2026 年 10 月 20 日，日本 GMO 互联网集团旗下的 Onamae.com Desktop Cloud 确认遭到第三方未授权访问，部分客户服务器环境中被植入恶意程序，受影响主机数量最多达 26,739 台。该服务自 10 月 21 日凌晨 4 时（日本时间）起按批次停机，覆盖全部套餐，且未给出恢复时间表。
事件概述
Onamae Desktop Cloud 是一项常驻在线的 Windows 虚拟桌面与 VPS 服务，用户可通过 PC、Mac、手机或平板远程接入一台持续运行的 Windows 主机。官方宣传中，该服务常用于外汇自动交易等 7×24 场景，例如长时间挂 MetaTrader 4。
官方事故通报称：10 月 20 日确认存在未授权访问，并在部分客户服务器环境中发现恶意程序；为防止损害扩大，自 10 月 21 日凌晨 4 时起对客户服务器分批停止运行。需要注意，26,739 是「可能受影响的上限」，并非已确认被感染的主机数。
技术细节
截至目前，官方披露的信息相当有限，以下关键项均未公开：
- 入侵入口与被利用的安全缺陷
- 恶意程序家族名称、样本哈希、落地路径
- 攻击者使用的 IP 与域名
- 是否存在数据外传
从「客户服务器环境被批量植入」这一表述看，攻击面更可能落在服务商的集中管理面，而不是逐台攻破租户主机。管理面一旦失守，攻击者可以在租户边界之外下发动作，而租户操作系统里的常规防火墙对来自管理层的指令基本无效。
影响评估
官方声明有两处收敛表述值得注意：其一，未确认客户个人信息已泄露，也未确认被查看的信息已被滥用；其二，支付信息（含信用卡）存放在隔离的其他基础设施上，服务本身不持有卡号。
但「可能被查看」与「未被滥用」并不等价。对租户而言，真正的风险在于服务器上存放的凭据：交易账户密码、API Key、数据库口令、SSH 私钥、远程桌面账号。官方明确要求客户尽快更换存放在服务器上的认证信息，以及与其他服务复用的同一密码——这个动作本身就说明凭据应按已泄露处理。
另一重风险是钓鱼。官方提示攻击者可能借本次事件冒充客服索取密码或卡号，并声明不会通过邮件或电话索要此类信息。
修复建议
- 凭据全量轮换：服务器上出现过的口令、API Key、私钥、会话令牌一律视为已泄露，先改交易与云平台账号，再改复用密码。
- 不要等恢复即开机：服务恢复后应从干净镜像重建实例，不要直接沿用旧系统盘。
- 补齐出向管控：对租户主机限制出站连接，封掉非必要目的地的 80/443，可显著削弱恶意程序回连与二次投递。
- 管理面与业务面分离：需要长期在线的关键负载，避免与交易终端、办公桌面混布在同一主机。
- 独立监控：主机侧部署独立于服务商的 EDR，把遥测外送到自建或第三方 SOC，避免管理面失守时监控一并失效。