• Gestión de Accesos Privilegiados
    • Ciberseguridad

    El ciberataque que saltó del cloud a las cuentas de trading

    XPoint
    Publicado el 28/10/2026

     

    XPoint News · 28 de octubre de 2026

    GMO Internet: el ciberataque que saltó del cloud a las cuentas de trading

    La intrusión en Onamae.com Desktop Cloud ya no es solamente un incidente de disponibilidad o fuga de información. GMO Internet confirmó malware, extracción de datos y operaciones no reconocidas en cuentas financieras de clientes, mientras el atacante exigía cerca de US$50 millones y amenazaba con activar ransomware.

    Por qué importa: el caso muestra cómo un proveedor de infraestructura puede convertirse en un puente directo hacia los activos financieros de sus clientes. Cuando un escritorio virtual conserva sesiones, credenciales y herramientas de trading, comprometer la plataforma puede permitir al atacante superar el perímetro tradicional y operar con identidades válidas.

    Del acceso no autorizado al daño financiero

    GMO Internet informó que comenzó a investigar el 19 de octubre tras recibir consultas de clientes. Un día después confirmó la instalación de un programa malicioso, suspendió nuevas contrataciones y cerró el panel de control. Desde el 21 de octubre, la compañía fue apagando progresivamente los servidores del servicio para contener el ataque.

    La investigación confirmó vulnerabilidades en el entorno, acceso no autorizado y extracción de información de clientes. El elemento más grave apareció cuando algunos usuarios reportaron operaciones que no habían realizado en sus cuentas de trading. De acuerdo con la compañía, el atacante amenazó con continuar manipulando cuentas abiertas en más de 70 firmas de valores y de cambio de divisas, publicar información y ejecutar ransomware.

    Medios especializados reportaron que hasta 26.739 servidores de clientes pudieron quedar expuestos a la instalación de malware. GMO advirtió además que credenciales de MetaTrader 4 y MetaTrader 5, detalles de cuentas y sesiones activas podían estar comprometidos. Cinco firmas japonesas de trading FX informaron afectación a clientes y aplicaron restricciones para bloquear nuevas operaciones fraudulentas.

    Una extorsión que convierte la infraestructura en arma

    El atacante exigió aproximadamente 8.000 millones de yenes —cerca de US$50 millones— y amenazó con publicar datos y desplegar ransomware. GMO rechazó el pago, entregó las comunicaciones a la policía y coordinó el bloqueo de accesos y sesiones con bolsas, corredores y entidades financieras.

    La empresa pidió a determinados clientes desconectar sus equipos de internet, apagarlos y retirar los cables mientras se analizaban posibles infecciones. Posteriormente confirmó que información corporativa y de clientes había sido publicada. Al momento de esta publicación, no existía confirmación pública de una activación masiva del ransomware, pero el robo de datos y las transacciones no autorizadas sí estaban reconocidos.

    GMO anunció un pago general de 5.000 yenes a los usuarios del servicio y un proceso separado para compensar pérdidas realizadas por operaciones que la investigación determine como fraudulentas. Esta respuesta ilustra una dimensión que suele quedar fuera de los cálculos técnicos: un incidente en un proveedor cloud puede transformarse rápidamente en pérdidas financieras, interrupciones, investigación regulatoria y compensaciones a terceros.

    La lección para empresas y proveedores gestionados

    El caso revela una concentración de riesgo especialmente peligrosa. Los entornos de escritorio remoto y VPS suelen alojar herramientas que deben permanecer conectadas, credenciales reutilizables, tokens, historiales y automatizaciones. Si la plataforma es comprometida, el adversario puede encontrar un ecosistema listo para operar sin necesidad de vulnerar individualmente a cada organización.

    También demuestra por qué una contraseña cambiada no siempre es suficiente. Si existen sesiones activas, malware persistente, claves API o secretos almacenados localmente, el atacante puede conservar acceso después de una rotación parcial. La recuperación debe combinar contención del proveedor, revocación de sesiones, reconstrucción de equipos y validación independiente de las cuentas financieras conectadas.

