GMO se desploma un 15,65% en Bolsa tras un ciberataque con fraudes

El conglomerado tecnológico japonés GMO Internet Group se ha desplomado un 15,65% en la Bolsa de Tokio este lunes 26 de octubre de 2026, después de sufrir un grave ciberataque que ha comprometido información de sus clientes y permitido realizar operaciones financieras fraudulentas. La intrusión ha puesto en riesgo las credenciales de acceso a cuentas de inversión, ha afectado potencialmente a 26.739 servidores y ha desencadenado una crisis de seguridad con importantes consecuencias económicas para la compañía.

La empresa ha anunciado que compensará las pérdidas ocasionadas por las operaciones no autorizadas y abonará 5.000 yenes, unos 28 euros, a todos los clientes del servicio comprometido, independientemente de que hayan sufrido perjuicios económicos. Mientras tanto, los ciberdelincuentes exigen un rescate de 50 millones de dólares, cerca de 43 millones de euros, que GMO se niega a pagar. Su presidente, Masatoshi Kumagai, ha lanzado una advertencia inquietante sobre el deterioro de la ciberseguridad: «Internet está al borde del colapso».

La crisis afecta a uno de los grandes grupos tecnológicos japoneses, con actividades que abarcan desde la infraestructura de internet y los servicios financieros hasta la ciberseguridad y los criptoactivos. GMO cuenta con más de 150 empresas y proporciona servicios esenciales para numerosas actividades digitales. Precisamente por eso, el incidente ha provocado una reacción tan contundente de los inversores: no se trata únicamente de una filtración de datos, sino de un ataque con consecuencias directas sobre el dinero de los usuarios.

La filial GMO Internet, responsable del servicio comprometido, también ha sufrido un importante castigo bursátil, con una caída del 14,87%. El contraste resulta significativo porque el índice Nikkei 225 ha retrocedido un 0,8% durante la misma sesión. La dimensión del desplome refleja la preocupación por el coste de las indemnizaciones, las posibles responsabilidades de la empresa y el daño a su reputación.

Cómo fue el ciberataque que comprometió las cuentas de inversión

El ataque afectó a Onamae.com Desktop Cloud, un servicio de servidores virtuales que permite a los usuarios ejecutar aplicaciones y operar a distancia. Entre sus clientes hay inversores que utilizan programas especializados para negociar divisas y otros productos financieros, incluidos sistemas de compraventa automatizada.

Este tipo de plataformas, conocidas como VPS (servidores privados virtuales), permiten mantener abiertas aplicaciones como MetaTrader 4 y MetaTrader 5 sin necesidad de que el ordenador personal del inversor permanezca encendido. Son herramientas habituales entre quienes realizan operaciones frecuentes en los mercados de divisas.

El problema surgió cuando los atacantes consiguieron acceder sin autorización a los entornos informáticos de la plataforma. GMO ha confirmado la existencia de vulnerabilidades de seguridad, la extracción de información de clientes y la instalación de programas maliciosos en determinados servidores.

Entre los datos comprometidos figuran potencialmente las credenciales utilizadas para acceder a las plataformas de inversión. Con esa información, los delincuentes pudieron ejecutar órdenes de compraventa sin el consentimiento de los titulares de las cuentas.

La dimensión del incidente es considerable: 26.739 servidores podrían haberse visto afectados, según las estimaciones de la propia compañía. La cifra representa el alcance potencial del ataque, no el número de equipos en los que se haya confirmado una intrusión individual.

El servicio también mantiene conexiones con cuentas abiertas en más de 70 entidades financieras y proveedores de negociación de divisas, tanto japoneses como internacionales. Esto no significa que los sistemas internos de todas esas entidades hayan sido vulnerados, sino que las credenciales almacenadas en la plataforma comprometida podían facilitar operaciones sobre cuentas gestionadas por ellas.

Los fallos de seguridad ya habían sido detectados

Uno de los aspectos más delicados del caso es la cronología de los acontecimientos. La empresa empezó a investigar el incidente el 19 de octubre, después de recibir consultas de clientes que apuntaban a posibles irregularidades.

El día 20 confirmó la presencia de un programa malicioso en algunos de los servidores y suspendió las nuevas contrataciones y el acceso al panel de administración del servicio.

El 21 de octubre comenzó a desconectar progresivamente los servidores de todos los planes para impedir que continuaran las intrusiones. Desde esa misma fecha empezó a recibir comunicaciones de clientes que habían detectado movimientos desconocidos en sus cuentas de inversión.

La compañía acudió a la policía japonesa el 22 de octubre y, dos días después, anunció las primeras medidas económicas destinadas a compensar a los afectados.

