日本GMO遭駭疑有北韓駭客涉入！26,739台伺服器可能受影響、80億日圓勒索，FX交易帳密外洩與補償方式一次看

日本GMO到底發生什麼事？遭入侵的是雲端桌面，不只一般網站帳密

本次主要受攻擊服務為GMO Internet 提供的Onamae.com Desktop Cloud。 這是一項遠端Windows桌面服務， 使用者可在雲端環境安裝與執行程式， 並透過遠端連線操作。

部分客戶使用此服務執行外匯保證金交易 或證券交易工具， 包括MT4、MT5等平台。 因此，雲端環境中的交易認證資訊、 應用程式工作階段及使用者儲存的檔案， 都可能成為重要風險。

GMO在2026年10月24日正式公告， 已確認系統存在安全問題、 遭到未授權存取， 且有客戶資訊被帶至外部。 公司也收到部分客戶表示 交易帳戶曾出現非本人操作的通報。 但每筆交易是否由這次事件造成， 仍須逐案確認。

GMO集團所有服務都被駭了嗎？

不能這樣說。GMO集團涵蓋不同子公司、 基礎設施與金融相關業務； 官方此次公告重點是 Onamae.com Desktop Cloud。 不能把指定服務的事故， 擴大宣稱集團旗下全部網站、 金融平台及主機產品均遭入侵。

26,739個伺服器可能受影響，代表2.6萬人被盜嗎？

不代表。GMO10月22至23日公告指出， 可能受影響的伺服器環境共有26,739個， 涉及Onamae.com Desktop Cloud各方案。 官方特別說明這是「可能成為影響對象」 的伺服器數量， 不是已證實遭存取或資料被取出的數量。

哪些資訊可能遭取得？

官方表示可能涉及伺服器內保存的資料， 包括交易工具儲存的帳戶認證資訊。 不同客戶的雲端環境配置不同， 並非每台伺服器都存有同樣資料。 GMO也說明沒有把客戶支付用的信用卡資料 保存在此項雲端服務的伺服器中， 但客戶自行存放的資料仍需個別確認。

為何懷疑北韓駭客？5個IP重疊是重要線索，卻不是最終證明

11月1日，共同社報導， 根據知情人士與資安分析， GMO方面懷疑攻擊活動可能與 北韓相關駭客團體有關。 共同社也與資安專家分析 攻擊者宣稱犯案的網站， 發現網站公開後不久的連線來源中， 有5個IP與過往北韓相關駭客活動使用的位址重疊。

同時，相關惡意程式特徵與 不同國家的網路線索也受到檢視。 不過IP可能屬於代理節點、 VPN或已遭攻破的第三方設備。 連到犯案聲明網站的人， 也不一定就是實際入侵GMO系統的人。 目前沒有足以對外確認最終攻擊者身分的正式結論。

IP位址相同，為什麼不能證明駭客國籍？

攻擊者可能使用被入侵的第三方伺服器、 VPN、代理網路或其他轉送機制。 完整的技術歸因還需要惡意程式分析、 受控基礎設施、入侵流程、 活動模式及其他獨立證據。 單一IP重疊只能作為待查線索。

什麼是假旗行動？

假旗（False Flag）指攻擊者 可能刻意留下使調查者誤判來源的線索。 例如使用其他國家的網路節點， 或模仿既有攻擊工具。 但本案是否真的存在假旗操作， 仍是推測，不能寫成已查明事實。

