Взлом облака GMO: хакеры торговали со счетов клиентов
Коротко: В октябре 2026 года взломали облачный сервис Onamae.com Desktop Cloud японской GMO Internet. Под угрозой оказались до 26 739 арендованных серверов, на которых трейдеры держали терминалы MetaTrader. Злоумышленники украли логины от брокерских счетов, совершали сделки за владельцев и потребовали $50 млн выкупа. GMO платить отказалась и обещает компенсации.
Что произошло
GMO Internet — один из крупнейших интернет-провайдеров и регистраторов доменов Японии. Её сервис Onamae.com Desktop Cloud сдаёт в аренду удалённые Windows-компьютеры, и многие трейдеры используют их, чтобы торговые терминалы MetaTrader 4 и 5 и торговые роботы работали круглосуточно, не завися от домашнего компьютера. На этих машинах хранились и логины с паролями от брокерских счетов.
Именно они и стали целью. Злоумышленники установили вредоносную программу на клиентские серверы, вытащили учётные данные и начали совершать сделки, которых владельцы счетов не делали. О том, как вредоносы крадут сохранённые пароли и сессии, мы подробно писали в статье про инфостилеры.
Хронология атаки
- 19 октября — первый клиент сообщил о подозрительной активности.
- 20 октября — GMO обнаружила вредоносное ПО на серверах клиентов.
- 21 октября — компания начала поэтапно отключать все тарифы сервиса.
- 22 октября — японское подразделение брокера OANDA временно задержало вывод средств клиентов.
- 24 октября — GMO объявила план компенсаций.
- 27 октября — срок, к которому злоумышленники грозили опубликовать данные клиентов и запустить программу-шифровальщик. GMO попросила клиентов до полудня отключить компьютеры от сети и обесточить их.
Чего требовали хакеры
Атакующие потребовали 8 млрд иен, около $50 млн, в криптовалюте. В случае отказа они грозили выложить данные GMO и её клиентов, запустить шифровальщик и дальше распоряжаться торговыми счетами пользователей более чем 70 брокерских и форекс-компаний в Японии и за рубежом. GMO платить отказалась. По данным компании, платёжные данные клиентов не пострадали, а прежнюю платформу сервиса восстанавливать не будут.
Пострадавшим GMO обещает возместить подтверждённые убытки от несанкционированных сделок, включая комиссии, и выплатить по 5 000 иен каждому клиенту независимо от потерь. Заявки на возмещение по сделкам принимаются до 6 ноября.
Почему хранить пароли на удалённом сервере опасно?
Арендованный удалённый рабочий стол удобен: терминал работает круглые сутки, свет дома можно выключить. Но всё, что на нём лежит, вы доверяете чужой инфраструктуре. Если взломан провайдер, взломаны и все сохранённые в терминале пароли сразу у тысяч клиентов. Пользователь при этом может всё делать правильно и всё равно пострадать.
Отсюда главный вывод для тех, кто торгует через облачные серверы, VPS или удалённый доступ: такой сервер — это часть вашей системы безопасности, и он должен быть защищён не хуже, чем доступ к банку. Похожие риски мы разбирали в материале о мошенничестве через удалённый доступ.
Как защитить торговый счёт
- Смените пароли от брокерских счетов и почты, причём с другого, чистого устройства, а не с того сервера, где они хранились.
- Включите двухфакторную аутентификацию в личном кабинете брокера, если она доступна.
- Для роботов и мониторинга используйте пароль инвестора (только просмотр), если ваша платформа его поддерживает, и не храните основной пароль там, где он не нужен.
- Настройте ограничения на вывод: лимиты и белый список реквизитов в кабинете брокера, если такая функция есть.
- Регулярно проверяйте историю входов и сделок. Чем раньше заметите чужую операцию, тем проще её оспорить.
- Храните пароли в менеджере паролей, а не в автозаполнении терминала. Как выбрать надёжный, мы писали в гайде по менеджерам паролей.
Отдельно о VPN. Честно о границах: он не защитит взломанный сервер провайдера и не вернёт украденные пароли. Его роль — канал связи. Если вы подключаетесь к удалённому рабочему столу или кабинету брокера из кафе, гостиницы или другой чужой сети, LiMP VPN шифрует трафик, и перехватить его в этой сети не получится. Больше о защите финансовых входов — в статье о безопасном онлайн-банкинге.
Источники
Частые вопросы
Кого затронул взлом GMO?
Клиентов сервиса Onamae.com Desktop Cloud: под угрозой до 26 739 серверов. Злоумышленники упоминали счета в более чем 70 брокерских и форекс-компаниях.
Что сделать, если я торгую через облачный сервер?
Смените пароли с чистого устройства, включите двухфакторную защиту у брокера, используйте пароль инвестора для роботов и проверьте историю сделок.
Спас бы VPN от такой атаки?
Нет. Взломали сам сервер провайдера, а VPN защищает только канал связи. Он полезен, когда вы подключаетесь к серверу или брокеру из чужой сети.