สรุปสั้น

Onamae.com Desktop Cloud คือ บริการเดสก์ท็อป Windows บนคลาวด์ของ GMO Internet ในญี่ปุ่น ซึ่งนักเทรด FX นิยมใช้รันโปรแกรมเทรดอย่าง MetaTrader ตลอด 24 ชั่วโมง เมื่อวันที่ 20 ตุลาคม GMO พบว่ามีบุคคลภายนอกฝังโปรแกรมอันตรายในเซิร์ฟเวอร์ของลูกค้า และปิดบริการทุกแพ็กเกจ ตามที่รายงานไว้ใน 2026/10/228 เหตุการณ์ลุกลามเป็นการข่มขู่เรียกค่าไถ่ราว 50 ล้านดอลลาร์ (ราว 8,000 ล้านเยน) เมื่อวันที่ 21 ตุลาคม GMO ปฏิเสธจ่าย และล่าสุดเปิดโครงการ GMO Cybercrime Bounty ตั้งรางวัลรวมสูงสุด 1 ล้านดอลลาร์สำหรับเบาะแสที่นำไปสู่การจับกุมหรือหมายจับระหว่างประเทศ

ผลกระทบไม่ได้อยู่แค่ในเซิร์ฟเวอร์ของ GMO ผู้โจมตีขู่จะปั่นบัญชีลูกค้าในบริษัทหลักทรัพย์และ FX กว่า 70 แห่ง ปล่อยข้อมูล และโจมตีเครื่องของลูกค้าด้วยแรนซัมแวร์ บริษัทโบรกเกอร์ OANDA Japan ยืนยันว่ามีผู้ล็อกอินและเทรดในบัญชีลูกค้าบางรายด้วยรหัสผ่านที่เชื่อว่ารั่วจากเซิร์ฟเวอร์ของ GMO และวันที่ 27 ตุลาคมผู้โจมตีโพสต์ข้อมูลที่อ้างว่าเป็นของลูกค้า ขณะที่ GMO ยังไม่เปิดเผยว่าผู้โจมตีเข้ามาได้อย่างไร ลูกค้าที่เคยใช้บริการควรเปลี่ยนรหัสบัญชีเทรดจากอุปกรณ์ที่ไม่เคยเชื่อมต่อบริการนี้ ยุติ session ทั้งหมด และเปิดการยืนยันตัวตนสองชั้น

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 28 ตุลาคม 2569 ว่าโครงการรางวัลของ GMO Internet Group เปิดเมื่อวันที่ 28 ตุลาคม และจะจ่ายเฉพาะเมื่อเบาะแสช่วยนำไปสู่การจับกุม รวมถึงการจับกุมโดยตำรวจนอกญี่ปุ่น หรือนำไปสู่หมายจับระหว่างประเทศ เช่น Red Notice ของ Interpol

ไทม์ไลน์ของเหตุการณ์มีดังนี้

  • 20 ต.ค. GMO Internet พบโปรแกรมอันตรายในเซิร์ฟเวอร์ของลูกค้าบางราย
  • 21 ต.ค. ปิดเซิร์ฟเวอร์ทุกแพ็กเกจ ลูกค้าเริ่มแจ้งการเทรดที่ตนไม่ได้ทำ และ GMO ได้รับข้อเรียกร้องค่าไถ่ราว 50 ล้านดอลลาร์จากกลุ่มที่เชื่อว่าเป็นผู้โจมตี
  • 22 ต.ค. โบรกเกอร์ FXTF เตือนว่าข้อมูลล็อกอินของลูกค้าที่ใช้ VPS บางรายอาจถูกขโมยไปจากการโจมตี VPS ของบริษัทอื่น
  • 24 ต.ค. GMO ยืนยันว่าพบปัญหาความปลอดภัยในระบบของบริการ การเข้าถึงโดยไม่ได้รับอนุญาต และข้อมูลลูกค้าถูกนำออกจากบริษัท
  • 25 ต.ค. นาย Masatoshi Kumagai ประธานของ GMO Internet Group เขียนบล็อกยอมรับว่าทีม white-hat ของกลุ่มเคยเตือนทีมที่ดูแลบริการเรื่องปัญหาไว้ล่วงหน้า แต่การตอบสนองไม่เร็วและไม่ครบพอ ผู้โจมตีจึงฉวยช่องว่างนั้น
  • 27 ต.ค. ผู้โจมตีกำหนดเที่ยงวันเป็นเส้นตายปล่อยข้อมูลและโจมตีด้วยแรนซัมแวร์ แล้วโพสต์ข้อมูลที่อ้างว่าเป็นข้อมูลส่วนบุคคลของลูกค้ารายหนึ่ง ณ เวลา 13:55 น. ตามเวลาญี่ปุ่นยังไม่พบการโจมตีด้วยแรนซัมแวร์
  • 28 ต.ค. โดเมนเว็บของผู้โจมตีรวมถึงเว็บมิเรอร์ถูกปิดราว 04:00 น. ตามเวลาญี่ปุ่น และ GMO เปิดโครงการรางวัล