    Recomendaciones de XPoint

    • Desconectar y aislar cualquier VPS o escritorio virtual relacionado con el servicio afectado hasta contar con una validación formal de limpieza y restauración.
    • Rotar credenciales desde un equipo confiable, incluyendo MT4/MT5, correo, VPN, paneles cloud, cuentas administrativas, claves API y secretos guardados en automatizaciones.
    • Revocar todas las sesiones y tokens; no limitarse a cambiar contraseñas. Habilitar MFA resistente al phishing cuando la plataforma lo permita.
    • Revisar operaciones, órdenes y cambios de configuración desde antes del 19 de octubre. Preservar registros, capturas y comprobantes para investigación y eventuales reclamaciones.
    • Reconstruir los sistemas comprometidos desde imágenes verificadas. Un análisis superficial o la eliminación manual de un archivo no demuestra que el entorno esté limpio.
    • Separar credenciales de trading y administración del escritorio que ejecuta automatizaciones; aplicar mínimo privilegio y limitar por red, horario y dispositivo.
    • Evaluar el riesgo de concentración en proveedores críticos y exigir planes comprobables de aislamiento, respuesta, respaldo, notificación y recuperación.

    Fuentes verificadas

    Resumen para LinkedIn · Español

    Un ataque a GMO Internet convirtió infraestructura cloud en una vía directa hacia cuentas de trading.

    La empresa confirmó malware, robo de datos y operaciones no autorizadas; el atacante exigió cerca de US$50 millones.

    Más de 70 firmas financieras aparecieron en el alcance de la amenaza y cinco proveedores FX reportaron afectación.

    La lección es clara: cambiar contraseñas no basta si siguen activos tokens, sesiones o equipos comprometidos.

     

    XPoint News · October 28, 2026

    GMO Internet: the cyberattack that jumped from the cloud into trading accounts

    The intrusion into Onamae.com Desktop Cloud is no longer just an availability or data-loss incident. GMO Internet confirmed malware, stolen customer information and unauthorized financial transactions, while the attacker demanded roughly US$50 million and threatened to deploy ransomware.

    Why it matters: this case shows how an infrastructure provider can become a direct bridge into customers’ financial assets. When a virtual desktop stores sessions, credentials and trading tools, compromising the platform may let an attacker bypass the traditional perimeter and act through trusted identities.

    From unauthorized access to financial harm

    GMO Internet said it began investigating on October 19 after receiving customer inquiries. The following day it confirmed that malicious software had been installed, suspended new applications and closed the control panel. From October 21, the company progressively shut down service servers to contain the attack.

    The investigation confirmed security weaknesses, unauthorized access and the exfiltration of customer information. The most serious development came when users reported trades they had not made. According to GMO, the attacker threatened to continue manipulating accounts held with more than 70 securities and foreign-exchange firms, publish information and launch ransomware.

    Specialist reporting indicated that malware may have reached as many as 26,739 customer servers. GMO also warned that MetaTrader 4 and MetaTrader 5 credentials, account details and active sessions could have been compromised. Five Japanese FX trading providers reported customer impact and introduced restrictions designed to stop additional fraudulent transactions.

    Extortion that turns infrastructure into a weapon

    The attacker demanded about 8 billion yen—roughly US$50 million—and threatened to publish data and activate ransomware. GMO refused to pay, handed the communications to police and coordinated the blocking of access and sessions with exchanges, brokers and financial institutions.

    The company instructed certain customers to disconnect computers from the internet, power them down and unplug cables while potential infections were assessed. It later confirmed that corporate and customer information had been posted online. At publication time, there was no public confirmation of a broad ransomware detonation, but data theft and unauthorized trades were acknowledged.

    GMO announced a general payment of 5,000 yen for service users and a separate process to compensate realized losses that its investigation confirms resulted from fraudulent transactions. The response highlights a dimension often missing from technical risk calculations: a cloud-provider incident can quickly become financial loss, operational disruption, regulatory scrutiny and third-party compensation.

