GMO Internet confirmó que un ciberataque a su servicio de escritorios en la nube expuso información de clientes, algunos de los cuales reportaron operaciones que no reconocen en sus cuentas de divisas. Una investigación de Kyodo News apunta a un posible vínculo con un grupo de piratas informáticos asociado con Corea del Norte, pero la autoría sigue sin establecerse públicamente.
El caso ha coincidido con otra filtración dentro del grupo japonés. La cifra de 45,030 personas divulgada por GMO GlobalSign corresponde a un incidente de su servicio de gestión de identidades y no es un recuento de víctimas del ataque a los escritorios.
Qué pasó con las cuentas de divisas
Onamae.com Desktop Cloud ofrece escritorios remotos que algunos clientes utilizaban para ejecutar programas de negociación de divisas. GMO Internet detectó un programa malicioso en los servidores de algunos usuarios el 20 de octubre de 2026 y comenzó a suspender el servicio en todos sus planes al día siguiente.
En su reporte del 22 de octubre, la empresa indicó que 26,739 servidores podían estar afectados. El número se refiere a entornos potencialmente expuestos: no equivale a servidores con intrusiones confirmadas ni al total de personas afectadas. GMO confirmó después que se había extraído información de clientes y señaló que investigaba si se habían obtenido y utilizado credenciales de sus cuentas de negociación.
La corredora OANDA Japan informó el 26 de octubre que terceros habían accedido y realizado operaciones en cuentas de algunos clientes mediante credenciales posiblemente filtradas. La empresa atribuyó el incidente a información almacenada en servidores externos y dijo que no había detectado una intrusión en sus sistemas centrales.
GMO anunció un pago de 5,000 yenes para cada cliente del servicio, incluso si no sufrió pérdidas. Por separado, prometió compensar las pérdidas realizadas y las comisiones de operaciones que su investigación confirme como no autorizadas y vinculadas con el ataque. La cobertura excluye, entre otros conceptos, pérdidas por fluctuaciones del mercado y ganancias que se habrían podido obtener. La empresa prevé comunicar el procedimiento y el calendario de pagos a más tardar el 6 de noviembre.
La cifra de 45,030 personas corresponde a otra filtración
El 30 de octubre, GMO GlobalSign actualizó el alcance de una filtración en Trust Login, su servicio de gestión de identidades: los archivos obtenidos por terceros contenían datos de 45,030 personas de 2,492 empresas. El problema se había detectado en septiembre, antes de que GMO Internet iniciara su investigación del ataque a Desktop Cloud.
GlobalSign explicó que una configuración incorrecta dejó archivos disponibles desde 2017 hasta septiembre de 2026. Los registros permitieron confirmar que terceros obtuvieron información a partir de junio de 2021; no había registros anteriores para determinar si también accedieron antes. Los comunicados consultados no establecen un vínculo entre esa filtración y el ataque a los escritorios.
Las pistas sobre los autores siguen bajo examen
Kyodo News informó, con base en fuentes cercanas al caso, que un análisis del grupo GMO apuntaba a la posible participación de un grupo vinculado con Corea del Norte. La agencia también examinó, junto con especialistas, accesos a una página que reivindicaba el ataque: cinco direcciones IP coincidían con otras utilizadas previamente por un grupo norcoreano. Esa coincidencia no identifica por sí sola a quien ejecutó el ataque.
Un directivo de GMO dijo a TBS que la empresa investiga esa posibilidad. Por otra parte, Kyodo reportó que un sitio que invitaba a las víctimas a compartir información se registró el 19 de octubre, antes del anuncio público del incidente, y presentaba similitudes de diseño y código con la página de reivindicación. Los expertos consultados por la agencia consideran posible que el atacante lo creara para obtener información de las víctimas.
GMO rechazó las exigencias de pago de quien decía estar detrás del ataque. Su presidente, Masatoshi Kumagai, tiene prevista una conferencia de prensa el 2 de noviembre en Japón para abordar el incidente y la respuesta de la compañía.
