Attacco hacker a GMO in Giappone: accessi salvati su server di trading in affitto, GMO Coin non vede operazioni non autorizzate

L’attacco hacker a GMO Giappone ha colpito i server che i trader retail giapponesi affittano per far girare i loro bot di trading, non un exchange di criptovalute. blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il 21 ottobre GMO Internet ha comunicato di aver trovato un malware negli ambienti dei clienti di Onamae.com Desktop Cloud, il suo servizio di server virtuali Windows, e che 26.739 server potevano essere esposti. Nel quarto aggiornamento, valido alle 11:50 ora di Tokyo del 24 ottobre, la società ha confermato che dati dei clienti sono stati portati all’esterno, ha detto di aver ricevuto una richiesta di denaro che non pagherà e ha promesso a ogni cliente attuale 5.000 yen fissi (circa 32 dollari) più un risarcimento per le operazioni che riconoscerà come non autorizzate, secondo l’avviso del gruppo GMO.

Il danno non è nato dentro le mura di GMO. I clienti usavano queste macchine in affitto per tenere MetaTrader 4 e MetaTrader 5 in funzione giorno e notte, con le credenziali dei broker salvate sopra. Una volta entrati, gli aggressori hanno usato quegli accessi per piazzare operazioni in perdita nei conti dei clienti presso broker FX e società di intermediazione terzi. Alcuni utenti raccontano di saldi azzerati in pochi minuti.

GMO Coin, l’exchange di criptovalute regolamentato dello stesso gruppo, ha dichiarato di non aver finora trovato attività non autorizzate nei conti dei suoi clienti, come riportato da TokenPost il 24 ottobre. Nessuna fonte spiega perché i suoi clienti sembrino al riparo. L’exchange ha comunque chiesto agli utenti di eliminare le chiavi API che non usano più o che non riconoscono.

26.739 server spenti: la cronologia della violazione di Onamae.com Desktop Cloud

Le comunicazioni di GMO permettono di ricostruire la vicenda giorno per giorno. L’indagine è partita il 19 ottobre, dopo la segnalazione di un cliente. Il giorno dopo i tecnici hanno trovato un programma non autorizzato installato in alcuni ambienti server dei clienti, e GMO ha sospeso le nuove iscrizioni e il pannello di controllo.

Alle 4:00 del mattino in Giappone del 21 ottobre, GMO ha cominciato a spegnere uno dopo l’altro i server di tutti i piani Desktop Cloud. Il suo primo avviso su Onamae.com indicava 26.739 server che potevano essere interessati e avvertiva che le informazioni conservate sopra potevano essere state visualizzate. In quel momento non era confermata alcuna fuga di dati personali. La società precisava di non conservare dati di pagamento con carta per questo servizio e non fissava una data di riavvio.

Quel numero, 26.739, indica i server potenzialmente coinvolti. Non è un conteggio delle vittime, e GMO non ha detto quante macchine siano state davvero infettate.

Dal 21 ottobre i clienti hanno iniziato a segnalare operazioni sconosciute nei conti di trading e FX. GMO ha condiviso i dettagli con le società partner e ha chiesto aiuto per avvisare gli utenti. Il 22 ottobre ha consultato la polizia e ha pubblicato il secondo aggiornamento alle 16:59. Il terzo è arrivato il 23 ottobre alle 16:10.

Il quarto aggiornamento, il 24 ottobre, ha cambiato la dimensione del caso. GMO ha scritto di aver confermato un accesso non autorizzato al proprio ambiente e che informazioni dei clienti sono state portate fuori. Non ha detto quante né quali campi.

Come sono entrati gli aggressori: credenziali salvate su server in affitto

Un desktop cloud è un computer Windows che vive in un data center. I trader ne affittano uno perché i loro expert advisor, le strategie automatiche di MetaTrader, continuino a girare anche quando il PC di casa è spento. Per farlo, la piattaforma deve restare collegata al broker. Quindi le credenziali del broker stanno sulla macchina in affitto.

È questo che ha reso la violazione così costosa. Chi controlla il server non ha bisogno di fare phishing a nessuno: la piattaforma è già aperta e autenticata. La prima istruzione di GMO ai clienti è stata cambiare tutti gli ID e le password salvati o usati su quei server, e le stesse password ovunque fossero state riutilizzate.

