Взлом VPS GMO: пострадали клиенты OANDA, AvaTrade, Dukascopy, FXTF и Gaitame Finest

Трейдер выключает домашний компьютер, а его торговый робот продолжает работать. Для этого достаточно арендовать виртуальный сервер, установить на него MetaTrader и оставить терминал подключённым к счёту. Наутро можно проверить результаты. Такой привычный порядок нарушила атака на японский облачный сервис Onamae.com Desktop Cloud компании GMO Internet.

Клиенты обнаружили в истории операции, которых не совершали. 27 октября 2026 года японский министр финансовых услуг Сацуки Катаяма сообщила о пострадавших клиентах пяти форекс-компаний. Сами компании, по сообщениям регулятора, уже ограничили часть операций и блокировали подозрительные приказы. Об этом сообщило агентство Jiji Press.

История быстро обросла крупными цифрами. GMO указала 26 739 серверов, которые могли быть затронуты. Злоумышленники потребовали около 8 млрд иен, или примерно $50 млн, сообщало издание BleepingComputer. Но ни одна из этих цифр не означает, что взломано столько же счетов или что трейдеры потеряли $50 млн. Первая относится к потенциальному охвату серверов, вторая — к требованию вымогателей.

Мы сопоставили сообщения GMO и публикации о реакции властей, чтобы разобраться, что известно об атаке, как удалённый сервер связан с брокерским счётом и кому придётся доказывать размер потерь. Данные в материале приведены по состоянию на 30 октября 2026 года.

Пять брокеров, один общий поставщик

Сацуки Катаяма назвала Goldenway Japan, Oanda Japan, Ava Trade Japan, Gaitame Finest и Dukascopy Japan. По данным Jiji Press, речь идёт о клиентах этих пяти компаний, понёсших ущерб предположительно после доступа к серверам GMO и утечки хранившихся там данных для входа.

Это не список взломанных брокеров. Публичные сообщения, на которых основан материал, не устанавливают взлом внутренних систем каждой из пяти компаний. Общим звеном стал сторонний сервис, которым пользовались некоторые трейдеры. Человек мог выбрать одного брокера, сосед — другого, но оба запускали терминал в одной облачной инфраструктуре.

Число пять тоже не стоит читать как окончательную границу инцидента. Это сведения, озвученные министром на конкретную дату. В сообщении GMO от 24 октября говорится, что предполагаемые атакующие угрожали продолжить манипуляции счетами более чем в 70 японских и зарубежных финансовых компаниях. Это описание угрозы со стороны злоумышленников, а не подтверждение ущерба в 70 организациях.

Регулятор, согласно Jiji Press, через отраслевую ассоциацию попросил форекс-компании усилить наблюдение за операциями и рекомендовать клиентам сменить пароли. На момент выступления Сацуки Катаяма новых сообщений о мошеннических сделках не поступало. Это не доказывает, что все последствия уже выявлены: проверка отдельных счетов и документов занимает время.

Зачем трейдеру вообще нужен чужой сервер

Виртуальный сервер, или VPS, — это удалённая среда, к которой пользователь подключается через интернет. На ней можно запустить торговую платформу и программу, которая выставляет заявки по заданным правилам. Роботу не нужен включённый домашний компьютер, а короткое отключение электричества в квартире не обязательно остановит его работу.

За удобство приходится расплачиваться доступом. Терминалу нужно подключение к торговому счёту, а программа должна получить достаточно прав, чтобы открывать и закрывать позиции. Данные для входа и настройки оказываются в среде, которой клиент пользуется удалённо. Насколько они защищены, зависит от терминала, настроек и устройства сервиса.

Когда контроль над такой средой теряет владелец, злоумышленнику может не понадобиться ломать сайт брокера. Достаточно оказаться там, где уже работает доверенный клиентский терминал, либо получить данные, позволяющие войти в счёт. Дальнейшие действия зависят от ограничений брокера и конкретных прав доступа.

GMO сообщила 21 октября, что обнаружила вредоносные программы в серверных средах некоторых клиентов. 24 октября компания признала проблемы безопасности в системе сервиса, несанкционированный доступ и вынос клиентской информации. Она также сообщила о жалобах на незнакомые операции. При этом в открытых заявлениях нет полного технического описания первоначальной точки входа и поимённого перечня всех затронутых счетов.

Поэтому было бы неверно утверждать, что известен точный путь компрометации каждого клиента. Связь между серверами, учётными данными и сделками описывается как установленная или предполагаемая на разных этапах расследования; подробности отдельных случаев ещё должны проверяться по журналам.

От обращения клиента до отключения всех серверов

Согласно хронологии GMO, 19 октября компания начала проверку после обращений пользователей. На следующий день она подтвердила установку вредоносной программы, приостановила новые заявки и доступ к панели управления. С четырёх утра 21 октября по японскому времени провайдер начал последовательно отключать серверы всех тарифов.