GMO遭駭事件完整時間線：10月19日發現異常、27日資料遭公開

GMO官方接連公告， 從10月19日客戶反映異常開始調查， 到停止全方案伺服器、報警、 提供補償及阻止外洩資訊擴散， 事件持續至11月初。

1. 10/19
   接獲客戶詢問

   GMO開始調查遠端桌面服務的異常情況。

2. 10/20
   發現不正程式

   確認部分伺服器遭植入可疑程式，限制新申請與部分控制功能。

3. 10/21
   逐步停止所有方案

   GMO發布首份公告並收到約80億日圓勒索要求。

4. 10/22–24
   向警方求助、提出補償

   確認資料遭外部帶出，公告一般慰問金及不正交易補償制度。

5. 10/27
   攻擊者公開部分資訊

   GMO公開拒付立場及特別慰問金，並宣布徵集合法線索。

6. 10/28–30
   阻止擴散與直接通知

   公司公告犯案網站已被下架，通知客戶慰問金與替代服務。

7. 11/01
   共同社披露北韓相關線索

   5個IP與歷史攻擊活動重疊，尚非正式歸因。

8. 11/02
   社長記者會預定舉行

   熊谷正壽等高層預定於下午說明事故及後續處置；會後內容待核實。

10月27日資料公開，代表所有伺服器資料都曝光嗎？

不能如此推論。GMO確認有資訊遭公開， 但公開資料的範圍、 是否涉及每個客戶及實際敏感程度， 仍須逐案查核。

攻擊者要求80億日圓，GMO為什麼宣布不付贖金？

GMO官方事件時間線揭露， 10月21日接獲攻擊者勒索要求， 金額約80億日圓。 公司於10月27日公開表示 不會向攻擊者支付要求款項。

GMO說明，即使付款， 也無法保證遭取得的資料真的刪除， 或阻止日後不當使用。 支付勒索金也可能助長其他犯罪行動。 因此公司選擇向警方求助、 維護客戶權益並徵求合法線索。

GMO提供100萬美元懸賞，是另一筆贖金嗎？

不是。GMO另設「GMO Cybercrime Bounty」， 徵集有助辨識犯案者及釐清事件的 合法、可驗證資訊。 官方公布的懸賞總額上限是100萬美元； 約1.5億日圓為公告時的參考換算， 不是另一筆獨立獎金。 此計畫沒有要求民眾自行入侵系統、 接觸嫌疑人或採取報復行動。

GMO受影響客戶能拿多少補償？5,000日圓與最高300萬日圓不同

GMO在10月24及27日公布不同層次的 客戶補償與協助措施。 其中一般慰問金、 資料被公開的特別慰問金、 不正交易實現損失的補償， 是不同制度。

什麼是「已實現交易損失」？

GMO表示，若經查證某筆未經授權交易 與本案非法存取有關， 可依條件補償實際發生的交易差額 與相關手續費。 但正常市場價格變動、 原本可能得到的預期獲利 與其他間接損失， 不屬於同一補償範圍。

若交易平台先行退款， GMO也會依公告條件扣除已退款部分， 避免同一損失重複補償。 客戶應保存交易時間、 訂單及平台通知， 透過正式渠道申請。

需要自己聯絡攻擊者才能索賠嗎？

不需要，也不應接觸。 GMO已開始向相關客戶直接發送 慰問金與替代服務資訊， 遇到可疑通知時， 應自行開啟官方網站核對， 不要透過陌生訊息提供金融帳密。

2024年已有人警告漏洞？GMO資安治理為何成為調查焦點

FNN於11月1日報導， GMO集團旗下資安相關公司 早在2024年就曾提出系統弱點警訊。 熊谷正壽也曾就內部資安問題 改善延遲公開致歉。

這使外界關注： 當時的弱點由誰負責改善？ 是否有明確完成期限？ 修補結果是否經過驗證？ 以及先前報告與這次入侵 是否存在直接技術關聯？

兩年前就發現弱點，代表公司故意放任攻擊嗎？

不能直接判定。 媒體報導曾有弱點警訊， 不等於已掌握足夠證據 證明管理層明知本次攻擊必定發生、 卻故意不處理。 應區分治理責任、修復進度 與刑事責任等不同問題。

企業可以從這起事件檢視哪些管理缺口？

包括弱點修補是否追蹤到正式驗收、 高風險問題能否直接升級至管理階層、 子公司之間的資安責任有無明確分工， 以及金融認證資料是否具有更嚴格 的隔離、存取紀錄與異常監控。

