pierwsze co trzeba zrobić to zabezpieczyć artefakty: offline image dysków, kopie logów, snapshoty hypervisora i zachowanie chain of custody. Nie wystarczy „zrobić skan AV i zmienić hasła” — trzeba sprawdzić persistence (usługi, zadania zaplanowane, registry run keys, webshlle, scheduled tasks), lateral movement (NTLM relay, pass-the-hash), oraz czy nie skradziono tokenów sesji MT4/MT5. Zalecam wymusić rotację kluczy API, odciąć wszystkie sesje i wymusić 2FA re-enrollment. IEDR/EDR telemetry powinna być zbierana przed reimagingiem. 30$ rekompensaty za możliwy wyciek danych to kpina.
Mam konto na Onamae od roku i w zeszłym miesiącu widzialem dziwne logowania z jp i krótko potem jedna nieautoryzowana transakcja na koncie MT5 (na szczescie mala). Support kazal mi reset i wyłączenie maszyny, potem dali zastępczy obraz do pobrania. W efekcie musiałem odtworzyć wszystko z backupu – straciłem parę godzin. Te ich instrukcje z odpinaniem kabli brzmią dramatycznie, ale w praktyce: zróbcie reimage i restore z zaufanego snapshotu, nie starajcie się „leczyć” urzadzenia na którym działa bot.
Ktoś wie, jak sprawdzić, czy moje dane logowania do MT4/MT5 zostały ujawnione? Czy wystarczy zmiana hasła + logout ze wszystkich sesji, czy lepiej od razu rejestrować nowe konta i przenieść środki? Czy jest sens włączyć IP whitelisting dla platformy handlowej? Kto ma doświadczenie z forensics po takim incydencie — jakie konkretne logi trzeba zebrać z Windowsa i hypervisora?
Nie usprawiedliwiam GMO, ale całkowite odcięcie środowisk to czasem jedyna opcja żeby zatrzymać eskalację. Krytykowanie ich za „brak szczegółów” jest łatwe z dystansu — publiczne ujawnienie pełnego raportu też może rozszerzyć szkody. Z drugiej strony, klienci powinni korzystać z izolacji kont (dedykowane środowiska dla botów), MFA i regularnych snapshotów offline. 30$ to symboliczne pacnięcie po palcu, ale prawdziwa odpowiedzialność leży w umowach SLA i ubezpieczeniach cyber.