    The lesson for enterprises and managed providers

    The incident exposes a particularly dangerous concentration of risk. Remote desktops and VPS environments often host always-on tools, reusable credentials, tokens, history and automation. Once the platform is compromised, an adversary may inherit a ready-to-use ecosystem without breaching every customer separately.

    It also demonstrates why a password reset may not be enough. Active sessions, persistent malware, API keys and locally stored secrets can preserve access after a partial credential rotation. Recovery must combine provider-side containment, session revocation, system rebuilding and independent validation of connected financial accounts.

    XPoint recommendations

    • Disconnect and isolate any VPS or virtual desktop associated with the affected service until formal assurance of clean restoration is available.
    • Rotate credentials from a trusted device, including MT4/MT5, email, VPN, cloud panels, administrative accounts, API keys and automation secrets.
    • Revoke every session and token; do not rely on password changes alone. Enable phishing-resistant MFA wherever supported.
    • Review trades, orders and configuration changes dating back to before October 19. Preserve logs, screenshots and statements for investigation and claims.
    • Rebuild compromised systems from verified images. A superficial scan or manual file removal does not prove that an environment is clean.
    • Separate trading and administrative credentials from desktops running automation; enforce least privilege and restrictions by network, time and device.
    • Assess concentration risk in critical providers and require testable isolation, response, backup, notification and recovery plans.

    Verified sources

     

    Preguntas frecuentes

    ¿Qué es y para qué sirve el XyberOne SCM?

    +

    Tu Cadena de Suministro, Tu Superficie de Ataque.

     Monitorea, mide y gestiona el Ciber-Riesgo de tus proveedores críticos.

    XyberOne Supply Chain Monitor (SCM) permite identificar riesgos, filtraciones, vulnerabilidades y amenazas asociadas a terceros desde una única plataforma, entregando el contexto necesario para tomar decisiones antes de que ocurra un incidente. Monitorea y gestiona el Ciber-Riesgo de proveedores críticos mediante inteligencia continua proveniente de Surface Web, Deep y Dark Web.

    Obtén visibilidad sobre exposiciones, filtraciones, amenazas activas y riesgos asociados a terceros antes de que impacten a tu organización.

    ¿Qué es y para qué sirve el XyberOne RCC?

    +

    Centraliza el CAOS, Controla el RIESGO!

    Centraliza vulnerabilidades, amenazas, alertas, activos críticos y controles de cumplimiento para identificar, priorizar y reducir los riesgos que realmente pueden afectar la continuidad de tu negocio.

    XyberOne RCC (Risk Command Center) es una plataforma de gestión centralizada del ciber-riesgo que consolida vulnerabilidades, amenazas, alertas, activos críticos y controles de cumplimiento en una única consola.

    Su objetivo es entregar una visión integral del riesgo organizacional, transformando información dispersa en inteligencia accionable para priorizar esfuerzos, reducir la exposición y mejorar continuamente la postura de seguridad de la organización.

    ¿Qué es y para qué sirve el Monitoreo de Dominios?

    +

    El Monitoreo de Dominios es un servicio de ciberseguridad que vigila en forma continua tus dominios y todo lo que se parezca a ellos para detectar señales tempranas de suplantación, phishing y abuso de marca.

    Sirve para:

    • Detectar dominios parecidos (typosquatting, homoglyphs, TLDs distintos) usados para engañar a usuarios.

    • Identificar sitios clonados que imitan tu web, login, pagos o portales (phishing).

    • Monitorear cambios de DNS (MX, SPF, DKIM, DMARC, A/AAAA, NS) que puedan habilitar fraude o desvío de correo.

    • Detectar certificados TLS/SSL emitidos para dominios sospechosos (señal típica de campañas de phishing).

    • Alertar sobre infraestructura maliciosa asociada (IPs, hosting, patrones repetidos) y priorizar por riesgo.