GMO non ha pubblicato la via d’ingresso. Non ha detto se il programma malevolo sia arrivato da una falla nella sua infrastruttura, da uno strumento di gestione condiviso o da altro, e non ha indicato chi sia l’attaccante.

Le perdite riferite finora vengono da singoli utenti, non da GMO né dai broker. J-CAST, citato da Infoseek News il 26 ottobre, ha descritto un trader che durante il controllo del saldo di routine, una mattina, ha trovato spariti circa 3 milioni di yen da un conto titoli, una perdita totale a suo dire, e un altro che ha visto scendere a zero 1,8 milioni di yen dopo aver letto messaggi simili su X. Nessuno dei due conti è legato a un broker con nome. Bitcoin.com, citando l’Asahi Shimbun, ha riportato circa 2,4 milioni di yen persi con operazioni ripetute in circa 84 secondi. Il sudcoreano Financial News, riassumendo la stampa giapponese, ha raccontato di un impiegato sessantenne di Hiroshima il cui saldo FX è sceso da circa 4 milioni di yen a circa 1,6 milioni. E Journal du Coin ha citato un trader della prefettura di Kanagawa che ha perso circa 4 milioni di yen in due secondi.

Diverse vittime hanno poi ricevuto email da un gruppo che si definisce una squadra di hacker, con il link a un sito che descrive l’intrusione e lo stato dei conti. GMO ha chiesto agli utenti di non rispondere e di non aprire alcun link o file contenuto in quei messaggi.

Un riscatto rifiutato e una minaccia rivolta a più di 70 broker

Il 24 ottobre GMO ha confermato di aver ricevuto una richiesta di denaro. Non ne ha indicato l’importo. Ha detto che non pagherà, perché pagare non garantirebbe che i dati rubati vengano cancellati né che non vengano usati in modo illecito.

Secondo GMO, l’aggressore ha fatto tre minacce. La prima è continuare a inviare ordini non autorizzati sui conti dei clienti aperti presso più di 70 società di intermediazione e FX in Giappone e all’estero. Il numero viene dall’aggressore, riferito da GMO: nessun elenco di broker è stato pubblicato e nessuno lo ha confermato. La seconda è pubblicare informazioni sul servizio e sui PC dei clienti che vi erano collegati, e lanciare un ransomware. La terza è pubblicare informazioni sui sistemi e sulle attività interne di GMO.

GMO ha avvertito che ciò che l’aggressore pubblicherà potrebbe non corrispondere ai fatti. Ha consegnato tutte le prove, comprese le comunicazioni ricevute, alla divisione cybercrime della polizia e ha chiesto un’indagine penale.

GMO ha anche chiesto l’intervento dello Stato. Il quarto aggiornamento definisce il caso «attivazione n. 1» (発動第1号 nel testo giapponese) della difesa cibernetica attiva del Giappone, il quadro che permette alle autorità di individuare e neutralizzare i server degli attaccanti, e dice che la società ha inviato alle agenzie governative una richiesta urgente di azione guidata dallo Stato per rintracciare, bloccare e disattivare l’infrastruttura dell’attacco. Quell’etichetta è di GMO, non del governo.

Tokyo è stata prudente. Un funzionario del governo ha detto allo Yomiuri Shimbun che il sistema non si attiva su richiesta di una singola azienda, e un altro ha spiegato all’Asahi Shimbun che è pensato per casi di forte impatto, come gli attacchi a gestori di infrastrutture critiche, secondo un riassunto di Financial News del 25 ottobre. Un funzionario dell’ufficio del primo ministro ha detto che servono altre analisi prima di decidere.

Per il contenimento, GMO ha detto di aver chiesto ai principali exchange e broker di bloccare gli accessi provenienti dal servizio e di chiudere con la forza tutte le sessioni attive. Journal du Coin ha elencato OANDA Japan, XMTrading, Titan FX, AXIORY e IronFX tra i broker che hanno chiesto ai clienti di cambiare password. TokenPost ha riferito che OANDA ha ritardato alcuni prelievi dopo un incidente di sicurezza su un servizio di hosting. Non abbiamo letto gli avvisi di quei broker.

5.000 yen a ogni cliente, e cosa rimborserà GMO

Ogni cliente attuale di Desktop Cloud riceve 5.000 yen fissi come gesto di buona volontà, che abbia perso denaro o no. I dettagli arriveranno via email entro venerdì 30 ottobre alle 23:59 ora giapponese.