GMO受影響用戶現在怎麼辦？先從安全裝置更改密碼並切斷登入

GMO10月22至23日公告， 使用者應在未受影響的裝置上 修改交易平台帳密， 並中斷既有登入工作階段。 只改密碼不代表舊工作階段 一定立即失效， 所以還需向交易商確認。

1. 01
   使用可信任裝置更改密碼

   不要透過疑似受入侵的原雲端桌面修改交易或郵件密碼。

2. 02
   中斷所有現有登入工作階段

   使用「登出所有裝置」功能，必要時要求交易商協助撤銷連線。

3. 03
   核對交易明細與持倉

   檢查異常委託、成交時間、餘額及未經授權操作。

4. 04
   啟用多因素驗證

   同時檢查交易平台、電子郵件及共用密碼的關聯服務。

5. 05
   安全保存必要證據

   保存交易紀錄、官方通知與登入異常資料；不要公開分享敏感日誌。

6. 06
   聯絡交易商與GMO官方

   通報可疑交易、確認補償申請及替代雲端服務安排。

為什麼不能直接在舊雲端桌面改密碼？

若原環境已受入侵， 攻擊者可能仍有能力觀察或取得 在該環境輸入的資訊。 使用獨立且可信任的手機或電腦 登入官方交易平台， 才是較穩妥的改密碼方式。

改密碼後還要檢查什麼？

應確認既有交易工作階段是否失效、 是否有未取消的委託單， 並查看最近登入位置、 授權裝置及相關認證通知。 若有未授權交易， 先通知交易商， 再保存資料申請調查與補償。

別搜尋或打開駭客公布的外洩資料網站！可能造成二次受害

GMO在10月27日公告指出， 攻擊者相關網站不只涉及 未經授權公開客戶資料， 也可能記錄造訪者的資訊。 GMO要求民眾不要前往、 分享連結或重新上傳資料， 以降低二次傷害。

只想知道自己的資料有沒有外洩，可以打開駭客網站嗎？

不建議。 訪問相關網站本身就可能增加 裝置及個資暴露風險， 也可能進一步散播受害者資訊。 應以GMO正式通知及可靠客服管道確認。

已經點入可疑網址怎麼處理？

應停止互動， 不下載可疑檔案、不提供帳密， 並使用可信任安全工具檢查裝置。 若曾輸入任何認證資訊， 立即從官方入口變更密碼， 撤銷登入工作階段， 檢查帳戶是否出現異常。

台灣企業為什麼也要關注？雲端桌面、ERP與金融認證資料存在共同風險

本次事件發生在日本， 但遠端桌面、代管主機、 ERP、CRM與雲端管理平台， 都是台灣企業常用的資訊基礎設施。 若同一遠端環境同時保存 多組高權限帳密與長期登入工作階段， 單一系統被入侵 便可能產生連鎖風險。

對台灣中小企業來說， 這起事件值得檢視的不只是防毒軟體， 還有認證資訊保護、 帳號權限、漏洞修補、 異常交易監控與復原能力。

台灣使用GMO其他服務的客戶都受到影響嗎？

沒有證據支持。 應先確認使用的是否為 Onamae.com Desktop Cloud， 再依GMO相關服務公告查核。 不同子公司、網域註冊、 主機及金融服務不能混成單一受害範圍。

11月2日GMO社長記者會：哪5個問題最需要官方回答？

日本媒體預告， GMO集團社長熊谷正壽等高層 將於11月2日下午召開記者會， 說明事件經過、 客戶協助及後續資安改善。 TBS預告日本時間15時30分起直播， 即台灣時間14時30分。

本篇採記者會前資料撰寫， 以下列出的是尚待確認的問題， 並非會後已公布的結論。

1. 此次入侵利用了哪項弱點？是否與2024年內部警訊直接相關？
2. 26,739個可能受影響伺服器中，實際遭存取與資料遭帶走的數量為何？
3. 遭未授權交易的客戶數、損失金額及補償進度是否可量化？
4. 北韓相關技術線索是否得到進一步獨立確認？
5. 替代雲端服務是否完成必要安全驗證，何時可以恢復客戶營運？

GMO雲端桌面用戶：6項緊急安全檢查清單