Japón: OANDA confirma órdenes fraudulentas tras el hackeo de un VPS

El lunes 26 de octubre de 2026, OANDA Japan (OANDA証券) confirmó accesos y órdenes no autorizados en algunas cuentas de clientes, según FX News Group, Finance Magnates y TokenPost. Un tercero utilizó combinaciones de usuario y contraseña que pudieron filtrarse en un proveedor externo, el servicio de servidores privados virtuales (VPS) «Onamae.com Desktop Cloud» de GMO Internet. El bróker restringió las operaciones en las cuentas que podrían estar afectadas. No ha comunicado ni el número de cuentas u órdenes afectadas ni el importe de las pérdidas.

Según OANDA Japan, por ahora nada indica un acceso no autorizado a sus sistemas centrales ni una fuga de datos desde ellos; el bróker atribuye el incidente a credenciales almacenadas en un VPS externo. Ese mismo día pidió a sus clientes que cambiaran la contraseña de su área «My Page» y de sus plataformas MT4 y MT5, que activaran la autenticación de doble factor en MT4/MT5 y que revisaran su historial de operaciones. También recomienda una passkey (clave de acceso) para entrar en My Page.

Credenciales de MetaTrader expuestas en un proveedor de alojamiento

Onamae.com Desktop Cloud se utiliza para ejecutar de forma continua MetaTrader 4 y 5 y programas de trading automático (EA). Las credenciales guardadas en estos servidores dan acceso a cuentas abiertas en otros brókeres.

Según la cronología de GMO, la empresa abrió una investigación el 19 de octubre tras consultas de usuarios, detectó un programa malicioso el 20 de octubre y anunció la parada progresiva de todos sus planes en un primer comunicado publicado el 21 de octubre a las 4:00, hora de Japón. GMO indicó que hasta 26.739 servidores podrían estar afectados, una cifra que no corresponde ni a intrusiones confirmadas ni a cuentas afectadas. En su cuarto comunicado, fechado el 24 de octubre (hora de Japón), la compañía afirma haber encontrado un fallo de seguridad en el sistema del servicio, confirmado el acceso no autorizado y constatado que información de clientes había salido de la empresa.

En OANDA Japan, el mensaje cambió en pocos días. Su primer aviso, del 22 de octubre de 2026, solo indicaba que las credenciales de los clientes que usaban sus MT4/MT5 en ese servicio podían haber sido consultadas por un tercero; no mencionaba órdenes fraudulentas y señalaba que los siguientes pasos estaban en estudio. Ese mismo día, OANDA Japan anunció un cambio temporal del calendario de retiradas por un refuerzo de la seguridad, mientras Finance Magnates informaba de que el bróker estaba reteniendo las retiradas.

GMO Internet se compromete a reembolsar las pérdidas realizadas

GMO reembolsará las pérdidas realizadas y las comisiones vinculadas a las órdenes que reconozca como fraudulentas. Quedan excluidas las pérdidas por movimientos del mercado, las ganancias no obtenidas y los daños indirectos, y el cliente debe aportar pruebas del perjuicio. A ello se suma un pago de 5.000 yenes (unos 32 dólares) a cada cliente actual del servicio, haya sufrido o no una pérdida. La empresa ofrece además un servidor de sustitución en una infraestructura separada, gratuito durante seis meses.

GMO ha pedido a las principales bolsas y sociedades de valores que bloqueen los accesos procedentes del servicio y que cierren todas las sesiones activas. Advierte de que una sesión ya abierta puede seguir activa tras un cambio de contraseña, lo que en algunos casos permite a un tercero seguir operando. La compañía asegura además que no cederá a las exigencias de la persona presentada como el atacante.

En el plano regulatorio, la Agencia de Servicios Financieros de Japón (FSA) pidió el jueves 22 de octubre a las sociedades de FX que instaran a sus clientes a cambiar sus contraseñas y que vigilaran las órdenes sospechosas, según Nikkei y el diario Asahi. La notificación se envió a través de la Financial Futures Association of Japan, el organismo de autorregulación del sector.

Cinco brókeres afectados según Finance Magnates

Según el recuento de Finance Magnates, cinco brókeres autorizados en Japón han comunicado ya órdenes fraudulentas, entre ellos OANDA Japan, AvaTrade Japan, Gaitame Finest y FXTF. No todos los medios recogen ese total: TokenPost solo cita a AvaTrade Japan y Gaitame Finest como confirmaciones anteriores a OANDA. Ninguno de estos brókeres ha cuantificado las cuentas afectadas.

• AvaTrade Japan confirmó el 23 de octubre órdenes no autorizadas en cuentas de clientes que utilizaban el servicio de GMO.
• Gaitame Finest confirmó el 21 de octubre accesos y órdenes fraudulentos en algunas cuentas y después limitó su uso. Su aviso habla de credenciales posiblemente filtradas desde servicios de otras empresas, sin citar Onamae.com, por lo que el vínculo con el incidente de GMO no está formalmente establecido.
• FXTF (Goldenway Japan) anunció el 22 de octubre que las credenciales de algunos clientes se habían obtenido de forma fraudulenta a través de un VPS externo y que podían haberse producido accesos u órdenes no autorizados. Según un aviso del 23 de octubre, exige ahora una contraseña de un solo uso (OTP) para conectarse a MT4/MT5 y restringe los accesos desde el extranjero.

Brókeres offshore como Titan FX y Axiory han publicado advertencias sin informar de órdenes fraudulentas confirmadas.

Qué cambia para los traders

Los más expuestos serían los traders que ejecutaban MT4, MT5 o EA en Onamae.com Desktop Cloud con sus credenciales de bróker guardadas en el servidor. Como esas credenciales sirven para cuentas abiertas en otras entidades, el riesgo no se limitaría a los cinco brókeres citados.

El cambio de contraseña solicitado por OANDA Japan y por la FSA podría no bastar: según la advertencia de GMO, un tercero podría mantener el control mientras no se cierren las sesiones activas. A los clientes afectados les convendría comprobar con su bróker que ese cierre se ha realizado y cambiar por separado la contraseña del área de cliente y la de cada cuenta de trading. La OTP que exige FXTF reforzaría la protección, pero plantea una cuestión práctica para el trading automatizado: cómo se reconecta un EA sin supervisión cuando se pide un código quedaría por aclarar con cada bróker.

Obtener un reembolso dependería de demostrar el perjuicio. Exportar y conservar los historiales de órdenes y los extractos de cuenta resultaría útil, más aún cuando solo se cubrirían las pérdidas realizadas y las comisiones ligadas a órdenes reconocidas como fraudulentas. Las restricciones de cuentas y el cambio del calendario de retiradas en OANDA Japan muestran además que el acceso a los fondos podría ralentizarse durante las comprobaciones.

Más allá de Japón, el episodio pone de relieve un riesgo de concentración propio de los VPS de terceros: un solo proveedor comprometido puede exponer cuentas abiertas en varios brókeres. Evitar dejar credenciales guardadas en estos servidores y optar por el VPS del propio bróker o por un acceso de solo lectura (contraseña de inversor) cuando sea posible reduciría esa exposición.