No dia 20 de outubro, a GMO Internet confirmou que um invasor instalou programas maliciosos em servidores de clientes da Onamae.com Desktop Cloud (お名前.com デスクトップクラウド). Até 26.739 servidores podem ter sido afetados. Em pouco mais de uma semana, o caso ganhou pedido de resgate, material vazado pelo criminoso e um pedido inédito de ajuda ao governo japonês.

Em 2020 eu escrevi sobre a brecha do Docomo Kouza, e a sensação é parecida: um serviço japonês grande, segurança abaixo do que deveria e quem paga o pato é o cliente. A diferença é a escala.

Entendendo o ataque

A Desktop Cloud é um VPS (servidor virtual privado: um computador alugado na nuvem, que fica ligado 24 horas). Segundo o Impress Watch, ele é muito usado para rodar robôs de FX, os programas que compram e vendem moeda estrangeira automaticamente. O próprio serviço era divulgado para manter o MetaTrader 4 (MT4) rodando sem parar.

A linha do tempo, pelos comunicados oficiais:
- 21/10, 4h: a GMO começa a desligar os servidores, sem data para voltar. Naquele momento, dizia não ter confirmado vazamento nem uso indevido de dados. Dados de cartão de crédito não ficam no serviço.
- 22/10: clientes relatam operações feitas por terceiros nas suas contas de corretora. As senhas das contas e de ferramentas como MT4 e MT5, guardadas nos servidores, podem ter sido vistas.
- 24/10: a GMO confirma o acesso indevido e que dados de clientes foram levados para fora.

E o alcance não é pequeno. Segundo o presidente do GMO Internet Group, Masatoshi Kumagai (熊谷正寿), estão expostas contas abertas em mais de 70 corretoras e empresas de FX, no Japão e fora dele.

E o resgate?

Segundo o próprio Kumagai, o atacante pediu US$ 50 milhões (cerca de ¥8 bilhões). A cobrança chegou em 21 de outubro, de acordo com a linha do tempo do 14º comunicado. A resposta da empresa foi direta: "não atenderemos às exigências do atacante" (tradução livre), dita no 4º comunicado e repetida nos seguintes.

O criminoso então marcou data: publicaria dados dos clientes e lançaria um ataque de ransomware (programa que sequestra os arquivos e cobra para devolvê-los) às 12h do dia 27. A GMO chegou a pedir que os clientes fizessem backup e desligassem o computador da tomada antes do horário.

Às 12h30 do dia 27, a GMO confirmou a publicação do que o atacante diz serem dados da empresa e dos clientes, e avisou que o material pode conter informação falsa. Detalhe importante: quem entrou no site do criminoso por curiosidade teve os próprios dados capturados. Já o ransomware não apareceu: os aparelhos analisados pela empresa não tinham sinal de malware.

Mas tem mais!

A GMO partiu para o contra-ataque. O domínio do site do criminoso caiu por volta das 4h de 28/10, e no mesmo dia a empresa abriu uma recompensa de até US$ 1 milhão (cerca de ¥150 milhões, pela conversão de referência da própria GMO) por informações que ajudem a identificar os responsáveis. Nas primeiras seis horas, chegaram 113 pistas.

Quem paga a conta?

A GMO anunciou em 24/10:

- ¥5.000 para todos os clientes, tendo ou não tido prejuízo;
- cobertura dos prejuízos realizados nas contas por operações indevidas, depois de verificação da empresa. Ficam de fora perdas por oscilação do mercado, o lucro que se deixou de ganhar e danos indiretos;
- serviço alternativo em outra plataforma de nuvem, grátis por seis meses.

Para quem tiver dados publicados pelo criminoso, há um valor extra: ¥10.000 por dados básicos (nome, contato), ¥15.000 por dados financeiros ou de acesso e ¥25.000 por dados sensíveis. Os valores se somam, até ¥3 milhões.

Defesa cibernética ativa: o governo vai entrar no jogo?

Esta é a parte que interessa para além dos clientes da GMO. Em 1º de outubro entrou em vigor a lei japonesa de defesa cibernética ativa (能動的サイバー防御, nōdōteki saibā bōgyo). Na prática, ela permite ao Estado agir contra servidores usados em ataques, cortando o uso deles, e não "destruir" o sistema do atacante.

A GMO pediu ao governo que aplicasse a lei no caso. Segundo a Kyodo, se isso acontecer, será o primeiro caso desde que a lei entrou em vigor. Kumagai reconhece no blog que a GMO não é uma "operadora de infraestrutura social designada" pela lei, mas pede que se olhe o impacto real na vida das pessoas.