ด้าน OANDA Japan ยืนยันว่ามีบุคคลภายนอกล็อกอินและเทรดในบัญชีลูกค้าบางรายด้วยคู่ ID และรหัสผ่านที่เชื่อว่ารั่วจากเซิร์ฟเวอร์ของ GMO OANDA จำกัดการเทรดในบัญชีที่อาจได้รับผลกระทบ และ ณ วันที่ 26 ตุลาคมยังไม่พบการเจาะหรือข้อมูลรั่วจากระบบหลักของตนเอง

ข้อจำกัดของข้อมูลยังมีมาก ตัวเลข 26,739 เครื่อง คือ จำนวนเซิร์ฟเวอร์ที่อาจได้รับผลกระทบ ไม่ใช่จำนวนที่ยืนยันว่าถูกเจาะหรือข้อมูลรั่ว ส่วนรายงานต่อตลาดหลักทรัพย์เมื่อวันที่ 28 ตุลาคมระบุว่า GMO ยังไม่ยืนยันจำนวนลูกค้าที่จะได้รับเงินชดเชย ปริมาณข้อมูลที่ถูกปล่อย และการเทรดที่เข้าเกณฑ์ชดเชย ทั้งยังไม่พบผลกระทบต่อบริการอื่นของกลุ่ม

วิธีการโจมตี

ช่องทางเข้ายังไม่ยืนยัน — ณ วันที่ 28 ตุลาคม GMO ยังไม่เปิดเผยว่าผู้โจมตีเข้าระบบได้อย่างไร ข้อมูลที่มีมาจากคำกล่าวอ้างของผู้โจมตีบนเว็บของตนตามรายงานของ ITmedia NEWS ซึ่ง GMO ยังไม่ยืนยัน

คำกล่าวอ้างของผู้โจมตี — ผู้โจมตีอ้างว่าเซิร์ฟเวอร์ทุกเครื่องใช้บัญชีผู้ดูแลระบบร่วมกันบัญชีเดียว และเมื่อลูกค้าเชื่อมต่อเข้าเดสก์ท็อป ไดรฟ์บนเครื่อง PC ของลูกค้าจะมองเห็นได้จากเซิร์ฟเวอร์ตามค่าเริ่มต้น ผู้โจมตียังอ้างว่าใช้ช่องโหว่ในบริการเพื่อเข้าถึงเครื่อง PC ของลูกค้า หากเป็นจริง บัญชีผู้ดูแลเพียงบัญชีเดียวก็พอให้เข้าถึงเซิร์ฟเวอร์ทั้งหมด และการแชร์ไดรฟ์ก็เป็นทางขยายจากคลาวด์ไปยังเครื่องของลูกค้า

ขโมยรหัสบัญชีเทรดจากโปรแกรมเทรด — ข้อมูลใดก็ตามที่ลูกค้าเก็บไว้บนเซิร์ฟเวอร์อาจถูกเปิดดู รวมถึงข้อมูลล็อกอินที่บันทึกไว้ใน MetaTrader 4 และ 5 ผู้โจมตีนำคู่ ID และรหัสผ่านเหล่านี้ไปล็อกอินบัญชีที่โบรกเกอร์แล้วเทรดเอง GMO ระบุว่าไม่ได้เก็บข้อมูลบัตรชำระเงินของลูกค้าไว้บนเซิร์ฟเวอร์

ข่มขู่หลายชั้น — ข้อเรียกร้องมาพร้อมคำขู่ 4 แบบ ได้แก่ ปั่นบัญชีลูกค้าในบริษัทหลักทรัพย์และ FX กว่า 70 แห่งต่อ ปล่อยข้อมูลของบริการและเครื่อง PC ของลูกค้า โจมตีเครื่อง PC ด้วยแรนซัมแวร์ และเปิดเผยรายละเอียดระบบของ GMO

