日本 GMO 确认黑客公开其云桌面服务窃取的数据，波及约 2.7 万台服务器、勒索约 5000 万美元
日本 GMO 10 月 27 日确认疑似攻击者公开据称含公司及客户信息的数据；此前拒付 80 亿日元、100 万美元两轮勒索，全部 26,739 台服务器停机。
日本 GMO Internet 旗下的域名与云服务商 onamae.com（お名前.com）在 10 月 27 日 12:30 确认，有疑似攻击者公开了据称含公司及客户信息的数据，事件核心是它的桌面云产品「お名前.com デスクトップクラウド」——全部 26,739 台服务器自 10 月 21 日凌晨起就已停机。据 GMO 当天发布的第 10 份事件报告，公开内容的真伪还在核实，报告原文承认其中「可能含有与事实不符的内容」，威胁中的勒索软件截至当天 13:44 也没有出现。
要点
- 官方时间线：10 月 20 日确认部分客户服务器环境被第三方植入恶意程序，10 月 21 日 04:00 起全部套餐服务器分批停机，10 月 27 日 12:30 确认数据被公开。
- 勒索变化：初始要求约 80 亿日元（约 5,000 万美元，期限 10 月 21 日 17:00），后降至 100 万美元（约 1.6 亿日元，期限 10 月 27 日正午），GMO 两轮都拒付。
- GMO 在第 10 份报告里警告：访问过泄露站点的人，其信息会被攻击者获取；公司正准备对恶意扩散者提出民事开示请求与刑事告诉。
事件经过
这次入侵的公开时间线以 GMO 与 Onamae 的官方公告为准。Onamae 10 月 21 日的公告写明，10 月 20 日「确认部分客户的服务器环境中，被第三方设置了恶意程序」，当天 04:00 起对该服务全部套餐实施停机，波及 26,739 台服务器，恢复时间未定。公告要求用户尽快更换服务器内的 ID 与密码、在别处复用同一密码的一并更换，并警惕假冒官方索要密码的钓鱼邮件；当时的口径是「尚未确认客户个人信息泄露、或被浏览信息遭滥用的事实」，公司也不保存包括信用卡信息在内的支付信息。
TechCrunch 的报道把发现入侵与关停都写在 10 月 21 日，与官方「20 日确认、21 日关停」的口径相差一天；本文以官方公告为准。
从停机到数据公开之间的进展，日本媒体的报道补上了官方公告之外的几块：10 月 22 日，金融厅经日本金融先物取引业协会向 FX（外汇保证金）业者发出通知，要求强化客户账户监控，及时检出异常 IP 连接与不自然的交易模式，金融担当相片山氏表示已有国内 5 家公司报告客户受损。金融交易者是这批被停服务器的主要用户群之一，停机前后出现了用户报告账户余额被不正当交易在短时间内耗掉的个案。10 月 24 日，GMO 宣布向用户提供一律 5,000 日元的慰问金，并对不正当交易造成的损失给出补偿方针。
| 日期（2026 年） | 事件 | 出处 |
|---|---|---|
| 10-20 | 确认部分客户服务器环境被植入恶意程序 | Onamae 官方 |
| 10-21 04:00 起 | 全部套餐服务器停机，涉 26,739 台 | Onamae 官方 |
| 10-21 | 收到约 80 亿日元勒索，期限当日 17:00 | ITmedia |
| 10-22 | 金融厅经协会要求 FX 业者强化监控 | 日本媒体报道 |
| 10-24 | 宣布 5,000 日元慰问金与损失补偿方针 | ITmedia |
| 10-26 | 代表熊谷正寿在博客公开勒索要求 | ITmedia |
| 10-27 正午 | 攻击者设定的最后期限 | ITmedia |
| 10-27 12:30 | GMO 确认疑似攻击者公开数据 | 第 10 份报告 |
| 10-27 13:44 | 未见勒索软件攻击 | 第 10 份报告 |
勒索与拒付
勒索金额的两次变化是这起事件贯穿始终的一条线。据 ITmedia 整理的时间线，攻击者 10 月 21 日发来威胁邮件，索要 5,000 万美元（约 80 亿日元），期限是当天 17:00，GMO 拒付；金额随后降到 100 万美元（约 1.6 亿日元），期限改到 10 月 27 日正午，并预告过期就公开客户信息、发动勒索软件攻击。10 月 26 日，GMO 代表熊谷正寿在博客里公开了这段经过。
期限过去半小时后，GMO 在第 10 份报告里确认「攻击者とみられる者が、当社およびお客様に関する情報と称するものを公開したことを確認」——疑似攻击者公开了自称是公司与客户信息的内容。报告同时写明其中可能含有与事实不符的内容，GMO 重申「当社は、攻撃者からの要求には応じません」（本公司不会回应攻击者的要求）。如果核实后确认泄露内容里有客户个人信息，公司会单独联系当事人，并考虑在 5,000 日元慰问金之外追加补偿。
对普通读者最直接的一条警告藏在报告的提醒里：不要访问、也不要转发公开的数据，因为「访问过该站点的人的信息，已被攻击者获取」。
各方反应
国际安全媒体把焦点放在攻击工具上。TechCrunch 引 CrowdStrike 的说法：一款名为 Artex 的 AI 渗透测试工具 9 月曾被用于攻击韩国金融机构；引 Reuters：其中国开发者在银行攻击被曝光后将其转为闭源、停止公开更新；引 Channel NewsAsia：GMO 自己的网络安全部门发现 Artex 与日本多地的攻击有关。证据链到这里是断开的：GMO 至今没有公开把 Artex 与这次入侵关联起来，「工具被用于日本的攻击」和「GMO 被入侵」目前还是两件事。
我们 10 月 22 日写过 微软把 ConnectWise 供应链入侵归因 Storm-0940：同一款 ARTEX 框架被用于密码喷洒与 OAuth 滥用，同月还有 PingCAP 确认内部系统遭未授权访问、日本子公司披露最多约 5 万件个人信息泄露。三起事件指向同一类处境：数据放在别人的基础设施上，处置的节奏和安全边界都不在自己手里。
编辑判断
这起桌面云安全事件有两个还没落定的事实：公开数据的真伪，以及勒索软件是否还会来。GMO 自己承认泄露内容「可能含有与事实不符的部分」，在可靠核实出现之前，对网上流传的「泄露数据」保持距离是理性的——那条访问警告值得再读一遍：看过的人自己也会被记下。
对把关键业务放在托管桌面云上的人来说，事件里有三条可操作的东西：供应商侧出事时服务会整体停摆，26,739 台服务器一起下线就是先例，交易类业务要事先想好停机敞口；凭据要换、不要跨服务复用，这是 Onamae 公告里明确要求的动作；GMO 逐日编号发报告、公开拒绝勒索并提示访问风险的做法，在同类事件里不算常见，值得当作处置案例留档。
入侵路径、攻击者身份、泄露内容里到底有什么，目前都还没有答案。金融厅向 FX 业界发通知，说明监管层把它当作金融基础设施事件对待；后续若有更多公司披露受损，实际规模可能大于现在公开的部分。