GMO勒索案暴露日本IT垄断隐患七年前漏洞未补酿成大祸-硕谷新闻聚合

李冠儒

2026年10月，GMO网络安全危机爆发。其旗下专为外汇自动交易设计的云端服务“お名前.com デスクトップクラウド”（简称Onamae云）遭黑客组织植入恶意程序并实施勒索攻击，受影响服务器高达26,739台。随着勒索期限届满，攻击者如日剧剧情般陆续公开部分客户信息，并威胁非法操作超70家金融机构账户，再次凸显日本在网络安全领域的深层弊端。

致命漏洞早现七年却遭忽视

据多位外汇专家分析，此次事件在日本技术圈引发剧烈震动，核心原因在于GMO存在难以置信的安全缺陷，且管理层事后态度轻慢。Onamae云服务存在两大致命弱点：一是权限隔离失效与管理账号被盗。黑客声称获取了拥有高权限的客服管理账号，该账号竟能直接操控大量客户虚拟桌面。标准云端架构需严格沙盒隔离用户与租户，但GMO却让客服持有可开启所有用户大门的“万能钥匙”，且钥匙失窃；二是用户硬件面临连带污染风险。云端服务将用户本地电脑硬盘数据直传至GMO云服务器，一旦服务器被控，恶意程序可反向入侵，如同敞开门户任黑客读写个人文件，导致用户电脑可能已被全面污染的恐慌蔓延。

公众更难以接受的是，业内爆料指出该漏洞早在七年前即被技术人员发现，但GMO长期置之不理，事发后竟以业务繁忙为由推诿对策延误。继乐天AI被曝蒸馏DeepSeek后，Onamae漏洞进一步摧毁民众对日本政府监管能力及IT巨头信任。一位日本网络安全专家指出：“日本IT企业起步虽早，却未能与时俱进修补漏洞。如今AI全天候搜寻漏洞，面对此类‘肥羊’不趁机获利说不过去。此前PHP出问题波及大量日本企业，而中国企业使用PHP的比例则低得多。”

创始人微笑自拍激怒公众

社交媒体上，愤怒的日本网民呼吁GMO倒闭。然而，这种情绪化宣泄显得盲目。专家指出，在当前日本网络生态中，GMO处于核心地位，绝非仅仅提供FX服务的公司，而是掌控日本国内约八成域名管理市场，并作为日本国税手机支付、各大电商平台信用卡结算等金融支付基础设施的核心幕后供应商。换言之，若GMO全面瘫痪或倒闭，网站、电子邮件、电子商务、公共事业费线上支付等均将中断。可见，日本网安防护低劣的同时，其背后运作网络至关重要，民众自以为能承受损失，实则无法承受其倒闭代价。网友诅咒GMO倒闭，犹如知情者所言，相当于飞行员操作失误后要求整架飞机坠毁，无视依赖GMO的中小企业后续连锁倒闭风险。无奈的是，无论“飞机”是否坠毁，“乘客”——无辜日本民众都需为这些网络安全漏洞的后果买单。

在国家级别网络安全危机中，GMO创始人兼CEO熊谷正寿在个人社交平台发布自己在国际刑警组织前微笑自拍的动态，称GMO不仅与日本当局合作，还与国际司法机关咨询。此举毫不意外地引发日本网民口诛笔伐，认为这是对受害者心理的二次伤害，质疑其对危机严重程度的认知脱节。

GMO目前采取绝不向黑客屈服的强硬立场，拒绝支付赎金（据悉黑客最初要求约3.92亿港元，后改为约784万港元）。理由是GMO无法确认付款后是否不再影响用户。随后GMO提出包括每人约248港元慰问金，针对个人信息被黑客公开的客户追加发放“特别慰问金”——上限最高约14.9万港元，并全额补偿非法交易损失，同时免费提供六个月替代服务等补偿方案，承诺全面抛弃旧架构重塑系统。然而，这些经济补偿无法抚平客户对本地电脑中毒及个人资料永无止境流传暗网的焦虑。

本次事件影响力已超越商业层面，升级为日本国家安全与金融稳定议题。金融市场方面，日本金融厅已接获Goldenway Japan、OANDA证券、AvaTrade Japan、外为Finest、Dukascopy Japan等五家FX业者受害通报，被迫采取暂停交易与阻断海外下单等紧急措施。恰逢日本FX题材动画《FX战士久留美》热播，有日本青年反馈观看后具象化想象自己FX账户被黑客乱操作的恶劣后果。

成为新法实施后首例适用案件

在国家安全维度，国民民主党代表玉木雄一郎直言此类攻击具备准战时体制性质。GMO于10月24日向政府请求适用刚于2026年10月1日正式施行的《网络应对能力强化法》中的主动式网络防御条款，因此GMO案一跃成为该法实施后第一号适用案例。主动式网络防御授权国家层级安全机关在未经事先许可情况下，追踪、侵入并瘫痪攻击者网络基础设施。本案例将直接检验日本政府在面对金融级勒索攻击时，是否具备主动反击与跨国源头打击能力，还是如以往般令人失望。

进入AI时代，若企业仍敢对长达数年的安全警告视若无睹，终将付出巨大代价。日本政府在将网络安全事件提升至主动式网络防御的国家安全高度的同时，理应建立更严格的数字基础设施运营商网络安全审查与惩罚机制。本次Onamae云引发的危机及教训，包括允许安全薄弱的单一企业垄断重要域名、交易功能等，都值得包括香港社会在内的各方借鉴。