Pero la controversia no termina ahí. En una comunicación publicada el domingo 25 de octubre, Kumagai reconoció que especialistas de la propia empresa habían advertido anteriormente de problemas de seguridad y que las actuaciones para corregirlos habían resultado insuficientes.

La admisión introduce una cuestión especialmente incómoda para GMO. Una cosa es sufrir un ataque informático complejo y otra, bastante distinta, descubrir que existían advertencias internas sobre vulnerabilidades que no recibieron una respuesta adecuada.

La investigación deberá aclarar qué fallos facilitaron el acceso, cuánto tiempo estuvieron expuestos los sistemas y hasta dónde llegó la extracción de información.

GMO pagará 5.000 yenes y compensará las operaciones fraudulentas

La respuesta económica de la empresa distingue entre dos conceptos que conviene no confundir: una compensación general por las molestias sufridas y el reembolso de las pérdidas financieras ocasionadas directamente por los delincuentes.

Todos los clientes que utilizaban Onamae.com Desktop Cloud recibirán un pago de 5.000 yenes, aproximadamente 28 euros, aunque no se haya detectado ninguna operación fraudulenta en sus cuentas.

Esta cantidad no sustituye a las indemnizaciones por pérdidas patrimoniales. GMO se ha comprometido a devolver el dinero correspondiente a las operaciones no autorizadas que consiga verificar durante su investigación.

La cobertura incluye pérdidas realizadas, comisiones y otros costes directamente relacionados con esas operaciones. Sin embargo, no contempla los beneficios hipotéticos que un inversor podría haber obtenido ni las pérdidas derivadas exclusivamente de las fluctuaciones normales del mercado.

Si el intermediario financiero devuelve una parte del dinero, GMO asumirá la cantidad pendiente que corresponda según las condiciones anunciadas. La compañía también ha prometido facilitar servicios alternativos gratuitos durante seis meses.

Qué deben hacer los clientes afectados para recuperar su dinero

Los usuarios que hayan detectado movimientos desconocidos deben conservar el historial de operaciones, identificar las órdenes que no reconocen y comunicar la incidencia a su intermediario financiero.

GMO verificará las reclamaciones mediante registros de transacciones, información de acceso y otros datos técnicos. La empresa podrá solicitar documentación adicional para determinar si las pérdidas tienen relación directa con la intrusión.

El calendario anunciado establece dos fechas importantes. Antes de que termine el 30 de octubre, la empresa comunicará a los clientes los procedimientos relativos al pago general de 5.000 yenes. Para el 6 de noviembre tiene previsto publicar las instrucciones sobre las reclamaciones por operaciones fraudulentas, la documentación necesaria y los plazos de compensación.

La compañía también ha recomendado cambiar inmediatamente las contraseñas de las plataformas financieras, cerrar las sesiones activas, revisar los saldos y activar la autenticación en dos pasos siempre que esté disponible.

Estas modificaciones deben realizarse desde un dispositivo distinto de los servidores comprometidos. También resulta aconsejable efectuar un análisis completo de seguridad del ordenador personal y conservar copias de respaldo de los archivos importantes.

Hay otra precaución especialmente relevante: desconfiar de mensajes que prometan recuperar el dinero a cambio de un pago o que soliciten códigos de autenticación. Los intentos de estafa posteriores a una filtración pueden convertirse en una segunda vía de perjuicio para las víctimas.

Un rescate de 50 millones de dólares y amenazas de nuevos ataques

La crisis ha adquirido una dimensión adicional después de que los atacantes exigieran 50 millones de dólares en criptomonedas a cambio de no ejecutar nuevas acciones contra GMO y sus clientes.

La amenaza incluye divulgar información confidencial, publicar detalles de los sistemas internos del grupo, continuar manipulando cuentas de inversión y desplegar ataques de ransomware, un tipo de software malicioso utilizado para bloquear sistemas o cifrar archivos y exigir dinero.

En una actualización publicada el 26 de octubre, GMO ha informado de que los presuntos responsables amenazan con publicar información de clientes y ejecutar ataques de ransomware el martes 27 de octubre a las 12.00, hora japonesa, las 4.00 de la madrugada en la España peninsular.

Por el momento, se trata de una amenaza comunicada por los atacantes, no de la confirmación de que esas acciones se hayan producido.

La empresa está examinando dispositivos facilitados por algunos clientes para determinar si contienen programas maliciosos y comprobar el alcance real de las posibles infecciones.

GMO mantiene su negativa a pagar el rescate. Su argumento es que entregar el dinero no garantiza que los delincuentes eliminen los datos obtenidos ni que renuncien a utilizarlos posteriormente.

