GMO: invasão confirmada, ransomware anunciado ainda sem prova
GMO Internet (Onamae.com Desktop Cloud)
alegado em · apurado em
A invasão do Onamae.com Desktop Cloud e a exfiltração de dados de clientes são fatos confirmados pela própria GMO, e há perdas reais por negociações não autorizadas. O ransomware ameaçado para 27/10 não foi demonstrado, e a única amostra publicada pelo ator foi contestada pela pessoa citada. Ninguém apresentou uma contagem de registros.
Juízos analíticos
Cada avaliação vem com seu nível de confiança declarado, conforme a prática de inteligência (ICD 203 / FIRST). Confiança alta não é certeza; confiança baixa não é chute — é o peso que a evidência disponível sustenta.
Houve acesso não autorizado ao Onamae.com Desktop Cloud e exfiltração de informações de clientes. A GMO confirmou isso em 24/10 (4º relatório). A corretora OANDA Japan relatou, de forma independente, logins e operações de terceiros em contas de clientes com pares ID/senha que ela acredita terem vazado dos servidores da GMO. A polícia de Tóquio investiga. O que o desmentiria: uma retificação da GMO ou da polícia, o que não há indício de que vá ocorrer.
A execução de ransomware nos PCs dos clientes não está demonstrada. Às 11h59 de 27/10, a GMO disse que nenhum dos dispositivos já analisados tinha malware, incluindo ransomware. Em 28/10 o site do ator não tinha sido atualizado ao meio-dia. A ameaça deve ser tratada como alegação não verificada, e a análise dos aparelhos continua. O que a desmentiria: malware ou criptografia encontrados em dispositivos de clientes.
Não existe número oficial de registros, e 26.739 não é contagem de registros. É o teto de servidores potencialmente afetados, não de invasões ou roubos confirmados. Qualquer manchete que transforme esse número em 'vítimas' ou 'registros vazados' extrapola as fontes.
A prova de escala do ator é fraca até agora. Ele publicou dados de uma única pessoa ('vítima nº 1'). Essa pessoa disse à imprensa que o conteúdo é quase todo falso e que nunca usou o serviço de FX da GMO. Isso é compatível com dados fabricados, compilados de outras fontes ou sem relação com a base do Desktop Cloud. A origem dessa amostra é inferência e não está provada. A capacidade do ator de publicar dados genuínos da GMO em volume continua sem demonstração pública. O que a desmentiria: a GMO confirmar que registros publicados vêm de sua base.
O valor da extorsão foi reportado de duas formas, e a GMO não explicou a diferença. O blog do CEO de 26/10 cita US$ 50 milhões (cerca de ¥8 bilhões), com prazo inicial em 21/10. Veículos japoneses (NHK, ITmedia, TBS) citam US$ 1 milhão (cerca de ¥150 milhões) para o prazo de 27/10 ao meio-dia. Pode ser redução de pedido, pedidos distintos ou erro de reportagem. Não há base para escolher entre essas hipóteses.
O vetor de entrada é desconhecido publicamente. Não achei vínculo comprovado com CVE específico nem com a ferramenta de IA ARTEX, que apareceu em reportagens secundárias a partir de declarações do CEO sobre uso indevido de IA. Quem afirma o contrário hoje está especulando.
Análise
Correção do registro: a data 2026-10-28 é a da republicação no DataBreaches.net, não a do incidente. A GMO detectou programas maliciosos em 20/10 e anunciou o caso em 21/10, e a confirmação de exfiltração veio em 24/10. O selo 'claimed' estava errado: a vítima confirmou a intrusão e o roubo de dados, e a polícia investiga. O nome da organização no registro também era uma manchete truncada. A vítima é a GMO Internet, subsidiária da GMO Internet Group, e o serviço é o Onamae.com Desktop Cloud, uma VPS Windows usada para robôs de trading de FX com MT4/MT5.
O que a vítima admite: acesso não autorizado, exfiltração de informações de clientes e programas maliciosos em servidores de clientes. A GMO afirma que não guarda dados de cartão nesses servidores, mas que credenciais salvas em MT4/MT5 e qualquer arquivo do cliente podem ter sido vistos. Ela se recusa a pagar e diz que o que o ator publicar pode conter conteúdo falso. Também decidiu não reativar a plataforma e pediu ao governo medidas de 'defesa cibernética ativa'. A empresa não divulgou como o atacante entrou nem quantos registros foram levados.
