GMO-Cloud-Leck trifft Konten von FX-Händlern bei über 70 Brokern

GMO Internet teilte am 24. Oktober 2026 mit, dass Angreifer in Onamae.com Desktop Cloud eingedrungen sind. Das ist ein Serverdienst, den Devisenhändler mieten, um automatisierten Handel zu betreiben. Die Eindringlinge sahen auf diesen Servern gespeicherte Anmeldedaten, darunter die Broker-Passwörter von Anlegern. Handelskonten bei mehr als 70 Wertpapier- und FX-Firmen könnten missbraucht worden sein, berichtet die Yomiuri Shimbun.

Das Unternehmen zahlt jedem Nutzer 5.000 Yen, etwa 32 Dollar, unabhängig davon, ob er Geld verloren hat. Außerdem bat es die japanische Regierung, ihre neuen Befugnisse zur „aktiven Cyberabwehr“ gegen die Angreifer einzusetzen.

Was angegriffen wurde

Onamae.com Desktop Cloud vermietet virtuelle Server, also entfernte Computer, die rund um die Uhr laufen. FX-Händler, die mit Fremdwährungen handeln, nutzen sie für Handelsprogramme, die automatisch Orders platzieren. Diese Programme brauchen die Broker-Zugangsdaten des Händlers, deshalb liegen die Passwörter auf dem Server.

Laut Yomiuri nutzen mehr als 20.000 Menschen den Dienst. Jiji Press beziffert die Zahl der möglicherweise betroffenen Server auf 26.739. Die beiden Medien zählen Verschiedenes, nämlich Nutzer und Server, daher widersprechen sich die Zahlen nicht.

Laut Yomiuri sahen Dritte die gespeicherten Anmeldedaten ein und tätigten danach unbefugte Trades.

Wie es ablief

Datum (2026)	Ereignis
20. Oktober	Auf einigen Servern wird ein unbefugtes Programm eines Dritten entdeckt
21. Oktober, 4 Uhr morgens	GMO schaltet die Server ab
22. Oktober	GMO wendet sich an die Tokioter Polizei
23. Oktober	Die GMO Internet Group veröffentlicht ihre erste Mitteilung an Investoren
24. Oktober	GMO bestätigt den Abfluss von Daten, kündigt Zahlungen an und bittet die Regierung um Eingreifen

Die Chronologie stammt von der Yomiuri und der Asahi Shimbun.

Verluste und Erpressung

Kunden haben echtes Geld verloren. Die Asahi sprach mit einer 29-jährigen Frau aus Aichi, die rund 4,3 Millionen Yen verlor, und mit einem 32-jährigen Mann aus Saitama, der rund 550.000 Yen verlor. Eine Hackergruppe spricht von Verlusten in Höhe von mehreren zehn Milliarden Yen, berichtet die Yomiuri. Diese Behauptung ist nicht bestätigt, und GMO hat keine Gesamtsumme genannt.

Jemand, der für den Angreifer gehalten wird, verlangte Geld und drohte, Unternehmens- und Kundendaten zu veröffentlichen. GMO lehnte ab. „Wir werden den Forderungen des Angreifers nicht nachkommen“, sagte das Unternehmen laut Jiji. Eine Zahlung würde weder garantieren, dass die Daten gelöscht werden, noch ihren Missbrauch verhindern, erklärte GMO laut Asahi.

Am Nachmittag des 24. Oktober kündigte ein mutmaßlicher Angreifer online an, die eigenen PCs der Kunden mit Ransomware anzugreifen. GMO riet den Nutzern, ihre Daten zu sichern und Virenscans durchzuführen, berichtet die Asahi.

Was GMO anbietet

GMO zahlt jedem Nutzer des Dienstes pauschal 5.000 Yen. Das Unternehmen übernimmt außerdem Verluste und Gebühren aus Trades, die als unbefugt bestätigt sind, aber keine indirekten Schäden. Die Nutzer erhalten die Details zur Antragstellung bis zum 6. November per E-Mail. Wer möchte, bekommt sechs Monate lang kostenlos einen Ersatz-Clouddienst.

„Wir nehmen die Tatsache ernst, dass wir die Informationen und Vermögenswerte unserer Kunden nicht schützen konnten“, sagte GMO laut Asahi.

Ein erster Test für Japans neues Cybergesetz

Japans Gesetz zur aktiven Cyberabwehr trat am 1. Oktober 2026 in Kraft. Es erlaubt Polizei und Selbstverteidigungsstreitkräften, in Server von Angreifern einzudringen, um einen Angriff zu stoppen, erklärt die Yomiuri. GMO bat die Regierung dringend, es anzuwenden. In der Erklärung des Unternehmens hieß es, privaten Firmen falle es allein schwer, den Diebstahl von Vermögen der Bürger zu stoppen, berichtet Briefs.

Die Regierung hat nicht gesagt, ob sie handeln wird. Eine Schlagzeile der Yomiuri zitiert einen ungenannten Regierungsvertreter mit der Aussage, das System werde nicht auf Antrag aktiviert.

Der Angriff reiht sich in einen harten Monat für japanische Unternehmen ein. Japans Regierung forderte Firmen und Banken am 9. Oktober auf, ihre Sicherheit zu verschärfen, nachdem mehr als 20 Angriffe gemeldet worden waren.

Was das für Entwickler bedeutet

Wenn Sie Onamae.com Desktop Cloud genutzt haben, ändern Sie jetzt jedes dort gespeicherte Broker-Passwort, und zwar von einem sauberen Gerät aus. Aktivieren Sie bei jedem Broker die Zwei-Faktor-Anmeldung und prüfen Sie Ihre Handelshistorie auf Orders, die Sie nicht erteilt haben.

Wer Trading-Bots oder andere Automatisierung auf einem gemieteten Server betreibt, sollte diesen Server als Angriffsziel betrachten. Wo ein Broker API-Schlüssel anbietet, nutzen Sie diese statt Ihres Hauptpassworts. Beschränken Sie jeden Schlüssel auf reinen Handel ohne Auszahlungen, und binden Sie ihn an bekannte IP-Adressen.

Bewahren Sie Geheimnisse nicht in einfachen Klartextdateien auf. Ein Passwortmanager oder ein Secrets-Speicher mit Verschlüsselung im Ruhezustand macht gestohlene Festplatteninhalte weit weniger nützlich.

Achten Sie auf Tokios Antwort an GMO. Ob die Regierung hier ihre neuen Befugnisse nutzt, wird zeigen, wie weit Japan geht, um private Unternehmen vor Angriffen zu schützen.