Malware en los entornos de servidores de clientes en Onamae.com Desktop Cloud de Japón, lo que llevó al proveedor a comenzar a apagar servidores en todos los planes de servicio.

La empresa enumeró 26,739 servidores como potencialmente afectados, lo que genera preocupación sobre los datos almacenados y los detalles de inicio de sesión. Esa cifra describe el alcance posible, no un recuento confirmado de sistemas infectados.

El proveedor confirmó los programas maliciosos el 20 de octubre de 2026 y comenzó a detener los servidores de los clientes a partir de las 4:00 a.m. hora de Japón el 21 de octubre.

Su aviso oficial del incidente indicó que el apagado tenía como objetivo evitar más daños. El aviso no proporcionó una fecha de reinicio, dejando a los clientes sin acceso mientras continuaba la investigación.

Onamae identificó el malware en algunos entornos de servidores de clientes y advirtió que la información contenida en esos sistemas podría haber sido vista.

Sin embargo, sus hallazgos públicos no nombran el malware, no explican sus funciones ni describen cómo accedieron los atacantes inicialmente. La revelación confirma una intrusión pero deja la cadena del ataque sin resolver.

Malware en servidores en la nube japoneses, obligando al proveedor

El apagado cubre todos los planes de Onamae.com Desktop Cloud, en lugar de solo los servidores donde se confirmaron programas maliciosos. Tú no puedes usar el servicio mientras tus servidores estén detenidos.

La respuesta recuerda a la advertencia de apagado de emergencia de servidores de ShareFile, aunque aquel caso independiente implicó una respuesta precautoria ante una amenaza y no el descubrimiento confirmado de malware como en este caso.

Para los clientes, el problema inmediato combina la pérdida de acceso con la incertidumbre sobre la información almacenada en sus servidores alquilados. Onamae no ha identificado públicamente los archivos, cuentas o aplicaciones afectadas.

Tampoco ha dicho si los atacantes copiaron datos en otro lugar. Por lo tanto, la posible visualización de información no debe reportarse como un robo de datos confirmado.

La empresa afirmó que no había encontrado ninguna filtración confirmada de la información personal de los clientes que posee, ni un uso indebido confirmado de la información que pudo haber sido vista.

Declaró por separado que no conserva información de pago, incluidos los detalles de tarjetas de crédito. Estas declaraciones no eliminan la advertencia sobre los datos dentro de los servidores de los clientes.

Los detalles técnicos siguen siendo limitados

Onamae no ha revelado un punto de entrada, un fallo de seguridad ni un atacante identificado. Su aviso tampoco establece si los programas maliciosos robaron contraseñas, abrieron acceso remoto o realizaron otra tarea.

Calificar el incidente como ransomware, un ataque a la cadena de suministro o una campaña de un grupo conocido iría más allá de la evidencia disponible.

El malware en la nube puede dirigirse a secretos almacenados dentro de los sistemas alojados. En un caso aparte, los informes sobre el robo de credenciales de servidores en la nube describieron malware diseñado para recolectar detalles de acceso a la nube.

Ese ejemplo explica la preocupación general en torno al compromiso de servidores, pero no proporciona evidencia de que las mismas herramientas o atacantes estuvieran involucrados en Onamae.

La solicitud del proveedor de cambiar los detalles de inicio de sesión convierte la exposición de credenciales en una preocupación inmediata, incluso sin un análisis publicado del malware.

Específicamente pidió a los clientes que cambiaran la información de autenticación almacenada o utilizada en los servidores. Esa instrucción cubre una ruta potencial para un mayor acceso a la cuenta, no es una prueba de que cada contraseña guardada fuera robada.

Tú deberías seguir las instrucciones de Onamae para reemplazar los detalles de inicio de sesión expuestos rápidamente y cambiar las contraseñas coincidentes en otros servicios.

La brecha de credenciales de respaldo de ConnectWise mostró cómo un secreto de proveedor comprometido permitió el acceso no autorizado a través de entornos de clientes. La comparación resalta por qué los detalles de acceso son importantes; no establece cómo comenzó este incidente.

Onamae también advirtió sobre correos electrónicos de phishing y mensajes sospechosos que explotan el incidente. La empresa dijo que nunca solicitaría contraseñas o información de tarjetas de crédito por correo electrónico o teléfono.

Si tú te enfrentas a una interrupción del servicio, debes tratar tales solicitudes con cuidado, especialmente cuando un mensaje afirme que compartir la información de la cuenta es necesario para restaurar el acceso.

Los mensajes con temática de seguridad pueden convertirse ellos mismos en un punto de entrada. Los informes sobre ataques de phishing basados en passkeys describieron a criminales haciéndose pasar por personal de soporte para capturar accesos a la nube.

La advertencia de Onamae es preventiva: su aviso no confirma que una campaña de phishing relacionada ya haya tenido como