GMO Internet ha iniziato a spegnere i server di Onamae Desktop Cloud dopo che soggetti non autorizzati hanno avuto accesso al servizio di server privati virtuali giapponese e hanno installato software non autorizzato in alcuni ambienti dei clienti.
Fino a 26.739 server dei clienti potrebbero essere coinvolti, secondo un resoconto di BleepingComputer pubblicato il 21 ottobre 2026. Questa cifra indica server potenzialmente esposti, non un conteggio confermato di sistemi compromessi o di clienti coinvolti.
L'azienda ha confermato l'accesso non autorizzato e l'installazione del software il 20 ottobre 2026. Il resoconto disponibile non specifica quando si sia verificata l'intrusione né quando sia stata rilevata per la prima volta.
Lo spegnimento dei server interrompe tutti i piani Desktop Cloud
A partire dalle 04:00 ora locale del 21 ottobre, GMO Internet ha iniziato a spegnere progressivamente i server dei clienti come misura di contenimento. Tutti i piani Desktop Cloud sono interessati dalla conseguente interruzione del servizio, e non è stata annunciata alcuna data di ripristino.
Onamae Desktop Cloud è pubblicizzato in parte a trader sul forex che usano server virtuali per tenere in funzione in modo continuo MetaTrader 4 (MT4). Lo spegnimento significa che i clienti non possono contare su quegli ambienti per il trading automatizzato ininterrotto finché il servizio non sarà ripristinato.
L'incidente riguarda Onamae Desktop Cloud, un servizio VPS gestito da GMO Internet, che fa parte di GMO Internet Group. Onamae.com offre anche servizi di registrazione di domini, hosting, DNS e altre infrastrutture, ma il resoconto non indica che tali servizi siano coinvolti.
Programmi non autorizzati trovati in alcuni ambienti dei clienti
GMO Internet ha dichiarato che una terza parte ha ottenuto accesso non autorizzato all'infrastruttura del servizio e ha installato programmi non autorizzati su alcuni server dei clienti. BleepingComputer ha definito quel software malware.
La differenza di portata è rilevante: la dichiarazione dell'azienda conferma installazioni in «alcuni» ambienti, mentre la cifra di 26.739 è il numero massimo di server potenzialmente coinvolti. Non stabilisce che tutti i server compresi in quel perimetro abbiano ricevuto il software non autorizzato.
Le informazioni riportate non identificano il software coinvolto né spiegano come sia stato ottenuto l'accesso. L'indagine è in corso e l'azienda ha dichiarato che pubblicherà ulteriori aggiornamenti man mano che emergeranno più dettagli.
I dati memorizzati sui server potrebbero essere stati esposti
Secondo l'azienda, le informazioni conservate sui server coinvolti potrebbero essere state esposte. L'azienda non ha confermato che i dati siano stati divulgati o utilizzati impropriamente.
GMO Internet ha dichiarato che i dati di pagamento, inclusi i dati delle carte di credito, sono conservati su un'infrastruttura separata e non sono stati coinvolti in questo incidente.
Ai clienti che hanno memorizzato password o altri segreti sui server Desktop Cloud è stato chiesto di modificarli al più presto. L'intervento dovrebbe includere la sostituzione delle credenziali esposte ovunque siano state riutilizzate, e non soltanto la modifica all'interno dell'ambiente server, che al momento non è disponibile.
L'azienda ha inoltre avvertito i clienti di aspettarsi un rischio maggiore di phishing e di comunicazioni non richieste. Ha dichiarato che «non chiederà mai» password o dati della carta di credito via email o telefono. I clienti dovrebbero quindi rifiutare tali richieste, anche se un messaggio sostiene che riguardino il ripristino del servizio Desktop Cloud.
