En octubre de 2026, el gigante tecnológico japonés GMO Internet Group sufrió un ciberataque de proporciones históricas contra su plataforma de servidores virtuales (VPS) “Onamae.com Desktop Cloud”. Tras constatar la implantación de malware diseñado para sustraer credenciales bancarias y de inversión, la compañía ejecutó el 21 de octubre una medida extrema: el apagado forzoso de 26.739 servidores virtuales activos. La situación se agravó el 27 de octubre con la aparición pública del sitio web de extorsión CORONAMNG.STORE, operado por los ciberdelincuentes para exhibir datos sustraídos. En este informe técnico analizamos la cronología del incidente, el vector de ataque y los peligros de interactuar con el portal atacante.
1. Cronología del ataque y dimensiones del daño
Onamae.com Desktop Cloud constituía la plataforma líder en Japón para inversores particulares que ejecutaban software de negociación algorítmica (MetaTrader 4 y 5) de manera ininterrumpida.
- 19-20 de octubre: Diversos clientes y los sistemas de supervisión detectaron conexiones salientes anómalas y ejecutables no autorizados en los servidores virtuales.
- 21 de octubre (04:00 JST): Ante la gravedad de la intrusión, GMO procedió al apagado preventivo integral de las 26.739 máquinas virtuales y clausuró el panel de control.
- 24-26 de octubre: Los análisis forenses confirmaron que los atacantes recopilaron contraseñas, volcados de memoria y archivos locales con claves de acceso a diversas firmas de corretaje de divisas (Forex).
- 27 de octubre: El grupo atacante activó el portal “CORONAMNG.STORE” con fines extorsivos, desatando una alerta roja entre autoridades de ciberseguridad.
2. Metodología del ataque e intrusión sistémica
Los indicios recabados señalan una vulneración del plano de gestión o hipervisores de la infraestructura en la nube, lo que permitió a los criminales desplegar scripts de forma masiva sobre miles de máquinas de clientes. El código malicioso rastreaba de forma selectiva credenciales de inicio de sesión de MetaTrader, contraseñas almacenadas en navegadores y archivos de texto guardados en los escritorios.
3. Anatomía del portal criminal “CORONAMNG.STORE”
El dominio CORONAMNG.STORE ha sido habilitado por los atacantes como escaparate para reclamar rescates económicos y publicar presuntas listas de datos robados.
Motivos para no visitar bajo ningún concepto este sitio web
- Infección mediante código malicioso (Drive-By Download): El sitio web puede incorporar exploits capaces de vulnerar navegadores desactualizados e infectar el ordenador del usuario.
- Monitorización de direcciones IP: Los atacantes registran la procedencia de cada visitante para coordinar futuros ataques dirigidos.
- Proliferación de estafas paralelas: Se han detectado réplicas fraudulentas que prometen comprobar si sus cuentas han sido expuestas a cambio de introducir datos sensibles.
4. Repercusiones para la seguridad de activos en la nube
Este incidente evidencia que ningún activo financiero en la nube está a salvo si se quiebra la seguridad perimetral del proveedor de infraestructura. La obligatoriedad de la autenticación en dos pasos (2FA) en plataformas financieras y la prohibición de almacenar claves en texto plano se consolidan como lecciones inaplazables para el sector.