Mentre questo articolo va online, un attore criminale che si firma “Hacking Team” sostiene di aver fissato per oggi, 27 ottobre, mezzogiorno ora giapponese, la scadenza di un ultimatum da un milione di dollari contro GMO Internet. Al centro della vicenda c’è Onamae.com Desktop Cloud, un servizio VPS giapponese usato da migliaia di trader retail per far girare in continuo i robot di trading su MetaTrader 4 e 5. Dietro l’ennesimo acronimo IoC oscurato nei report OSINT circolati online si intravede un caso di studio quasi da manuale: un singolo fornitore cloud compromesso che, a cascata, mette a rischio decenni di risparmi di clienti distribuiti su oltre 70 broker forex in Giappone e all’estero.

L’attacco al fornitore che ospitava i robot di trading

GMO Internet Group ha confermato il 20 ottobre che una terza parte non autorizzata ha installato programmi malevoli in alcuni ambienti server dei clienti di Onamae.com Desktop Cloud. Il giorno successivo, dalle quattro del mattino ora locale, l’azienda ha iniziato a spegnere progressivamente i server di tutti i piani del servizio, pubblicizzato esplicitamente come “ideale per il trading automatico FX stabile” grazie alla possibilità di far girare Expert Advisor h24. Secondo i dati diffusi, fino a 26.739 server potrebbero essere stati esposti. Non si tratta del numero di clienti coinvolti, ma della scala dell’infrastruttura potenzialmente compromessa: un fornitore che ospitava l’equivalente di una piccola città di terminali di trading automatizzato.

Cronologia di un incidente degenerato in ricatto

La sera del 22 ottobre i clienti hanno iniziato a ricevere email di massa a nome degli attaccanti, con oggetto dedicato alla “distruzione” dei conti Desktop Cloud: il messaggio sosteneva che i saldi di trading, inclusi quelli di clienti già disdetti, fossero stati azzerati e che l’operazione fosse ancora in corso. Il 23 ottobre GMO ha diffuso un terzo avviso, invitando i clienti a non aprire link né rispondere ai contatti degli attaccanti. Il 24 ottobre è arrivata una quarta comunicazione, in cui l’azienda ha dichiarato di non voler negoziare, seguita da un quinto avviso con le raccomandazioni di sicurezza e dall’annuncio di un rimborso forfettario di 5.000 yen per ogni cliente attivo, più il rimborso delle perdite documentate da operazioni non autorizzate. Secondo le ricostruzioni circolate online, l’attore dietro l’attacco avrebbe quindi alzato la posta, chiedendo un milione di dollari entro mezzogiorno di oggi, 27 ottobre, pena la pubblicazione dei dati e l’attivazione di una componente ransomware mai confermata in modo indipendente.

Tripla estorsione: cifratura, leak e pressione legale

Ciò che distingue questo incidente da una classica fuga di dati è la combinazione di leve usate per fare pressione. Oltre alla minaccia “classica” di pubblicare credenziali MT4/MT5, cronologia di navigazione e contatti dei clienti, gli attaccanti hanno inviato email direttamente alle vittime finali per spingerle a fare causa a GMO, trasformando i clienti danneggiati in un’arma di pressione reputazionale contro il fornitore. A questo si aggiunge la minaccia, finora non verificata, di cifrare i PC dei clienti attraverso una presunta backdoor installata durante l’intrusione. I numeri sbandierati dagli attaccanti — circa 140mila account MT4/MT5 sottratti, il 17% dei conti compromessi, perdite dichiarate per 7,7 miliardi di yen — sono considerati dagli analisti OSINT verosimilmente gonfiati a scopo intimidatorio; le perdite confermate da fonti giornalistiche, pur reali, restano dell’ordine dei milioni di yen per singolo cliente, non dei miliardi.