O que o ator alega: não há grupo nomeado em nenhuma fonte que li, e a imprensa fala em 'grupo de hackers' anônimo. Ele alega ter dados da GMO e de clientes, ameaça publicar tudo aos poucos, diz que a divulgação completa levaria anos e prometeu atacar os PCs dos clientes ao meio-dia de 27/10. Não encontrei alegação de número de registros pelo ator. Por isso os dois campos de registros ficam em branco: o único número circulante, 26.739, é de servidores potencialmente afetados.
O que as evidências demonstram: além da confirmação da GMO, a OANDA Japan confirmou que terceiros operaram contas de clientes com credenciais que acredita virem do ambiente da GMO. Também havia perdas reportadas por clientes à polícia. A OANDA diz não ter encontrado invasão em seus próprios sistemas centrais até 26/10. Isso aponta para roubo e reuso de credenciais armazenadas nos servidores, e não para falha das corretoras. É inferência a partir de fontes convergentes, mas a GMO não detalhou o mecanismo.
Onde as versões divergem: (1) o valor do resgate, US$ 50 milhões segundo o blog do CEO e US$ 1 milhão segundo a imprensa para o prazo de 27/10, sem explicação oficial; (2) o ransomware, que foi ameaçado e para o qual a GMO mandou desligar PCs, mas não foi observado nos aparelhos já analisados; (3) a amostra publicada, atribuída a um cliente que nega ter usado o serviço e diz que os dados são quase todos falsos. A GMO também advertiu que a publicação pode conter conteúdo falso. Nenhuma dessas divergências desmente a invasão, mas todas limitam o que se pode dizer sobre o alcance.
Sobre o pedido de desligar os PCs: um CEO de empresa de segurança disse ao Nikkei que desligar apaga rastros e dificulta a perícia, mas que a instrução simples fazia sentido para muitos aparelhos pessoais. A GMO, ao mesmo tempo, recolhe PCs de clientes para análise. A manchete de que clientes 'devem desconectar PCs por ameaça de ransomware' é correta como descrição do aviso, mas não prova que houve ransomware.
Duas ressalvas de contexto. Primeiro, um incidente distinto envolveu a GMO Research & AI (serviço infoQ, até 948.498 pessoas, segundo o Nikkei, causa atribuída a vulnerabilidade de software). Não há evidência de ligação com este caso e os números não devem ser somados. Segundo, o CEO atribuiu a onda de ataques ao uso indevido de IA, e a ferramenta ARTEX apareceu em reportagens secundárias. Não encontrei fonte legível que ligue essa ferramenta a esta intrusão.
Cronologia
- 19 out 2026A GMO recebe uma consulta de cliente e começa a investigar.
- 20 out 2026A GMO confirma a instalação de programas maliciosos em ambientes de servidor de alguns clientes. Novos pedidos e o painel de controle são suspensos.
- 21 out 2026Servidores de todos os planos são desligados e a GMO publica o 1º relatório, com 26.739 servidores potencialmente afetados. Clientes começam a relatar operações não reconhecidas em contas de trading. A empresa recebe um e-mail de extorsão (cerca de US$ 50 milhões, segundo a imprensa).
- 22 out 2026A GMO consulta a polícia de Tóquio (Keishichō) sobre o caso.
- 23 out 2026A GMO Internet Group faz comunicado ao mercado sobre acesso não autorizado em serviço de subsidiária.
- 24 out 20264º e 5º relatórios: a GMO confirma acesso não autorizado e exfiltração de informações de clientes, diz que não pagará, anuncia que não reativará a plataforma atual, oferece serviço substituto gratuito por 6 meses e ¥5.000 por cliente, além de ressarcir perdas verificadas.
- 26 out 2026O CEO publica no blog o pedido de US$ 50 milhões. A NHK reporta ameaça de vazamento e prazo de US$ 1 milhão até o meio-dia de 27/10.
- 27 out 2026Pela manhã a GMO pede que clientes façam backup, desconectem e desliguem os PCs. Às 11h59 diz que nenhum aparelho analisado tinha malware. Às 12h30 confirma a publicação de informações atribuídas a um cliente e à empresa. O ator promete publicar diariamente ao meio-dia. A pessoa exposta diz que os dados são quase todos falsos. A polícia confirma investigação por violação da lei de acesso não autorizado. A GMO anuncia recompensa de até US$ 1 milhão e 'especial indenização' de até ¥3 milhões por pessoa exposta.