Le perdite sono trattate a parte. GMO pagherà le perdite realizzate e le commissioni delle operazioni che riconoscerà come non autorizzate, dopo aver controllato i registri di trading e di accesso. Sono escluse le perdite dovute ai movimenti di mercato, i mancati guadagni e gli altri danni indiretti. Ai clienti potranno essere chiesti documenti d’identità e una password di sola lettura per MT4 o MT5. Se un broker rimborsa una parte della perdita, GMO paga soltanto il resto; se il broker non rimborsa nulla, GMO copre l’importo ammissibile. Come presentare la richiesta, quali documenti servono e quando arriveranno i soldi sarà annunciato entro venerdì 6 novembre.

La vecchia piattaforma non tornerà. GMO ha detto che sta riprogettando l’architettura di sicurezza e offrirà ai clienti che vogliono ancora un desktop Windows un servizio sostitutivo su un’infrastruttura cloud separata, gratuito per sei mesi dopo il passaggio. Il trasferimento richiede il consenso del cliente. GMO ha inoltre ribadito che durante la procedura di richiesta non chiederà mai password o PIN, a parte la password di sola lettura del trading.

Lunedì gli investitori hanno venduto. GMO Internet Group, la capogruppo quotata, cedeva il 13,6% a 3.256 yen durante la seduta di Tokyo, ha riportato Investing.com. Alla chiusura, alle 06:30 UTC, era scesa ancora, a 3.179 yen, il 15,7% in meno rispetto ai 3.769 yen di venerdì, secondo i dati di Yahoo Finance. GMO Internet, Inc., la controllata quotata che gestisce Onamae.com, ha chiuso in calo del 14,9% a 418 yen.

GMO Coin: finora nessuna attività non autorizzata

GMO Coin è uno dei grandi exchange di criptovalute regolamentati del Giappone e appartiene allo stesso gruppo, ed è per questo che molti lettori crypto hanno visto i titoli e controllato i propri conti. L’exchange ha diffuso un avviso su sospette operazioni non autorizzate piazzate con strumenti di trading automatico che girano sui server di GMO Internet. Ha detto di non aver finora trovato attività non autorizzate nei conti dei clienti di GMO Coin, ha riferito TokenPost.

Nessuna fonte spiega il perché. Due fatti aiutano a inquadrarlo. La violazione ha colpito i server in affitto dei clienti, non i sistemi di GMO Coin. E un cliente di GMO Coin sarebbe esposto solo se avesse fatto girare un bot su uno di quei server con login o chiave API dell’exchange salvati sopra. Journal du Coin ha anche notato che non risulta svuotato alcun wallet crypto: gli aggressori hanno usato gli accessi ai broker delle vittime per piazzare ordini in perdita, non per prelevare monete.

Né gli avvisi di GMO né alcuna fonte da noi trovata dicono che siano stati presi conti di GMO Click Securities, il broker online del gruppo. L’avviso del gruppo GMO non lo menziona.

Il consiglio di GMO Coin ai suoi utenti, come lo ha rilanciato TokenPost, era concreto. Controllare storico delle operazioni, posizioni e saldi. Attivare l’accesso con passkey e le notifiche di login. Eliminare ogni chiave API che non si usa più o che non si riconosce. Sono passaggi validi su qualsiasi exchange, e la nostra guida su come un exchange centralizzato custodisce il tuo account e le tue monete spiega perché il login è la vera chiave del conto.

Bot di trading su VPS: cosa devono controllare ora i trader crypto

Il legame con le criptovalute non è il denaro rubato. È l’impostazione. Molti trader crypto fanno girare grid bot, script di arbitraggio o strumenti di copy trading su un VPS in affitto, con le chiavi API dell’exchange memorizzate in un file di configurazione. Se quel server viene compromesso, l’aggressore eredita tutto ciò che la chiave consente.