Vettori d’accesso ipotizzati

GMO non ha reso pubblico il vettore di accesso iniziale, e nessuna famiglia di malware è stata identificata con certezza. I report OSINT circolati tra gli addetti ai lavori, basati in larga parte sulle dichiarazioni dello stesso attore e quindi da trattare con cautela, ipotizzano uno sfruttamento di un’applicazione esposta o del pannello di controllo dei VPS (MITRE ATT&CK T1190), l’uso di credenziali di dominio o sessioni di supporto compromesse (T1078.002) e un movimento laterale tramite RDP all’interno di un’Active Directory condivisa fra più tenant (T1021.001). Vengono inoltre citati la persistenza su account e server dismessi ma mai disattivati (T1098) e il reindirizzamento automatico delle unità disco nei file di connessione RDP di default come possibile via per raggiungere le macchine dei clienti finali. Il presunto mittente delle email estorsive, firmato “Dmitry Orlov”, viene giudicato dagli analisti un’identità fittizia incoerente con i metadati dei file osservati; eventuali somiglianze tattiche con gruppi come Scattered Spider o affiliati LockBit restano suggestioni, non attribuzioni.

L’effetto a catena sui broker giapponesi

L’impatto si è propagato rapidamente oltre GMO. OANDA Japan ha sospeso in via precauzionale i prelievi richiesti, segregando i fondi come previsto dalla normativa giapponese, e ha invitato i clienti che usavano MetaTrader sul servizio GMO a cambiare password e attivare l’autenticazione a due fattori. AvaTrade Japan ha segnalato operazioni non autorizzate su conti che si appoggiavano a VPS esterni. Gaitame Finest ha limitato gli account colpiti da accessi con credenziali probabilmente trapelate altrove. Dukascopy Japan ha chiesto a tutti gli utenti dei propri servizi VPS di cambiare la password di trading. La Financial Services Agency giapponese segnala che il fenomeno dell’account takeover nel forex non è nuovo: tra marzo e maggio sono state registrate operazioni fraudolente per oltre 500 miliardi di yen in circa 6.000 episodi, un contesto che spiega perché diversi broker, tra cui IG Japan, abbiano reso obbligatoria l’autenticazione a due fattori nel corso dell’anno.

Due righe per i difensori

Al di là dell’esito dell’ultimatum, il caso Onamae è un promemoria scomodo per chiunque gestisca infrastrutture VPS o cloud multi-tenant rivolte alla clientela retail: un’Active Directory condivisa tra tenant, account amministrativi comuni e server dismessi ma mai disattivati sono esattamente il tipo di debito tecnico che trasforma un singolo fornitore compromesso in un incidente sistemico per decine di aziende a valle, in questo caso broker regolamentati con obblighi fiduciari verso i propri clienti. Per i team di sicurezza dei fornitori cloud, le priorità immediate restano la microsegmentazione completa tra tenant, la disattivazione di default della condivisione delle unità disco nei file RDP, l’eliminazione tempestiva delle istanze dismesse e il divieto di account amministrativi condivisi. Per i trader coinvolti, la lista delle azioni resta quella classica ma urgente: cambiare da un dispositivo pulito tutte le password di broker ed exchange, attivare l’MFA, verificare lo storico delle operazioni e segnalare qualsiasi anomalia al proprio broker prima di aprire link o allegati ricevuti da mittenti sconosciuti.

Indicatori emersi dai report OSINT

Le informazioni seguenti provengono da analisi OSINT circolate pubblicamente e da dichiarazioni dello stesso attore della minaccia: vanno quindi considerate non verificate in modo indipendente e utilizzate solo a scopo di monitoraggio precauzionale.

Dominio di negoziazione/estorsione: coronamng.store (alias www.coronamng.store)
Registrar: Namecheap
Data di registrazione: 31 agosto 2026, 15:26:04 UTC
Beacon di tracciamento: /track.php
Tool citato per il trading forzato: "DEMOFASTLOSS" (Expert Advisor)
Canali di contatto dichiarati: email Gmail, canale di negoziazione su infrastruttura privata
Mittente email estorsiva: "Dmitry Orlov" (identità ritenuta fittizia)
TTP ipotizzate (non confermate): T1190, T1078.002, T1021.001, T1098, T1068
Scala dichiarata: ~140.000 account MT4/MT5, 70+ broker coinvolti, 26.739 server potenzialmente esposti