GMO Internet: brecha en Onamae Desktop Cloud y datos publicados

El grupo japonés GMO Internet está gestionando un incidente grave en Onamae Desktop Cloud, el servicio de escritorios virtuales de la marca Onamae.com, usado sobre todo por quienes operan en el mercado de divisas (forex). Tras el acceso no autorizado, los atacantes pidieron un rescate de unos 8.000 millones de yenes (unos 50 millones de dólares) y, según la última actualización de la empresa, publicaron información que parece referirse a GMO y a sus clientes. La autenticidad de los datos todavía se está verificando.

Qué ha pasado

Los tres medios que han seguido el caso (TechCrunch, Infosecurity Magazine y DataBreaches.net) coinciden en la secuencia principal, reconstruida a partir de los avisos publicados por GMO:

• 20 de octubre: según Infosecurity Magazine, GMO descubre que en algunos entornos de servidor de los clientes se han instalado «programas maliciosos»;
• 21 de octubre: se suspende el servicio y llega el correo de extorsión con la petición de unos 8.000 millones de yenes;
• 22 de octubre: denuncia ante la policía japonesa;
• 24 de octubre: GMO anuncia compensaciones y un servicio alternativo para los clientes y pide apoyo a las agencias gubernamentales;
• 25–26 de octubre: la empresa empieza a recoger los dispositivos de los clientes para buscar malware y entender el alcance del daño;
• 27 de octubre: según TechCrunch, GMO comunica que un presunto atacante ha publicado información que parece vinculada a la empresa y a sus clientes.

El alcance es amplio: GMO habla de hasta 26.739 servidores potencialmente afectados (TechCrunch redondea a 27.000). TechCrunch informa también de que la empresa recibió avisos de «operaciones no autorizadas» en las cuentas de trading de los clientes y pidió a todos que cambiaran sus contraseñas.

La amenaza de ransomware y la petición de apagar los PC

El elemento más inusual lo recogen Infosecurity Magazine y DataBreaches.net. Según Infosecurity Magazine, después de que GMO se negara a pagar, los atacantes anunciaron que desplegarían un ransomware a las 12:00 del 27 de octubre. GMO pidió entonces a los clientes que hicieran un análisis antivirus completo, una copia de seguridad de todos los datos, que desconectaran el PC de Internet y lo apagaran; DataBreaches.net cita la indicación literal de desenchufar todos los cables conectados al ordenador.

En el mismo aviso, citado por Infosecurity Magazine, GMO precisa que a las 11:59 del 27 de octubre no se había encontrado ningún malware, ransomware incluido, en los dispositivos ya analizados, pero que el análisis no ha terminado y aún deben llegar más dispositivos. Las fuentes no explican cómo los atacantes habrían podido llegar a los PC de los clientes a partir de los escritorios virtuales.

Lo que todavía no se sabe

Las fuentes no indican el vector de acceso inicial, ni CVE, ni familias de malware, ni el nombre de un grupo criminal. Por tanto, no hay indicadores de compromiso públicos que buscar.

TechCrunch recuerda que, una semana antes, la unidad de seguridad de GMO había informado del uso de Artex, una herramienta china de pruebas de penetración basada en IA, en ataques contra empresas japonesas; según un informe de CrowdStrike, la misma herramienta se usó en septiembre contra entidades financieras surcoreanas, aprovechando sobre todo controles débiles como la falta de autenticación multifactor. Sin embargo, GMO no ha vinculado públicamente Artex con la brecha de Onamae: es contexto, no una atribución.

Por qué afecta también a las empresas europeas

El caso muestra el riesgo de un proveedor de escritorios virtuales alojados (DaaS/VDI): un único punto comprometido da acceso a miles de entornos de clientes distintos y, en el caso de los traders, a sesiones ya conectadas a cuentas y plataformas financieras. Muchas empresas europeas e italianas usan servicios parecidos para el teletrabajo, los consultores externos o las aplicaciones de gestión.

Para las entidades sujetas a NIS2, la seguridad de la cadena de suministro es una de las medidas exigidas por el artículo 21; para bancos, intermediarios y otras entidades financieras, el reglamento DORA exige la gestión del riesgo de TIC de terceros y estrategias de salida de los proveedores críticos. Un incidente como este es justo el escenario que esos planes deben prever: servicio suspendido durante días, datos posiblemente exfiltrados, dispositivos que recoger y analizar.

Qué hacer ya

Si usas Onamae Desktop Cloud o lo usan tus empleados:

• sigue los avisos de GMO y cambia las contraseñas del servicio y de todas las cuentas a las que se accedía desde los escritorios virtuales, empezando por las de trading;
• revisa los movimientos y accesos recientes en las cuentas vinculadas y comunica enseguida a tu bróker cualquier operación que no reconozcas;
• trata los PC usados para conectarte como posiblemente en riesgo hasta que termine el análisis: análisis completo, copia de seguridad sin conexión y ninguna conexión a la red de la empresa hasta verificarlos.

Para cualquier servicio de escritorio remoto o virtual de terceros:

• autenticación multifactor obligatoria en todos los accesos remotos y en las cuentas accesibles desde las sesiones;
• limita los canales entre el escritorio alojado y el PC local (portapapeles, unidades e impresoras compartidas) a lo estrictamente necesario;
• revisa en los registros los accesos remotos fuera de horario, desde países poco habituales o tras ráfagas de intentos fallidos (técnicas MITRE ATT&CK T1133 External Remote Services y T1078 Valid Accounts);
• comprueba que los contratos incluyan plazos de notificación de incidentes, derecho de auditoría y un procedimiento de salida ya probado;
• guarda copias de seguridad sin conexión de los datos que pasan por el servicio.

Cómo ayuda ARXDOME

ARX Sentry muestra en sus páginas de identidades los accesos por escritorio remoto, los nocturnos y las ráfagas de intentos, de modo que un uso anómalo de las credenciales salga a la luz enseguida. ARX Expose señala las cuentas de la empresa que aparecen en filtraciones de datos, útil si la información publicada contuviera credenciales. Si un PC usado para conectarse al servicio parece sospechoso, ARX Shield te permite aislarlo de la red a la espera del análisis.

Última actualización: 28 de octubre de 2026