日本互联网公司 GMO Internet 旗下的 Onamae 桌面云（Onamae Desktop Cloud）在 2026 年 10 月 21 日因遭遇未授权访问被紧急关停，黑客开出了约 80 亿日元（约 5000 万美元）的勒索价码，并在 10 月 27 日公开了疑似窃取的客户与业务数据。单看表面，这只是一家云厂商被黑客敲诈的常规安全事故；但真正让日本金融圈脊背发凉的，是这次入侵直接演变成了一场跨平台的驻留凭证收割：由于大量外汇与证券交易员习惯把券商账号长期挂在云桌面上，黑客攻破一家非持牌云厂商，就顺手牵羊般击穿了海内外超过 70 家券商的账户防线。
26,739 台服务器停摆与一张拒付 80 亿日元的赔偿账单
从 10 月 21 日发现异常并拉闸断网算起，GMO Internet 度过了极为煎熬的七天。黑客在关停当天发来勒索邮件索要约 80 亿日元，GMO Internet 在 10 月 22 日选择报警并公开披露，随后在 10 月 25 日至 26 日开始回收客户设备以排查恶意程序。面对天价赎金，GMO Internet 明确表态拒绝支付赎金，理由很现实，打钱既不能保证黑客删除被盗资料，也挡不住数据被二次滥用。到了东京时间 10 月 27 日 12 时 30 分，GMO Internet 确认攻击者已经在网上晒出了疑似关联该公司及客户的材料。
外界最初看到的“约 27,000 台服务器受影响”，在 GMO Internet 官方核查中的精确数字是 26,739 台。需要厘清的是，这个数字代表的是潜在波及的底层基础设施规模，并不等于已经确认被攻破或发生资金盗刷的客户账户数量。更反常的一点在于，截至东京时间 10 月 27 日 13 时 55 分，GMO Internet 依然表示尚未确认这是一起勒索软件（ransomware）攻击，对已回收客户设备的初步分析里，也暂未发现包括勒索软件在内的任何恶意加密程序。
黑客没有用恶意程序把硬盘锁死，却实现了“一鱼两吃”：一边拿着数据向 GMO Internet 勒索 80 亿日元，另一边直接利用服务器里存着的交易账户凭证下场盗刷。把 80 亿日元省下来的 GMO Internet，转身算了一笔罕见的对客止损账。公司在 10 月 24 日承诺补偿后，迅速敲定了三项真金白银的善后方案：向所有现有桌面云客户无条件发放 5,000 日元慰问金（10 月 30 日前邮件通知）；为还想继续用 Windows 桌面的客户提供在独立云基础设施上免费使用 6 个月的替代服务；最关键的一条，是由 GMO Internet 赔偿经确认为此次泄露导致的已实现未授权交易损失及手续费（不含常规市场亏损和预期利润损失，细则于 11 月 6 日前公布）。与其把 5000 万美元扔进黑客的无底洞，不如拿这笔预算替受害交易员平掉盗刷烂账，这是极其务实的危机公关与法律止损。
为什么一家云厂商失守，能绕过 70 多家券商的防线？
整场风波中最反常的画面，是客户报告的未授权交易已经蔓延至日本国内外超过 70 家证券和外汇（FX）公司。这些持牌金融机构自己的核心系统明明完好无损，为什么客户账户里的钱和仓位却被黑客动了？答案藏在量化与外汇交易员高度依赖的 Windows VPS（虚拟专用服务器）挂机习惯里。
做外汇和证券自动交易的玩家，普遍需要租用云桌面来 24 小时不间断运行自动交易程序（EA）。为了防备半夜断线重连和保证策略毫秒级自动执行，交易员几乎都会把券商账户的账号密码直接保存在云桌面环境里，甚至让交易终端常年保持已登录状态。这就把原本只卖算力的云桌面服务商，变成了一个装满金融明文凭证的超级保险箱。
只要交易会话还活着，再严密的多因素认证也只是一道摆设。
过去安全行业复盘金融黑客事件时，总喜欢把锅甩给缺乏多因素认证（MFA）等弱安全控制。但在云桌面挂机场景下，这个常识失灵了。一旦底层虚拟化平台或云环境被黑客突破，攻击者根本不需要去撞击 70 多家券商的大门，而是直接走进交易员已经打开的房间，接管处于已认证状态的活跃交易会话，或者直接把保存在桌面上的明文凭证拷走。
- 风险.对于眼下正把策略紧急搬往 Sakura Windows VPS 或 Winserver 等日本本土竞品的量化交易员来说，只换云厂商不改挂机习惯，依然是在裸奔；必须立刻重置所有曾保存在 Onamae 环境里的券商密码与 API 密钥，并配合券商切断来自旧云端 IP 的长连接会话。
刚曝光 AI 渗透工具 Artex 就遭重创，是报复还是灯下黑？
让这场安全危机更添一层戏剧性的，是一周前的另一桩新闻。就在 Onamae 桌面云停摆前约一周，GMO Internet 旗下的网络安全子公司 GMO Cybersecurity by Ierae 刚刚公开披露了一项调查：一款名为 Artex 的中国 AI 渗透测试工具，正被黑客用于攻击日本国内的金融与物流企业。
这款 Artex 工具在安全圈早已挂号。根据安全厂商 CrowdStrike 本月早些时候发布的独立调查报告，今年 9 月韩国多家金融机构遭到黑客入侵时，攻击者使用的正是 Artex，且嫌疑人可能驻扎在中国；当时的攻击大量利用了目标缺乏多因素认证等薄弱环节。被曝出卷入银行攻击事件后，Artex 的中国开发者已经停止了公开更新，并将这款 AI 安全工具转为闭源。
子公司刚在聚光灯下抓贼，母公司的核心云业务紧接着就被黑客端了老窝。两件事挨得如此之近，很容易让人联想到“黑客用 AI 工具精准报复安全厂商”的剧本。但无论是 GMO Internet 官方还是外部安全机构，目前都没有证实 Onamae 桌面云被黑与 Artex 存在直接关联。比起尚未证实的阴谋论，更扎眼的现实是大型 IT 集团内部的防御割裂：手握日本顶尖的白帽安全团队 Ierae，却没能看住母公司卖给金融交易员的底层云基础设施。
这也给监管层敲响了最刺耳的警钟。日本金融厅（FSA）不仅在 2025 年 4 月发过针对证券账户未授权交易的指导意见、在今年 5 月敦促金融机构防范漏洞上升并鼓励使用 AI 等安全工具，更在事发前夕的 2026 年 10 月 9 日专门向金融机构下发了网络安全通告，点名要求审查网络安全控制、第三方风险管理和事件响应。仅仅 12 天后，Onamae 桌面云的爆雷就用超过 70 家券商卷入盗刷的代价，印证了监管最担心的第三方盲区。
- 建议.券商与外汇经纪商不能再把客户租用的外部 VPS 当成免责区，接下来势必需要针对高频挂机 IP 段建立异常交易熔断机制，并对长周期免二次验证的自动化交易会话收紧风控审计。