• La chiave API usata da un bot dovrebbe avere solo il permesso di trading. I permessi di prelievo su una chiave che sta su un server servono raramente e trasformano un cattivo trade in un conto vuoto.
• La maggior parte dei grandi exchange permette di limitare una chiave a un indirizzo IP fisso. Una chiave legata all’indirizzo del tuo server è inutile se viene copiata altrove, ma non se l’aggressore usa il server stesso.
• Chiavi e password salvate su una macchina in affitto non vanno riutilizzate da nessun’altra parte. La prima richiesta di GMO ai clienti è stata proprio questa: cambiare ogni credenziale custodita sui server.
• Un aggressore sul server raggiunge soltanto ciò che il bot può raggiungere. Le monete in un wallet le cui chiavi non toccano mai quella macchina, o su un conto a cui non è collegato nessun bot, restano fuori da questo tipo di attacco.

L’autocustodia non rende sicuro un bot di trading, perché un bot ha bisogno di un accesso attivo a una piattaforma per operare. Quello che fa è limitare la somma a rischio a ciò che lasci su quella piattaforma. Il nostro approfondimento su dove avvengono davvero gli hack crypto mostra che la maggior parte delle perdite nasce da account, chiavi e server intorno alla blockchain, non dalla blockchain stessa. Un esempio recente sono le chiavi di certificato deboli che hanno costretto ad aggiornare bot e server crypto la settimana scorsa.

Per chi vive in Italia non risulta alcun provvedimento specifico di Consob, OAM o Banca d’Italia su questo caso, e non ne inventiamo. Ha senso un controllo pratico: chi ha un conto presso un broker FX o titoli estero e lo usa con un bot su VPS di un fornitore giapponese dovrebbe cambiare le password e verificare lo storico degli ordini.

In Giappone i furti di conti di trading del 2025 erano un attacco diverso

Il Giappone ha già visto conti di trading dirottati, e su larga scala. Nell’aprile 2025 la Financial Services Agency ha avvertito di un forte aumento di accessi e operazioni non autorizzati tramite siti di phishing che imitavano i broker. Al 16 aprile 2025 contava 12 società, più di 3.300 accessi illeciti e 1.454 operazioni fraudolente, con circa 350 milioni di dollari di azioni vendute e 315 milioni acquistate, e i proventi dirottati su small cap cinesi, ha riportato The Record. Rakuten Securities fu la prima colpita a fine marzo, seguita da Nomura, SMBC Nikko e SBI.

Allora lo schema era il phishing degli utenti, un conto alla volta. Stavolta un solo servizio di hosting usato dai trader con bot sembra aver consegnato agli aggressori migliaia di piattaforme già collegate. I broker che dopo il 2025 hanno spinto passkey e controlli di login aggiuntivi proteggono la pagina di accesso. Una piattaforma già connessa su un server compromesso salta del tutto quella pagina.

Anche le criptovalute hanno un precedente giapponese. Nel maggio 2024 l’exchange DMM Bitcoin ha perso 4.502,9 BTC, che l’FBI valutava 308 milioni di dollari. Nel dicembre 2024 l’FBI, il Cyber Crime Center del Dipartimento della Difesa americano e la National Police Agency giapponese hanno attribuito il furto a TraderTraitor, un gruppo sostenuto dalla Corea del Nord; l’avviso della polizia quantificava la perdita in circa 48,2 miliardi di yen. A livello mondiale i furti continuano a crescere: il nostro articolo sugli 1,18 miliardi di dollari rubati con gli hack crypto nel terzo trimestre 2026 ha il conteggio più recente.

Cosa GMO non ha ancora detto

Mancano molti numeri di base. GMO non ha pubblicato quanti clienti o conti presso i broker siano stati colpiti, la perdita totale, quali campi di dati siano stati rubati, l’importo del riscatto, come siano entrati gli aggressori né chi siano. A parte le testimonianze individuali, non c’è conferma che i clienti di un dato broker abbiano perso denaro. Journal du Coin riferisce che il 22 ottobre la Financial Services Agency ha chiesto ai broker FX, tramite la loro associazione di categoria, di vigilare su operazioni anomale; non abbiamo trovato alcuna dichiarazione dell’FSA sul caso.

Le prossime date le decide GMO. Entro le 23:59 ora giapponese di venerdì 30 ottobre i clienti dovrebbero ricevere le email sul pagamento di 5.000 yen e sul servizio sostitutivo. Entro venerdì 6 novembre GMO deve pubblicare come chiedere il risarcimento per le operazioni non autorizzate. Fino ad allora il suo consiglio resta valido: cambiare ogni password custodita sui server e ogni copia usata altrove, e non rispondere ai sedicenti hacker.