GMO Internet: violato Onamae Desktop Cloud, dati pubblicati

Il gruppo giapponese GMO Internet sta gestendo un grave incidente su Onamae Desktop Cloud, il servizio di desktop virtuali del marchio Onamae.com usato soprattutto da chi opera sul mercato dei cambi (forex). Dopo l’accesso non autorizzato, gli attaccanti hanno chiesto un riscatto di circa 8 miliardi di yen (circa 50 milioni di dollari) e, secondo l’ultimo aggiornamento dell’azienda, hanno pubblicato informazioni che sembrano riguardare GMO e i suoi clienti. L’autenticità dei dati è ancora in verifica.

Cosa è successo

Le tre testate che hanno seguito il caso (TechCrunch, Infosecurity Magazine e DataBreaches.net) concordano sulla sequenza principale, ricostruita dagli avvisi pubblicati da GMO:

• 20 ottobre: secondo Infosecurity Magazine, GMO scopre che in alcuni ambienti server dei clienti sono stati installati «programmi malevoli»;
• 21 ottobre: il servizio viene sospeso e arriva l’email di estorsione con la richiesta di circa 8 miliardi di yen;
• 22 ottobre: denuncia alla polizia giapponese;
• 24 ottobre: GMO annuncia indennizzi e un servizio alternativo per i clienti e chiede supporto alle agenzie governative;
• 25–26 ottobre: l’azienda inizia a ritirare i dispositivi dei clienti per cercare malware e capire l’entità del danno;
• 27 ottobre: secondo TechCrunch, GMO comunica che un presunto attaccante ha pubblicato informazioni che sembrano collegate all’azienda e ai clienti.

Il perimetro è ampio: GMO indica fino a 26.739 server potenzialmente coinvolti (TechCrunch arrotonda a 27.000). TechCrunch riferisce anche che l’azienda ha ricevuto segnalazioni di «operazioni non autorizzate» sui conti di trading dei clienti e che ha invitato tutti a cambiare le password.

La minaccia di ransomware e l’invito a spegnere i PC

L’elemento più insolito lo riportano Infosecurity Magazine e DataBreaches.net. Secondo Infosecurity Magazine, dopo il rifiuto di pagare gli attaccanti hanno annunciato che avrebbero distribuito un ransomware alle 12:00 del 27 ottobre. GMO ha quindi chiesto ai clienti di fare una scansione antivirus completa, un backup di tutti i dati, scollegare il PC da Internet e spegnerlo; DataBreaches.net cita l’invito letterale a staccare tutti i cavi collegati al computer.

Nello stesso avviso, ripreso da Infosecurity Magazine, GMO precisa che alle 11:59 del 27 ottobre nessun malware, ransomware compreso, era stato trovato sui dispositivi già analizzati, ma che l’analisi non è conclusa e altri dispositivi devono ancora arrivare. Le fonti non spiegano come gli attaccanti avrebbero potuto raggiungere i PC dei clienti a partire dai desktop virtuali.

Cosa non si sa ancora

Le fonti non indicano il vettore d’accesso iniziale, né CVE, né famiglie di malware, né il nome di un gruppo criminale. Non esistono quindi indicatori di compromissione pubblici da cercare.

TechCrunch ricorda che circa una settimana prima l’unità di sicurezza di GMO aveva segnalato l’uso di Artex, uno strumento cinese di penetration test basato sull’IA, in attacchi contro aziende giapponesi; secondo un rapporto di CrowdStrike lo stesso strumento è stato usato a settembre contro istituti finanziari sudcoreani, sfruttando soprattutto controlli deboli come l’assenza di autenticazione a più fattori. GMO però non ha collegato pubblicamente Artex alla violazione di Onamae: è un contesto, non un’attribuzione.

Perché riguarda anche le aziende europee

Il caso mostra il rischio di un fornitore di desktop virtuali ospitati (DaaS/VDI): un singolo punto compromesso dà accesso a migliaia di ambienti di clienti diversi e, nel caso dei trader, a sessioni già collegate a conti e piattaforme finanziarie. Molte aziende italiane usano servizi simili per il lavoro da remoto, per i consulenti esterni o per applicazioni gestionali.

Per i soggetti NIS2 la sicurezza della catena di approvvigionamento è una delle misure richieste dall’articolo 21; per banche, intermediari e altre entità finanziarie il regolamento DORA impone la gestione del rischio ICT di terze parti e piani di uscita dai fornitori critici. Un incidente come questo è il caso tipico da prevedere in quei piani: servizio sospeso per giorni, dati potenzialmente esfiltrati, dispositivi da ritirare e analizzare.

Cosa fare subito

Se usi Onamae Desktop Cloud o hai dipendenti che lo usano:

• segui gli avvisi di GMO e cambia le password del servizio e di tutti i conti a cui si accedeva dai desktop virtuali, in primo luogo quelli di trading;
• controlla movimenti e accessi recenti sui conti collegati e segnala subito le operazioni non riconosciute al broker;
• tratta i PC usati per collegarsi come potenzialmente a rischio finché l’analisi non è conclusa: scansione completa, backup offline, nessun collegamento alla rete aziendale fino alla verifica.

Per qualsiasi servizio di desktop remoto o virtuale di terze parti:

• autenticazione a più fattori obbligatoria su tutti gli accessi remoti e sui conti raggiungibili dalle sessioni;
• limita i canali tra desktop ospitato e PC locale (appunti, unità e stampanti condivise) a quanto strettamente necessario;
• controlla nei log gli accessi remoti fuori orario, da paesi insoliti o dopo raffiche di tentativi falliti (tecniche MITRE ATT&CK T1133 External Remote Services e T1078 Valid Accounts);
• verifica nei contratti tempi di notifica degli incidenti, possibilità di audit e una procedura di uscita già provata;
• tieni backup offline dei dati che passano dal servizio.

Come aiuta ARXDOME

ARX Sentry mostra nelle pagine dedicate alle identità gli accessi in desktop remoto, quelli notturni e le raffiche di tentativi, così un uso anomalo delle credenziali emerge in fretta. ARX Expose segnala gli account aziendali comparsi in violazioni di dati, utile se le informazioni pubblicate dovessero contenere credenziali. Se un PC usato per collegarsi al servizio risulta sospetto, ARX Shield permette di isolarlo dalla rete in attesa dell’analisi.

Ultimo aggiornamento: 28 ottobre 2026