Отключение остановило работу сервиса целиком, а не только тех серверов, на которых уже обнаружили вредоносную программу. На тот момент GMO оценивала потенциальный масштаб в 26 739 серверов. В первом уведомлении компания отдельно отмечала, что расследование продолжается и информация на серверах могла быть просмотрена.

С 21 октября стали поступать сообщения о неизвестных клиентам операциях. 22 октября GMO обратилась в полицию. Позже компания подтвердила вынос данных и сообщила о вымогательстве. Раннее сообщение об отсутствии подтверждённой утечки не означает, что утечки впоследствии не обнаружили. Первоначальная оценка была сделана на другом этапе проверки.

Для пользователей отключение имело и собственную цену. Робот, который должен был сопровождать позицию, мог перестать работать. Если защитные приказы или часть алгоритма находились только в терминале, а не на стороне брокера, после остановки сервера ситуация зависела от конкретной стратегии и настроек. Мы не располагаем данными, сколько клиентов столкнулись с такими последствиями в этом инциденте.

Почему чужая сделка способна принести убыток без вывода денег

При разговоре о взломе счёта легко представить перевод денег на чужую карту. В торговом терминале злоумышленник может открыть позицию, изменить её объём или закрыть уже существующую. Цена сдвинется, сработает маржинальное требование или комиссия съест часть баланса. Для клиента результатом станет реальный убыток, хотя привычного банковского перевода он не увидит.

Это объяснение механики, а не реконструкция конкретных приказов по делу GMO. Компания сообщила о незнакомых операциях и угрозе наносить ущерб балансам через заявки, но не опубликовала подробную историю сделок каждого клиента. У нас нет оснований утверждать, какие инструменты использовали атакующие, кому досталась обратная сторона сделок и получили ли они прибыль от отдельных операций.

Для проверки происхождения заявки пригодятся время входа, история сессий, IP-адреса, журнал терминала и брокерская выписка. Один необычный результат сам по себе не доказывает взлом. Торговый робот тоже может открыть убыточную позицию в рамках заданного алгоритма. Но заявка, появившаяся после отключения сервера или с неизвестного устройства, заслуживает отдельной проверки с учётом всех журналов.

Торговый и информационный доступ дают разные права. Пароль только для просмотра истории не должен давать права выставлять заявки. Полноценный торговый доступ даёт гораздо больше возможностей. Перед передачей любых реквизитов следует проверять, какие действия они разрешают, и использовать официальный канал компании.

Вымогательство и публикация данных

По сообщениям прессы, нападавшие потребовали около 8 млрд иен. GMO подтвердила сам факт денежного требования и заявила, что не станет выполнять условия вымогателей. Компания объяснила решение тем, что оплата не гарантирует удаления украденных данных и прекращения их использования.

Угроза включала дальнейшие сделки, публикацию информации и атаку с применением программы-вымогателя. Перед объявленным сроком компания попросила пользователей проверить свои устройства, создать резервные копии и отключить компьютеры от сети. Это были меры предосторожности на фоне угрозы; их нельзя автоматически считать доказательством заражения каждого личного компьютера клиента.

27 октября после истечения срока СМИ сообщили о публикации данных одного клиента. GMO в сообщении 28 октября заявила, что домен сайта, связанного с атакующими и публиковавшего информацию, которую представляли как клиентскую, был отключён. Отключение сайта не доказывает, что копии данных исчезли или что дальнейшей публикации не будет. Неизвестно и то, сколько всего информации оказалось у атакующих.

Пострадавшие могут столкнуться с мошенническими письмами и после остановки торгов. Письмо от имени службы компенсации или звонок якобы от брокера способен использовать знание об инциденте как приманку. Поэтому ссылку на форму обращения лучше находить самостоятельно на официальном сайте, а не переходить по адресу из неожиданного сообщения.

Что именно обещала возместить GMO

24 октября провайдер объявил о двух разных выплатах. Первая — фиксированные 5 000 иен каждому текущему клиенту сервиса, независимо от наличия финансового ущерба. Это отдельная выплата за причинённые неудобства, а не предел возмещения торговых потерь.

Вторая мера относится к реализованным убыткам от несанкционированных сделок, которые проверка компании свяжет с атакой. В объявлении упомянуты торговые потери, комиссии и аналогичные расходы. Рыночные колебания, прибыль, которую клиент мог бы получить, и другой косвенный ущерб в заявленную программу не входят.

Разница становится заметна на примере. Если чужая сделка закрыта с убытком, подтверждённая потеря и связанные комиссии могут подпасть под программу. Если сервер отключился и робот не открыл прибыльную сделку, которую клиент ожидал, такая упущенная прибыль по опубликованным условиям исключена. Это иллюстрация условий, а не решение по конкретной заявке.

