Ciberataque a GMO en Japón: cuentas de trading devastadas, GMO Coin dice estar a salvo

Robots de trading utilizados en contra de sus propietarios. En Japón, GMO Internet ha confirmado el robo de información de clientes en << Onamae.com Desktop Cloud >>, su servicio de servidores virtuales alquilado por miles de traders de forex para operar con MT4 y MT5. El exchange de la casa, GMO Coin, afirma no haber detectado ninguna operación fraudulenta en sus propias cuentas.

Puntos clave de este artículo:

• GMO Internet ha confirmado el robo de información de clientes en su servicio << Onamae.com Desktop Cloud >>, utilizado por miles de traders de forex.
• GMO Coin, la plataforma de intercambio de criptomonedas del grupo, ha sido salvaguardada de operaciones fraudulentas, pero ha aconsejado a sus usuarios que tomen medidas de seguridad adicionales.
• Tras el descubrimiento de programas maliciosos en algunos servidores, GMO se negó a pagar un rescate y solicitó la intervención del Estado para implementar la ciberdefensa activa.

GMO Coin a salvo pero en alerta

GMO Coin, la plataforma de intercambio de criptomonedas del grupo, publicó una advertencia el 23 de octubre. En ella aclara que no se ha confirmado ninguna operación no autorizada en este momento en sus cuentas de clientes.

A pesar de ello, el exchange pide a sus usuarios que verifiquen su historial de órdenes y sus saldos, que activen una clave de acceso y las notificaciones de inicio de sesión. Sobre todo, les aconseja eliminar las claves API no utilizadas o desconocidas. Una clave API es la llave que permite a un software de terceros, como un bot, realizar órdenes en su lugar.

Los stablecoins del grupo no aparecen en ninguno de los cinco informes publicados por GMO Internet. GYEN y ZUSD, emitidos por GMO Trust en Nueva York, están en proceso de liquidación. Sus poseedores pueden canjearlos a paridad hasta el 11 de noviembre de 2026, sin relación conocida con el ataque.

Lo que sucedió en los servidores de GMO

Todo comenzó con un mensaje de un cliente el 19 de octubre. Al día siguiente, GMO Internet descubre programas maliciosos instalados en algunos servidores. El 21 de octubre a las 4 horas, el proveedor de alojamiento corta todos los servicios.

La cifra de 26,739 servidores ha circulado mucho en X. Es correcta, pero se refiere a las máquinas potencialmente expuestas. GMO aclara que no se trata del número de servidores efectivamente comprometidos.

El problema radica en lo que contenían estas máquinas. Los traders dejaban correr sus software MT4 y MT5 conectados permanentemente a sus corredores, incluyendo sus identificadores. Luego, algunos clientes vieron pasar órdenes que nunca habían dado. La prensa japonesa cita a un particular de Kanagawa que habría perdido alrededor de 4 millones de yenes en dos segundos.

OANDA Japón, XMTrading, Titan FX, AXIORY e IronFX han pedido a sus clientes que cambien sus contraseñas. Desde el 22 de octubre, la Agencia de Servicios Financieros (FSA) ha solicitado a los corredores de forex, a través de su asociación profesional, que vigilen las transacciones anormales.

Rescate rechazado y llamado al Estado

El cuarto informe de GMO, fechado el 24 de octubre, confirma que se han exfiltrado datos de clientes. La empresa no especifica cuáles. También revela haber recibido una demanda de rescate, cuyo monto no se comunica.

Las amenazas están detalladas en el comunicado oficial de GMO. El atacante promete continuar realizando órdenes destructivas en cuentas abiertas en más de 70 corredores japoneses y extranjeros, publicar datos de clientes y lanzar un ransomware. Este número de 70 proviene, por tanto, del propio pirata. Ningún informe oficial lo confirma.

GMO se niega a pagar y ha transmitido sus intercambios a la policía. El grupo reembolsará las pérdidas sufridas por órdenes fraudulentas y pagará 5,000 yenes a cada cliente, afectado o no. El servicio no será restablecido.

【Importante】Disculpas y aviso sobre el acceso no autorizado a "Onamae.com Desktop Cloud" (Informe 4)

Lamentamos profundamente los inconvenientes y preocupaciones causadas a nuestros clientes.

A continuación, informamos sobre las medidas que hemos decidido tomar:
① Se pagará una compensación de 5,000 yenes a todos los clientes afectados...
--- Grupo GMO Internet (@GMOGroup) 24 de octubre de 2026

Más inusual, GMO ha solicitado al gobierno que implemente la ciberdefensa activa, que entró en vigor el 1 de octubre. Esta ley permite a la policía o las Fuerzas de Autodefensa neutralizar a distancia los servidores de un atacante. Al ser interrogado por la prensa, el secretario general del gobierno Minoru Kihara se negó a comentar sobre un caso particular. Según él, el Estado evaluará la conveniencia de una neutralización con o sin solicitud de la empresa.

Según Nikkei, el gobierno reunirá esta noche a los ministros involucrados para hacer frente a una serie de ciberataques.

Bots de criptomonedas y VPS: el mismo talón de Aquiles

Reemplace MT5 por un bot de trading en cuadrícula y un corredor de forex por Binance. El esquema sigue siendo el mismo. Muchos traders de criptomonedas alquilan un VPS para ejecutar sus scripts día y noche, con claves API almacenadas en texto claro en la máquina.

Japón conoce el precio de estas vulnerabilidades. En mayo de 2024, DMM Bitcoin perdió 4,502.9 BTC, es decir, aproximadamente 305 millones de dólares. El FBI y la policía japonesa atribuyeron el robo al grupo norcoreano TraderTraitor, una rama de Lazarus. El exchange anunció su cierre en diciembre de 2024.

Para GMO, nada permite identificar al autor hasta la fecha. El método también difiere. Nadie ha vaciado una billetera. El pirata utilizó los accesos de las víctimas para destruir su capital con órdenes perdedoras.

Si un bot opera en un servidor alquilado, sus claves API nunca deberían tener derecho de retiro y deberían estar limitadas a la dirección IP de ese servidor. Los clientes de GMO recibirán los detalles del reembolso antes del 6 de noviembre.