    • Apoyar acciones de takedown y bloqueo (registradores, hosting, listas de denegación, gateways de correo).

    En simple: te permite ver y cortar rápido los intentos de suplantación digital antes de que afecten a clientes, pacientes, usuarios o colaboradores, y reduce fraude, pérdida de confianza y riesgo reputacional.

    ¿Qué es y para qué sirve el Monitoreo Darkweb?

    +

    El Monitoreo de Dark Web es un servicio de ciberinteligencia que busca y vigila de forma continua en foros clandestinos, marketplaces, sitios de leaks y comunidades cerradas donde se publican, venden o comparten datos robados.

    Sirve para:

    • Detectar filtraciones asociadas a tu organización (bases de datos, documentos, correos, PII).

    • Encontrar credenciales comprometidas (usuarios/contraseñas) antes de que se usen en accesos no autorizados.

    • Identificar venta de accesos a sistemas (VPN, RDP, correo, SSO, paneles).

    • Anticipar extorsión/ransomware (menciones, “samples”, anuncios de leak).

    • Proteger marca y clientes: señales de phishing, suplantación, fraude.

    • Entregar alertas y evidencia para investigación y respuesta a incidentes.

    En simple: te da visibilidad de lo que pasa fuera de tu perímetro, donde normalmente aparece la información robada antes de que el ataque escale o se haga público.

    ¿Qué es y para qué sirve el Servicio CTI?

    +

    El servicio de CTI (Cyber Threat Intelligence) es la capacidad de buscar, analizar y transformar información sobre ciberamenazas en decisiones concretas para reducir riesgo. Sirve para anticiparse: entender quién te puede atacar, cómo lo haría, qué señales dejaría y qué debes reforzar antes de que pase.

    • Para qué sirve CTI (en la práctica)
    • Detectar amenazas relevantes para tu negocio (ransomware, fraude, APT, hacktivismo) y priorizar lo que realmente te afecta.
    • Alertar temprano sobre campañas activas, vulnerabilidades explotadas y señales de ataque dirigidas a tu industria.
    • Monitorear exposición externa: credenciales filtradas, leaks, suplantación de marca, dominios falsos, deep/dark web.
    • Mejorar la defensa: entregar IoCs, TTPs y recomendaciones para SIEM/EDR/SOC (reglas, playbooks, hardening).
    • Apoyar respuesta a incidentes: atribución probable, alcance, riesgos secundarios, y evidencia externa.
    • Reducir fraude y daño reputacional: detectar phishing, impersonación, venta de datos y accesos.

     

    ¿Qué entrega normalmente?

    • Alertas (críticas en tiempo real) + reportes (semanales/mensuales) con riesgo, impacto y acciones.
    • IoCs (IPs, dominios, URLs, hashes) y TTPs (MITRE ATT&CK) para detección.
    • Recomendaciones accionables priorizadas por criticidad.

    En una frase: CTI convierte ruido del mundo criminal en inteligencia accionable para prevenir, detectar y responder mejor.

    ¿Qué es y para qué sirve un CyberSOC?

    +

    Un CyberSOC (Cyber Security Operations Center) es un centro especializado que monitorea, detecta y responde a amenazas de ciberseguridad de forma continua (24×7). Su función es proteger los activos digitales de una organización mediante el análisis de eventos, correlación de alertas y gestión estructurada de incidentes.

    Sirve para identificar ataques en tiempo real, reducir el impacto de incidentes, cumplir con normativas y fortalecer la postura de seguridad del negocio. En simple: es el equipo y la tecnología que vigilan tu infraestructura digital para que tu operación no se detenga frente a ciberamenazas.

    ¿Para que sirve el Pentesting?

    +

    El pentesting o Test de penetración, en español) es una técnica de ciberseguridad que consistente en atacar entornos informáticos con la intención de descubrir vulnerabilidades en los mismos, con el objetivo de reunir la información necesaria para poder prevenir en el futuro ataques externos hacia esos mismos …

    ¿Qué es y para qué la Seguridad en el Desarrollo Ágil?