O governo não abriu o jogo. O secretário-chefe do gabinete, Minoru Kihara, disse que a decisão cabe à polícia ou às Forças de Autodefesa, "com ou sem pedido da organização atingida" (tradução livre), e só quando há risco de dano grave à vida, à integridade física ou ao patrimônio, com urgência. No mesmo dia 26, o governo reuniu os ministros ligados à cibersegurança, citando a sequência de grandes vazamentos.

E o ARTEX?

Na mesma semana, a GMO Cybersecurity by IERAE, empresa de segurança do grupo, divulgou que encontrou o ARTEX, uma ferramenta de IA feita para testes de invasão autorizados, sendo usada em ataques contra cerca de 20 empresas japonesas. Até agora, não há ligação confirmada entre esse caso e o da Desktop Cloud. Fica o registro: o atacante já usa IA, e o defensor vai ter que usar também.

Minha leitura

O que mais me chamou a atenção foi uma frase do próprio Kumagai. Segundo ele, os white hackers da empresa (especialistas em segurança que procuram falhas antes dos criminosos) já tinham apontado o problema. Pesando a disponibilidade do serviço e outras prioridades, a correção não foi profunda nem rápida o suficiente, "e o atacante aproveitou essa brecha" (tradução livre).

Quem trabalha com TI conhece esse filme. Corrigir mexe em sistema que está funcionando, e "em time que está ganhando não se mexe". Só que, em segurança, a conta de adiar chega, e chega com juros.

Dito isso, reconheço o que a GMO está fazendo certo. Comunicar o vazamento, em si, não é favor: desde abril de 2022, a lei japonesa de proteção de informações pessoais obriga a empresa a informar a Comissão de Proteção de Informações Pessoais (PPC) e avisar as pessoas afetadas em casos como vazamento com fins ilícitos, com risco de prejuízo financeiro ou com mais de mil pessoas atingidas. O que vai além da obrigação é o ritmo e o tom: 14 comunicados em oito dias, recusa clara de pagar resgate, indenização definida rápido e um presidente que admite o erro em público.

Sobre a defesa cibernética ativa, sinceramente, eu acho improvável que o governo diga publicamente o que fez ou deixou de fazer. Mas o caso já cumpriu um papel: deixou claro que, pela lei, o pedido da empresa atacada não decide nada; quem decide é o Estado. Vale acompanhar.

Como se proteger?

Se você usa (ou usava) a Desktop Cloud, a GMO pede:

- troque as senhas da corretora e de ferramentas como MT4 e MT5 em outro aparelho, e encerre as sessões abertas;
- passe o antivírus completo no computador que você usava para acessar o serviço e faça backup;
- não entre no site do criminoso nem compartilhe o material vazado;
- lembre que a GMO nunca pede senha ou código de autenticação, e ignore quem cobrar para "recuperar o dinheiro perdido";
- em caso de dúvida, ligue para o atendimento 24h da GMO: 03-5456-2560.

E para todo mundo, fica a lição de sempre: não guarde senhas em texto dentro de servidor, use senha diferente para cada serviço e ative a verificação em duas etapas onde puder. Não existe sistema 100% seguro, mas dá para dificultar bastante a vida dos golpistas.

Você conhece alguém que usava robô de FX em VPS? Vale mandar este texto para essa pessoa.

Fontes

• Comunicado inicial sobre o acesso indevido — Onamae.com (GMO Internet), 21/10/2026 — Japonês
• Comunicados 2 a 14 sobre o caso — GMO Internet Group, 22 a 28/10/2026 — Japonês
• 今こそ官民連携で日本を守ろう――能動的サイバー防御を具申した理由 — Blog de Masatoshi Kumagai, 25/10/2026 — Japonês
• お名前.comデスクトップクラウドで不正アクセス FXで不正利用も発生 — Impress Watch, 23/10/2026 — Japonês
• Japan's Onamae Desktop Cloud hacked, up to 27,000 servers affected — BleepingComputer, 21/10/2026 — Inglês
• GMO、サイバー防御を緊急要請 不正アクセス確認、適用なら初 — Kyodo (via Kumamoto Nichinichi), 24/10/2026 — Japonês
• サイバー攻撃の無害化「要請有無にかかわらず適切に判断」 官房長官 — Nikkei, 26/10/2026 — Japonês
• Coletiva do secretário-chefe do gabinete, 26/10 (manhã) — Kantei, 26/10/2026 — Japonês
• Ataques com a ferramenta ARTEX contra 20 empresas japonesas — ITmedia AI+, 21/10/2026 — Japonês
• Obrigatoriedade de comunicar vazamentos (漏えい等報告・本人通知の義務化) — Comissão de Proteção de Informações Pessoais (PPC) — Japonês
• O que muda com a defesa cibernética ativa — @IT, 05/10/2026 — Japonês