Onamae Desktop Cloud violato: falle note e sessioni di trading

Onamae.com Desktop Cloud è il servizio di server virtuali Windows di GMO Internet (gruppo GMO Internet Group, uno dei maggiori registrar di domini del Giappone), pubblicizzato come ambiente ideale per il trading automatico sul mercato dei cambi con MetaTrader 4. Dal 20 ottobre il servizio è al centro di un incidente grave: un attaccante ha installato programmi malevoli negli ambienti dei clienti, ha sottratto dati e ha chiesto un riscatto. Secondo GMO, i server potenzialmente coinvolti sono 26.739.

Le quattro fonti (BleepingComputer con due articoli, The Register e The Hacker News) seguono l’evoluzione degli avvisi dell’azienda. Il dato tecnico più rilevante è un’ammissione: le vulnerabilità sfruttate erano già state segnalate all’interno di GMO.

Cronologia

• 20 ottobre: GMO conferma un accesso non autorizzato e l’installazione di «programmi malevoli» in alcuni ambienti server dei clienti (BleepingComputer).
• 21 ottobre, ore 4:00 locali: inizia lo spegnimento progressivo dei server dei clienti. Il blocco riguarda tutti i piani, senza una data di ripartenza. I dati di pagamento, conservati su un’infrastruttura separata, non sarebbero coinvolti.
• Giorni successivi: alcuni clienti segnalano operazioni non autorizzate sui conti di trading. GMO ritiene probabile che le password dei servizi di trading siano state viste da terzi e ammette che dati dei clienti sono stati portati fuori dall’azienda (The Register).
• Richiesta di riscatto: 8 miliardi di yen, circa 50 milioni di dollari. GMO rifiuta di pagare perché il pagamento non garantirebbe la cancellazione dei dati.
• 26 ottobre: GMO avverte che l’attaccante minaccia di pubblicare i dati e di attivare un ransomware lasciato in precedenza sui server dei clienti (BleepingComputer).
• 27 ottobre: GMO chiede ai clienti di fare un backup e poi, entro mezzogiorno, di scollegare i PC dalla rete, spegnerli e staccare i cavi. Lavora con Trend Micro alla bonifica e conferma che dati dell’azienda e dei clienti sono stati pubblicati. Secondo BleepingComputer il ransomware non risulta attivato.
• 28 ottobre: The Hacker News riporta una ricompensa di 1 milione di dollari offerta da GMO per individuare i responsabili. Di questo articolo era disponibile solo il titolo: il dato viene da una sola fonte.

Cosa si sa sul piano tecnico

Le fonti non indicano CVE, vettore d’accesso iniziale, famiglie di malware o indicatori di compromissione. Si sa però che:

• in un post sul blog, ripreso da The Register, l’amministratore delegato Masatoshi Kumagai scrive che i sistemi del servizio avevano vulnerabilità già segnalate dagli hacker etici interni del gruppo. Le contromisure erano in corso, ma la risposta, rallentata per non toccare la disponibilità del servizio e da altre priorità, «non è stata abbastanza profonda e rapida»;
• secondo BleepingComputer, tra le informazioni esposte ci sono credenziali e dati dei conti MetaTrader 4 e 5;
• GMO avverte che alcune applicazioni di trading tengono aperte le sessioni anche dopo il cambio della password. Ha quindi chiesto alle principali società di trading di chiudere d’ufficio le sessioni attive, controllare le operazioni non autorizzate e bloccare gli ordini provenienti da Onamae Desktop Cloud (The Register);
• le password vanno cambiate da un dispositivo diverso da quello usato per il trading. Secondo The Register, GMO considera a rischio anche i dispositivi personali degli utenti, ma le fonti non spiegano come il malware potrebbe arrivarci dai server virtuali.

Kumagai cita anche ARTEX, uno strumento autonomo di penetration test basato sull’IA. Secondo l’unità di sicurezza del gruppo, il suo uso improprio è all’origine di attacchi contro circa 20 aziende giapponesi. Nel testo riportato da The Register, però, ARTEX non viene indicato come causa di questa violazione.

Per la caccia alle minacce, i fatti noti riguardano l’uso di credenziali valide sui conti (MITRE ATT&CK T1078 Valid Accounts) e un ransomware minacciato ma non attivato (T1486 Data Encrypted for Impact). Le fonti non bastano per una catena d’attacco più precisa.

Perché riguarda le aziende europee

Il caso mostra due problemi che riguardano anche chi non fa trading. Il primo: un fornitore di server o desktop virtuali ospitati concentra il rischio, perché una compromissione dell’infrastruttura raggiunge migliaia di clienti e tutte le sessioni aperte dai loro ambienti. Il secondo: cambiare la password non basta se le sessioni restano valide.

Per i soggetti NIS2 la sicurezza della catena di approvvigionamento è una misura dell’articolo 21. Per le entità finanziarie, DORA chiede di gestire il rischio ICT di terze parti, con piani di uscita dai fornitori critici. L’ammissione di GMO tocca anche la gestione delle vulnerabilità: i rilievi di un test interno vanno chiusi con scadenze precise, non rinviati per paura dei disservizi.

Cosa fare subito

Se tu o i tuoi collaboratori usate Onamae Desktop Cloud:

• cambia le password dei conti di trading e degli altri servizi usati dai server virtuali, da un dispositivo pulito;
• chiudi tutte le sessioni attive dal pannello del broker o chiedilo al suo supporto, poi controlla operazioni e accessi recenti;
• tratta come a rischio i PC usati per collegarti finché GMO non conclude l’analisi: backup offline, scansione completa e nessun collegamento alla rete aziendale fino alla verifica;
• diffida di email e telefonate che usano l’incidente come pretesto: GMO dichiara che non chiede mai password o dati di carta.

In generale:

• inserisci nelle procedure di risposta agli incidenti la revoca delle sessioni e dei token, non solo il cambio delle password, e verifica quali applicazioni critiche la permettono;
• per i conti più delicati usa autenticazione a più fattori e, dove il servizio lo prevede, una lista di indirizzi IP autorizzati;
• sui desktop ospitati limita al necessario appunti, unità e stampanti condivise con il PC locale;
• dai una scadenza ai rilievi dei penetration test interni e controllane la chiusura;
• chiedi ai fornitori di desktop e server virtuali tempi di notifica degli incidenti e una procedura di uscita già provata.

Come aiuta ARXDOME

ARX Shield mostra le vulnerabilità aperte delle macchine monitorate e permette di isolare dalla rete un PC sospetto in attesa dell’analisi. ARX Expose segnala gli account aziendali comparsi in violazioni di dati, utile se tra le informazioni pubblicate ci fossero credenziali dei tuoi utenti. ARX Sentry raccoglie log ed eventi di computer, server e firewall, così gli accessi anomali emergono in fretta.

Ultimo aggiornamento: 28 ottobre 2026