- 28 out 2026A GMO confirma que o domínio do site do ator e seus espelhos foram derrubados por volta das 4h (JST), com a ressalva de uma fonte de segurança de que o site seguia parcialmente acessível. A empresa informa em fato relevante que ainda não calculou quantos clientes serão cobertos pelos pagamentos.
Dados envolvidos
Impacto
Os clientes do Onamae.com Desktop Cloud (usuários de VPS para trading automatizado de FX) tiveram o serviço suspenso e a plataforma não será reativada. Parte deles sofreu operações não autorizadas em contas de corretoras e relatou prejuízos à polícia. A GMO pagará ¥5.000 a cada cliente atual, ressarcirá perdas verificadas e oferecerá serviço substituto gratuito por 6 meses. Pessoas cujos dados forem publicados poderão receber até ¥3 milhões em 'especial indenização'. O volume de pessoas efetivamente afetadas e o custo total não foram divulgados. Em 28/10 a empresa disse que ainda não havia calculado quantos clientes os pagamentos cobrirão.
Elos técnicos
Recomendações
- Clientes do serviço: trocar senhas e segredos das contas de corretoras e plataformas MT4/MT5 a partir de um dispositivo limpo, encerrar sessões ativas, habilitar MFA e conferir histórico de ordens e saldos.
- Qualquer credencial, chave de API ou token que tenha sido salvo em servidor do Desktop Cloud deve ser considerado comprometido e rotacionado, inclusive os reutilizados em outros serviços.
- PCs que se conectaram ao serviço devem ser varridos com antivírus completo e analisados para persistência antes de voltar à rede. Se for desligar um equipamento antes disso, preservar o disco e os logs para perícia.
- Corretoras e plataformas de trading: monitorar logins vindos de faixas de IP de VPS/hosting, múltiplas contas acessadas do mesmo IP, e ordens fora do padrão histórico do cliente, e restringir sessões a partir de ambientes de hospedagem compartilhada.
- Provedores de VPS e desktop remoto: não permitir armazenamento de credenciais de terceiros em texto claro nas instâncias, segmentar o plano de gerenciamento do plano de cliente, e ter capacidade de isolar instâncias em massa e preservar evidências.
- Equipes de resposta: tratar qualquer 'prova' publicada pelo ator como não verificada até confirmação do dono dos dados. Não acessar sites de vazamento e não amplificar amostras.
Lacunas de inteligência
O que ainda não sabemos. Um relatório que não declara seus buracos está vendendo, não analisando.
Quantos registros e clientes foram de fato exfiltrados. Resolveria: contagem oficial da GMO ou notificação a regulador.
Como o atacante entrou e quanto tempo ficou na rede. Resolveria: relatório técnico/forense da GMO ou do órgão de investigação.
Se os programas maliciosos nos servidores tinham capacidade de ransomware. Resolveria: resultado da análise dos PCs recolhidos de clientes.
Quem é o ator e se tem nome ou marca de grupo. Resolveria: atribuição policial ou indicação técnica de pesquisadores.
Por que o resgate foi reportado como US$ 50 milhões e depois US$ 1 milhão. Resolveria: esclarecimento da GMO ou publicação da nota de extorsão.
De onde veio a amostra publicada e se alguma publicação contém dados reais da GMO. Resolveria: confirmação da GMO sobre quais registros publicados são autênticos.
Se houve notificação ao regulador de proteção de dados do Japão (PPC) ou à FSA. Não encontrei manifestação de nenhum deles; resolveria um comunicado do órgão ou um relatório da GMO sobre essa notificação.
Se a ferramenta ARTEX ou outra automação com IA teve papel na intrusão. Resolveria: evidência técnica pública; hoje só há declarações genéricas do CEO em fontes secundárias.
Se o site do ator voltou sob outro domínio. Resolveria: monitoramento contínuo; uma fonte de segurança disse que ele seguia parcialmente acessível em 28/10.
Fontes e avaliação
Notação Admiralty (padrão NATO, usado por CERT-EU e OpenCTI): a letra avalia a confiabilidade da FONTE (A completamente confiável a F não avaliada); o número avalia a credibilidade da INFORMAÇÃO (1 confirmada a 6 não julgável). As duas dimensões são avaliadas de forma independente — fonte boa não torna informação frágil confiável.