Onamae Desktop Cloud: fallos conocidos y sesiones de trading

Onamae.com Desktop Cloud es el servicio de servidores virtuales Windows de GMO Internet (grupo GMO Internet Group, uno de los mayores registradores de dominios de Japón), promocionado como entorno ideal para el trading automático en el mercado de divisas con MetaTrader 4. Desde el 20 de octubre el servicio está en el centro de un incidente grave: un atacante instaló programas maliciosos en los entornos de los clientes, robó datos y pidió un rescate. Según GMO, los servidores posiblemente afectados son 26.739.

Las cuatro fuentes (BleepingComputer con dos artículos, The Register y The Hacker News) siguen la evolución de los avisos de la empresa. El dato técnico más relevante es una admisión: las vulnerabilidades explotadas ya se habían señalado dentro de GMO.

Cronología

• 20 de octubre: GMO confirma un acceso no autorizado y la instalación de «programas maliciosos» en algunos entornos de servidor de los clientes (BleepingComputer).
• 21 de octubre, 4:00 hora local: empieza el apagado progresivo de los servidores de los clientes. El bloqueo afecta a todos los planes, sin fecha de reanudación. Los datos de pago, guardados en una infraestructura separada, no estarían afectados.
• Días siguientes: algunos clientes señalan operaciones no autorizadas en sus cuentas de trading. GMO considera probable que terceros hayan visto las contraseñas de los servicios de trading y admite que se sacaron datos de clientes fuera de la empresa (The Register).
• Petición de rescate: 8.000 millones de yenes, unos 50 millones de dólares. GMO se niega a pagar porque el pago no garantizaría que se borren los datos.
• 26 de octubre: GMO avisa de que el atacante amenaza con publicar los datos y activar un ransomware dejado antes en los servidores de los clientes (BleepingComputer).
• 27 de octubre: GMO pide a los clientes que hagan una copia de seguridad y después, antes del mediodía, desconecten los PC de la red, los apaguen y desenchufen los cables. Trabaja con Trend Micro en la limpieza y confirma que se han publicado datos de la empresa y de los clientes. Según BleepingComputer, el ransomware no parece haberse activado.
• 28 de octubre: The Hacker News informa de una recompensa de 1 millón de dólares ofrecida por GMO para identificar a los responsables. De ese artículo solo estaba disponible el titular: el dato procede de una sola fuente.

Lo que se sabe en el plano técnico

Las fuentes no indican CVE, vector de acceso inicial, familias de malware ni indicadores de compromiso. Pero se sabe que:

• en una entrada de su blog, citada por The Register, el consejero delegado Masatoshi Kumagai escribe que los sistemas del servicio tenían vulnerabilidades ya señaladas por los hackers éticos internos del grupo. Las contramedidas estaban en marcha, pero la respuesta, frenada para no afectar a la disponibilidad del servicio y por otras prioridades, «no tuvo la profundidad ni la rapidez suficientes»;
• según BleepingComputer, entre la información expuesta hay credenciales y datos de cuentas de MetaTrader 4 y 5;
• GMO advierte de que algunas aplicaciones de trading mantienen las sesiones abiertas incluso después de cambiar la contraseña. Por eso ha pedido a las principales empresas de trading que cierren de oficio las sesiones activas, vigilen las operaciones no autorizadas y bloqueen las órdenes procedentes de Onamae Desktop Cloud (The Register);
• las contraseñas deben cambiarse desde un dispositivo distinto del que se usa para el trading. Según The Register, GMO considera en riesgo también los dispositivos personales de los usuarios, pero las fuentes no explican cómo podría llegar a ellos el malware desde los servidores virtuales.

Kumagai cita también ARTEX, una herramienta autónoma de pruebas de penetración basada en IA. Según la unidad de seguridad del grupo, su uso indebido está en el origen de ataques contra unas 20 empresas japonesas. En el texto citado por The Register, sin embargo, ARTEX no se señala como causa de esta brecha.

Para la búsqueda de amenazas, los hechos conocidos se refieren al uso de credenciales válidas en las cuentas (MITRE ATT&CK T1078 Valid Accounts) y a un ransomware anunciado pero no activado (T1486 Data Encrypted for Impact). Las fuentes no bastan para una cadena de ataque más precisa.

Por qué afecta a las empresas europeas

El caso muestra dos problemas que van más allá del trading. El primero: un proveedor de servidores o escritorios virtuales alojados concentra el riesgo, porque comprometer su infraestructura alcanza a miles de clientes y a todas las sesiones abiertas desde sus entornos. El segundo: cambiar la contraseña no basta si las sesiones siguen siendo válidas.

Para las entidades sujetas a NIS2, la seguridad de la cadena de suministro es una de las medidas del artículo 21. Para las entidades financieras, DORA exige gestionar el riesgo de TIC de terceros, con planes de salida de los proveedores críticos. La admisión de GMO afecta también a la gestión de vulnerabilidades: los hallazgos de una prueba interna deben cerrarse con plazos precisos, no aplazarse por miedo a las interrupciones.

Qué hacer ya

Si tú o tus colaboradores usáis Onamae Desktop Cloud:

• cambia las contraseñas de las cuentas de trading y de los demás servicios usados desde los servidores virtuales, desde un dispositivo limpio;
• cierra todas las sesiones activas desde el panel del bróker o pídeselo a su soporte, y después revisa las operaciones y los accesos recientes;
• trata como en riesgo los PC usados para conectarte hasta que GMO termine el análisis: copia de seguridad sin conexión, análisis completo y ninguna conexión a la red de la empresa hasta la verificación;
• desconfía de correos y llamadas que usen el incidente como pretexto: GMO declara que nunca pide contraseñas ni datos de tarjetas.

En general:

• incluye en tus procedimientos de respuesta a incidentes la revocación de sesiones y tokens, no solo el cambio de contraseñas, y comprueba qué aplicaciones críticas lo permiten;
• para las cuentas más delicadas, usa autenticación multifactor y, donde el servicio lo ofrezca, una lista de direcciones IP autorizadas;
• en los escritorios alojados, limita a lo necesario el portapapeles, las unidades y las impresoras compartidas con el PC local;
• pon un plazo a los hallazgos de las pruebas de penetración internas y controla que se cierren;
• pide a los proveedores de escritorios y servidores virtuales plazos de notificación de incidentes y un procedimiento de salida ya probado.

Cómo ayuda ARXDOME

ARX Shield muestra las vulnerabilidades abiertas de las máquinas monitorizadas y permite aislar de la red un PC sospechoso a la espera del análisis. ARX Expose señala las cuentas de la empresa aparecidas en brechas de datos, útil si entre la información publicada hubiera credenciales de tus usuarios. ARX Sentry recoge registros y eventos de ordenadores, servidores y cortafuegos, para que los accesos anómalos salgan a la luz enseguida.

Última actualización: 28 de octubre de 2026