GMO Internet de Japón instó a los clientes de su servicio Onamae.com Desktop Cloud a desconectar sus PC, apagarlos y desenchufar los cables conectados después de que presuntos atacantes amenazaran con un ataque de ransomware.

La advertencia se produjo tras una brecha que involucró programas maliciosos en los servidores de los clientes y una demanda de extorsión de aproximadamente 8.000 millones de yenes.

Los atacantes amenazaron con publicar información de los clientes y lanzar un ransomware al mediodía, hora estándar de Japón, el 27 de octubre de 2026.

GMO confirmó más tarde que supuesta información de la empresa y de los clientes apareció en línea a las 12:30 p.m. Sin embargo, su actualización a la 1:55 p.m. indicó que no se había confirmado ningún ataque de ransomware y que el material publicado aún estaba siendo revisado.

Los investigadores de GMO Internet Group señalaron que estaban examinando los dispositivos de los clientes en busca de malware, incluido el ransomware.

Es importante destacar que el noveno informe de respuesta a incidentes de la empresa indicó que no se había encontrado malware en los dispositivos cuyo análisis se había completado antes de las 11:59 a.m. Ese hallazgo no establecía que la computadora de cada cliente estuviera a salvo.

GMO Internet de Japón insta a sus clientes

La solicitud de apagado de GMO fue una precaución contra un ataque amenazado, no una confirmación de que el ransomware se hubiera propagado por las computadoras personales de los clientes.

La distinción es importante: se habían confirmado programas maliciosos en algunos entornos de servidores alojados, mientras que los investigadores estaban revisando por separado los dispositivos de los clientes.

La empresa pidió a los usuarios que escanearan sus sistemas, hicieran copias de seguridad de los datos, desconectaran las conexiones de red y apagaran sus PC. Esta interrupción sigue a otros incidentes japoneses donde las empresas detuvieron servicios para limitar los daños.

Durante la suspensión del servicio por el ciberataque a Niconico, el operador Dwango también puso su plataforma fuera de línea mientras investigaba. Tales apagados interrumpen la actividad normal, pero la advertencia de GMO se centró en reducir la exposición de los clientes mientras el alcance del compromiso seguía siendo incierto.

Según el aviso inicial de acceso no autorizado de GMO, la empresa confirmó programas maliciosos en algunos entornos de servidores de clientes el 20 de octubre.

Identificó 26.739 servidores como potencialmente afectados y comenzó a apagar servidores en todos los planes de Desktop Cloud a partir de las 4 a.m. del 21 de octubre. La información almacenada dentro de esos entornos podría haber sido visualizada.

Esa cifra de servidores no debe interpretarse como un número confirmado de computadoras personales infectadas o de clientes cuyos datos fueron robados.

El primer aviso de GMO describió la exposición potencial del servidor, mientras que las actualizaciones posteriores abordaron las investigaciones de dispositivos y la supuesta filtración de información. La empresa no ha conectado públicamente esas categorías a través de un recuento final de víctimas verificado en los avisos revisados.

GMO recibió el correo electrónico amenazante exigiendo aproximadamente 8.000 millones de yenes el 21 de octubre y consultó a la policía al día siguiente.

Se negó al pago, explicando que satisfacer las demandas de los atacantes no garantizaría la eliminación de la información robada ni evitaría su mal uso. La empresa continuó coordinándose con los investigadores y las autoridades pertinentes a medida que su respuesta se expandía.

Investigación de dispositivos, protección de cuentas y recuperación

Los empleados de GMO recolectaron dispositivos de clientes en todo Japón tras solicitar cooperación el 25 de octubre. Su equipo de hackers éticos comenzó a examinar los sistemas entregados, y se esperan más dispositivos.

Trend Micro y empresas de IA ofrecieron asistencia, aunque GMO describió los detalles de su participación como algo que aún se estaba coordinando, en lugar de anunciar una investigación conjunta completada.

Las copias de seguridad formaron otra parte de la guía de GMO para el cliente. Informes independientes sobre operadores de ransomware que desactivan las copias de seguridad explican por qué los sistemas de recuperación merecen protección junto con los puntos finales.

Ese comportamiento más amplio no ha sido atribuido a los atacantes de GMO; los avisos públicos de la empresa no identificaron una familia de ransomware, una técnica de destrucción de copias de seguridad ni un mecanismo de cifrado.

También se les dijo a los clientes que cambiaran las credenciales almacenadas o utilizadas en los servidores afectados, incluidas las contraseñas reutilizadas en otros lugares. GMO advirtió que nunca solicitaría contraseñas o códigos de autenticación e instó a los usuarios a desconfiar de los mensajes que ofrecieran recuperaciones pagadas.

Su décimo informe aconsejó revisar los avisos oficiales en lugar de abrir enlaces o archivos en correos electrónicos o mensajes de texto relacionados con el incidente.

Los compromisos de recuperación incluyeron un pago de 5.000 yenes anunciado previamente y el reemplazo de PC de rendimiento equivalente para los clientes cuyos daños por ransomware fueran verificados.

Estas medidas no prueban que haya ocurrido un ransomware. Mientras tanto, las bóvedas de respaldo air-gapped de Google ilustran cómo separar las copias de recuperación protegidas de las cargas de trabajo ordinarias puede apoyar la resiliencia, aunque GMO no anunció el uso de esa tecnología.