เก็บข้อมูลผู้เข้าชมเว็บปล่อยข้อมูล — GMO ระบุว่าเว็บของผู้โจมตีเก็บข้อมูลของทุกคนที่เข้าชม และแนะนำให้ผู้ที่เคยเข้าสแกนไวรัสเต็มรูปแบบ ส่วนการวิเคราะห์เครื่อง PC ที่ลูกค้าส่งให้ตรวจ ณ วันที่ 27 ตุลาคมยังไม่พบมัลแวร์รวมถึงแรนซัมแวร์ในเครื่องที่ตรวจเสร็จแล้ว แต่ไม่ได้ยืนยันว่าเครื่องของลูกค้าทุกรายปลอดภัย

ผลกระทบ

กลุ่มที่โดนโดยตรง คือ ลูกค้า Onamae.com Desktop Cloud ซึ่งส่วนใหญ่เป็นนักเทรด FX ในญี่ปุ่น เซิร์ฟเวอร์ที่อาจได้รับผลกระทบมี 26,739 เครื่อง และผลเสียหายจริงเกิดแล้วในรูปของการเทรดโดยไม่ได้รับอนุญาตในบัญชีที่ OANDA Japan ยืนยัน รวมถึงข้อมูลลูกค้าที่ถูกนำออกและบางส่วนถูกโพสต์

GMO ประกาศจ่ายผู้ใช้ปัจจุบันทุกรายรายละ 5,000 เยน ชดเชยความเสียหายจากการเทรดและค่าธรรมเนียมที่ยืนยันว่าเกิดจากเหตุนี้ และจ่าย 10,000-25,000 เยนต่อประเภทข้อมูลสำหรับลูกค้าที่ยืนยันว่าข้อมูลถูกเผยแพร่ GMO จะไม่เปิดบริการบนระบบเดิมอีก และจะเสนอย้ายลูกค้าไปบริการแยกฟรี 6 เดือน เหตุนี้ชี้ว่าบริการ VPS สำหรับเทรดเป็นเป้าที่คุ้มค่า เพราะรวมรหัสบัญชีที่เปลี่ยนเป็นเงินได้ทันทีไว้ในที่เดียว และคำยอมรับของนาย Kumagai ว่าคำเตือนภายในไม่ได้รับการแก้ทันเวลา คือ บทเรียนที่ชัดที่สุดของเหตุนี้

คำแนะนำ

  • เปลี่ยนรหัสบัญชีเทรดจากอุปกรณ์อื่นทันที — ลูกค้าที่เคยใช้ Desktop Cloud ควรเปลี่ยนรหัสบัญชีเทรดและโปรแกรมเทรดจากอุปกรณ์ที่ไม่ได้ใช้เทรดหรือไม่เคยเชื่อมต่อบริการนี้ เช่น โทรศัพท์
  • ยุติ session ทั้งหมดและเปิด 2FA — ออกจากระบบทุก session ผ่านโบรกเกอร์หากจำเป็น แม้จะเปลี่ยนรหัสแล้ว และเปิดการยืนยันตัวตนสองชั้นในทุกโบรกเกอร์ที่รองรับ
  • ตรวจประวัติการเทรดและยอดเงิน — แจ้งโบรกเกอร์ก่อนเมื่อพบการเทรดที่ไม่ได้ทำ แล้วจึงแจ้ง GMO
  • เปลี่ยนรหัสที่ใช้ซ้ำ — รวมถึงรหัสที่บันทึกในเบราว์เซอร์ และสแกนไวรัสเต็มรูปแบบบนอุปกรณ์ที่เคยเชื่อมต่อ
  • อย่าตอบผู้อ้างว่าเป็นผู้โจมตีหรือผู้เสนอกู้เงินคืน — GMO จะไม่ขอรหัสผ่านหรือรหัสยืนยันตัวตน และติดต่อผู้ให้เบาะแสจากที่อยู่ที่ลงท้ายด้วย @cybercrimebounty.gmo เท่านั้น
  • ผู้ให้บริการ VPS/เดสก์ท็อปคลาวด์: แยกบัญชีผู้ดูแลต่อเครื่องและปิดการแชร์ไดรฟ์ตามค่าเริ่มต้น — เพื่อไม่ให้บัญชีเดียวเข้าถึงทุกเซิร์ฟเวอร์ และกำหนดกระบวนการรับคำเตือนจากทีมความปลอดภัยภายในให้มีเจ้าของและกำหนดเวลาแก้ไข

แหล่งอ้างอิง