La compañía ha trasladado las amenazas y los registros de comunicaciones a las autoridades japonesas, que investigan el caso.

«Internet está al borde del colapso»: la advertencia del presidente de GMO

Las palabras de Masatoshi Kumagai han añadido una dimensión mucho más amplia a un incidente que inicialmente parecía limitado a una plataforma financiera.

El empresario considera que la inteligencia artificial está transformando la capacidad de actuación de los ciberdelincuentes. En su opinión, herramientas que antes exigían importantes conocimientos técnicos pueden utilizarse cada vez con mayor facilidad para buscar vulnerabilidades, automatizar ataques y comprometer servicios digitales.

Kumagai sostiene que la evolución de estas tecnologías está reduciendo los costes de las operaciones delictivas mientras aumenta la dificultad de defender sistemas conectados a internet.

Su advertencia sobre el supuesto colapso de la red debe entenderse en ese contexto. No existen indicios de que internet esté sufriendo un colapso general, ni de que un ataque contra GMO comprometa por sí solo el funcionamiento mundial de la red.

El riesgo que describe es diferente: una acumulación de incidentes de ciberseguridad capaces de afectar a empresas, instituciones públicas, servicios financieros y otras infraestructuras de las que depende la actividad cotidiana.

La inteligencia artificial puede facilitar determinadas técnicas de ataque, pero también permite mejorar la detección de amenazas y automatizar tareas defensivas. Tampoco hay pruebas concluyentes, a partir de la información publicada sobre GMO, de que la intrusión concreta haya sido ejecutada mediante herramientas de inteligencia artificial.

De hecho, la existencia de vulnerabilidades previamente advertidas obliga a examinar el componente más convencional de la crisis: la gestión de los riesgos, el mantenimiento de los sistemas y las decisiones de seguridad adoptadas por la empresa.

Atribuir todos los problemas a la sofisticación de los atacantes sería una explicación bastante cómoda, aunque incompleta.

La compañía ha solicitado al Gobierno japonés una intervención más activa en materia de ciberdefensa. Entre sus argumentos figura que las empresas privadas no pueden afrontar por separado todas las amenazas procedentes de organizaciones criminales altamente especializadas.

El Ejecutivo de la primera ministra Sanae Takaichi también prepara nuevas medidas para reforzar la protección digital, entre ellas sistemas de detección y simulación de ataques apoyados en inteligencia artificial.

La preocupación no surge únicamente del incidente de GMO. Japón está experimentando una sucesión de ciberataques contra empresas y servicios públicos. Uno de los casos recientes afectó a Arcadia, una compañía vinculada a sistemas de alertas de emergencia, cuya intrusión expuso millones de direcciones de correo electrónico.

La factura económica y la confianza digital, los grandes problemas de GMO

La caída bursátil del 15,65% refleja una incertidumbre que va bastante más allá del impacto inmediato del ataque.

GMO todavía debe determinar cuántas cuentas sufrieron operaciones fraudulentas, cuánto dinero tendrá que devolver y qué inversiones necesitará para reparar las vulnerabilidades que facilitaron la intrusión.

A esas obligaciones se añaden los costes de la investigación forense, la revisión de los servidores, la asistencia a los clientes y la recuperación de los servicios interrumpidos.

La compañía tampoco ha establecido una fecha definitiva para restablecer completamente el funcionamiento de Onamae.com Desktop Cloud. La prioridad declarada es comprobar que las condiciones de seguridad permiten recuperar la actividad sin exponer nuevamente a los usuarios.

Los inversores también deben valorar las consecuencias comerciales. Para una empresa que vende infraestructura tecnológica y soluciones de seguridad, la confianza de los clientes es un activo esencial. Recuperarla puede resultar más complicado que reparar los sistemas comprometidos.

El caso GMO muestra cómo una intrusión informática puede convertirse rápidamente en un problema financiero, empresarial y regulatorio. Los atacantes no solo intentaron obtener información: consiguieron que algunas de las credenciales expuestas se utilizaran para operar sobre dinero real.

La respuesta de la compañía, con indemnizaciones y una negativa expresa a pagar el rescate, constituye un primer intento de contener los daños. Queda por comprobar el resultado de la investigación y la magnitud de las pérdidas que deberá asumir.

La caída en Bolsa es, de momento, la consecuencia más visible. Las responsabilidades por los fallos de seguridad y la recuperación de los fondos afectados determinarán hasta qué punto esta crisis tendrá efectos duraderos sobre GMO Internet Group y sus clientes.