GMO намерена изучать историю операций, журналы доступа и другие материалы. Клиента могут попросить подтвердить личность и предоставить сведения о времени, деталях и сумме ущерба. Компания также предлагает обратиться к брокеру с просьбой рассмотреть отмену операций или возврат средств. Если брокер уже возместит часть потери, GMO обещает выплатить оставшуюся сумму в рамках своей программы. Если брокер откажет, это само по себе не отменяет обещание GMO компенсировать признанный ущерб.

Отдельная деталь касается доступа к истории сделок. В объявлении компания допускает предоставление специального пароля только для просмотра, например в MT4 или MT5, для проверки истории. При этом GMO пишет, что не будет запрашивать другие пароли или PIN-коды для компенсации. Перед передачей даже пароля для просмотра нужно убедиться, что запрос исходит от GMO через подтверждённый канал, и проверить действующие инструкции компании.

Процедуру подачи заявлений, сроки и список документов GMO обещала объявить до 6 ноября. Обещание выплатить ущерб ещё не отвечает на вопрос, сколько времени займёт рассмотрение каждой заявки и как будут разрешаться споры о происхождении отдельной сделки.

Кто отвечает перед клиентом

Практический ответ начинается с документов. У трейдера есть отношения с брокером, отдельный договор с VPS-провайдером и собственные действия по настройке терминала. Это разные участники, и одна новость о взломе не позволяет автоматически определить юридическую ответственность каждого по всем счетам.

Брокер видит исполненные сделки и данные о входах в свою систему. Он может заблокировать доступ, проверить приказы и рассмотреть обращение о возврате. Провайдер видит собственную инфраструктуру и, по опубликованным условиям, рассматривает компенсацию подтверждённых потерь, связанных с атакой. Клиенту нужны материалы обеих сторон, чтобы связать незнакомые операции с инцидентом.

Условия договора, применимое право, сведения о том, как хранились данные, и выводы расследования могут повлиять на спор. Формулировка программы GMO описывает предложенный компанией механизм компенсации; она сама по себе не устанавливает окончательный объём всех возможных прав клиента. При крупном или спорном ущербе имеет смысл получить консультацию юриста в подходящей юрисдикции.

Есть и организационная проблема. Клиент может знать точную сумму списания, но не иметь доступа к журналам провайдера. Провайдер, напротив, может располагать техническими следами, но не всей историей счёта. Если стороны будут обмениваться только итоговыми отказами, установить причинную связь станет сложнее. Поэтому полезно заранее запросить у каждой стороны номер обращения, перечень нужных документов и письменный ответ.

Что делать, если терминал работал на затронутом VPS

Прежде всего стоит связаться с брокером через известный официальный сайт или телефон и сообщить о возможной компрометации. Попросите завершить активные сессии, проверить неизвестные входы и временно ограничить операции, если это уместно для вашего счёта. При открытых позициях обсудите последствия ограничений с брокером: блокировка доступа и остановка робота не обязательно закрывают сделки.

Пароли лучше менять с заведомо чистого устройства. Это касается торгового счёта, кабинета брокера и других сервисов, где использовался тот же пароль. Если брокер поддерживает дополнительные способы защиты и ограничения доступа, проверьте их условия. Не запускайте прежнюю копию терминала на новом сервере, пока не разобрались, какие файлы и настройки могли быть затронуты.

Сохраните историю сделок, выписки, письма, уведомления и доступные журналы с датами и временем. Отдельно отметьте операции, которые не узнаёте, но не удаляйте исходные записи. Скриншот полезен как дополнение; для проверки могут понадобиться выгрузки и подтверждение брокера. В обращении укажите часовой пояс, чтобы сторонам было проще сопоставить события.

Наконец, проверьте состояние домашнего устройства по актуальным рекомендациям GMO. Сам факт подключения к VPS не доказывает его заражения, но компания просила пользователей провести полное сканирование и сделать резервную копию. При подозрительных признаках стоит обратиться к специалисту и сохранить результаты проверки.

Вопросы, которые пока остаются открытыми

GMO признала проблемы безопасности, однако опубликованных сведений недостаточно, чтобы независимо восстановить весь маршрут атаки. Не раскрыты окончательное число клиентов с подтверждённым ущербом, общая сумма потерь и детальная картина проникновения. Пять названных финансовых компаний — срез сообщений на 27 октября, а не гарантия, что других пострадавших нет.

Следующий документ для клиентов — окончательный порядок компенсации. В нём должны появиться сроки, перечень доказательств и процедура подачи. Затем станет понятно, как компания применяет границу между чужой сделкой и косвенной потерей на практике.

Для остальных трейдеров этот случай показывает цену непрерывной работы терминала. VPS снимает бытовую заботу о включённом компьютере, но становится местом, где встречаются программа, доступ к счёту и полномочия на сделки. Выбирать такой сервис стоит с тем же вниманием к защите доступа и журналам, с каким выбирают самого форекс-брокера.