    +

    El Servicio de Seguridad en Ciclo de Desarrollo es un enfoque integral que garantiza la protección de los proyectos de software desde su fase inicial de diseño hasta su implementación final. Esto implica integrar medidas de seguridad en cada etapa del proceso de desarrollo, desde la planificación hasta la entrega del producto. La importancia de este servicio radica en varios aspectos:

    1. Protección temprana contra amenazas: Al abordar la seguridad desde el principio del ciclo de desarrollo, se pueden identificar y mitigar riesgos de seguridad antes de que se conviertan en problemas costosos o críticos en etapas posteriores del proyecto.
    2. Reducción de costos y tiempo: Corregir problemas de seguridad durante las etapas iniciales del desarrollo es más económico y rápido que hacerlo después de que el producto esté en producción. Esto puede ayudar a evitar retrasos en el lanzamiento del producto y ahorros significativos en costos asociados con la corrección de brechas de seguridad.
    3. Cumplimiento normativo: Muchas regulaciones y estándares de la industria requieren que los productos de software cumplan con ciertos requisitos de seguridad y protección de datos. Integrar la seguridad en el ciclo de desarrollo ayuda a garantizar el cumplimiento de estas regulaciones desde el principio, evitando posibles multas y sanciones legales.
    4. Confianza del cliente: La seguridad de los datos y la protección de la privacidad son preocupaciones importantes para los clientes. Al demostrar un compromiso con la seguridad a lo largo de todo el ciclo de desarrollo, las empresas pueden construir y mantener la confianza del cliente en sus productos y servicios.

    En resumen, el Servicio de Seguridad en Ciclo de Desarrollo es esencial para garantizar que los productos de software sean seguros, confiables y cumplan con los estándares de seguridad y privacidad, lo que resulta en beneficios tanto para la empresa como para sus clientes.

    ¿Qué es el Phishing Ético?

    +

    El Phishing Ético es una servicio que consiste en realizar actividades de Ingeniería Social con propósitos legítimos y éticos, generalmente como parte de una Campaña de Concientización, Evaluación de Seguridad, Prueba de un Pentesting o Red Team.

    Para más información ingresa aquí: https://www.xpoint.cl/phishing-etico/

    ¿Qué es un Red Team en Ciberseguridad?

    +

    Un Red Team en ciberseguridad es un grupo de profesionales que simulan ser adversarios externos para evaluar la seguridad de un sistema o red. Utilizan tácticas similares a las de ciberdelincuentes reales, llevan a cabo pruebas de penetración, analizan riesgos y proporcionan recomendaciones para mejorar la seguridad. Su enfoque proactivo ayuda a las organizaciones a identificar y abordar vulnerabilidades, fortaleciendo así sus defensas contra amenazas potenciales.

    ¿Qué es la Gestión de Vulnerabilidades?

    +

    La gestión de vulnerabilidades es un proceso integral que se centra en identificar, evaluar y abordar las debilidades en la seguridad de un sistema o red. Este proceso sigue varios pasos clave:

    1. Identificación de Vulnerabilidades
    2. Evaluación de Riesgos
    3. Priorización
    4. Mitigación y Solución
    5. Seguimiento Continuo
    6. Comunicación y Documentación
    7. Formación y Concienciación

    La gestión de vulnerabilidades es esencial para mantener la seguridad de la información en un entorno digital en constante cambio, minimizando el riesgo de explotación y fortaleciendo las defensas contra posibles amenazas.

    ¿Tienes dudas?, contáctanos

    Últimas publicaciones

    xpoint gmo internet attack banner 1200x644 1

    El ciberataque que saltó del cloud a las cuentas de trading

    28/10/2026
    XPoint Gitlab CVE

    GitLab corrige una falla crítica

    23/10/2026
    xpoint php2shell banner anton 1200x644 1

    PHP publicó dos vulnerabilidades capaces de permitir ejecución remota sin autenticación

    19/10/2026

    Todas las Categorías