Japão: OANDA confirma ordens fraudulentas após invasão de VPS

Na segunda-feira, 26 de outubro de 2026, a OANDA Japan (OANDA証券) confirmou acessos e ordens não autorizados em algumas contas de clientes, segundo FX News Group, Finance Magnates e TokenPost. Um terceiro usou combinações de login e senha que podem ter vazado em um prestador externo, o serviço de servidores privados virtuais (VPS) “Onamae.com Desktop Cloud”, da GMO Internet. A corretora restringiu as operações nas contas possivelmente afetadas. Não foram divulgados o número de contas ou de ordens envolvidas nem o valor das perdas.

Segundo a OANDA Japan, até o momento nada indica acesso não autorizado aos seus sistemas centrais nem vazamento de dados a partir deles; a corretora atribui o incidente a credenciais armazenadas em um VPS externo. No mesmo dia, pediu aos clientes que trocassem a senha da área “My Page” e das plataformas MT4 e MT5, ativassem a autenticação em dois fatores no MT4/MT5 e conferissem o histórico de transações. A empresa também recomenda o uso de uma passkey (chave de acesso) para entrar na My Page.

Credenciais do MetaTrader expostas em um provedor de hospedagem

O Onamae.com Desktop Cloud é usado para rodar o MetaTrader 4 e 5 e programas de trading automatizado (EAs) sem interrupção. As credenciais salvas nesses servidores dão acesso a contas abertas em outras corretoras.

Pela cronologia da GMO, a empresa abriu uma investigação em 19 de outubro após perguntas de usuários, encontrou um programa malicioso em 20 de outubro e anunciou a desativação gradual de todos os planos em um primeiro comunicado publicado em 21 de outubro às 4h, horário do Japão. A GMO informou que até 26.739 servidores podem ter sido afetados, número que não corresponde a invasões confirmadas nem a contas atingidas. No quarto comunicado, datado de 24 de outubro (horário do Japão), a empresa diz ter encontrado uma falha de segurança no sistema do serviço, confirmado o acesso não autorizado e constatado que informações de clientes saíram da empresa.

Na OANDA Japan, o discurso mudou em poucos dias. O primeiro aviso da corretora, de 22 de outubro de 2026, dizia apenas que as credenciais de clientes que usavam seu MT4/MT5 nesse serviço podiam ter sido acessadas por um terceiro; não mencionava ordens fraudulentas e indicava que os próximos passos estavam em discussão. No mesmo dia, a OANDA Japan anunciou uma mudança temporária no calendário de saques, motivada pelo reforço da segurança, enquanto a Finance Magnates relatava que a corretora estava retendo os saques.

GMO Internet promete reembolsar as perdas realizadas

A GMO vai reembolsar as perdas realizadas e as taxas ligadas às ordens que reconhecer como fraudulentas. Ficam excluídas as perdas causadas por movimentos de mercado, os ganhos não obtidos e os danos indiretos, e o cliente precisa apresentar provas do prejuízo. Além disso, a empresa pagará 5.000 ienes (cerca de 32 dólares) a cada cliente atual do serviço, tenha ele sofrido perda ou não. Também oferece um servidor substituto em uma infraestrutura separada, gratuito por seis meses.

A GMO pediu às principais bolsas e corretoras de valores que bloqueiem os acessos vindos do serviço e encerrem todas as sessões ativas. A empresa alerta que uma sessão já aberta pode continuar ativa depois da troca de senha, o que às vezes permite que um terceiro continue operando. Afirma ainda que não vai ceder às exigências da pessoa apresentada como o atacante.

No campo regulatório, a Agência de Serviços Financeiros do Japão (FSA) pediu na quinta-feira, 22 de outubro, que as empresas de FX incentivassem seus clientes a trocar as senhas e monitorassem ordens suspeitas, segundo o Nikkei e o jornal Asahi. A notificação foi enviada por meio da Financial Futures Association of Japan, entidade de autorregulação do setor.

Cinco corretoras afetadas, segundo a Finance Magnates

Pela contagem da Finance Magnates, cinco corretoras autorizadas no Japão já relataram ordens fraudulentas, entre elas OANDA Japan, AvaTrade Japan, Gaitame Finest e FXTF. Nem todos os veículos adotam esse total: o TokenPost cita apenas AvaTrade Japan e Gaitame Finest como confirmações anteriores à OANDA. Nenhuma dessas corretoras informou quantas contas foram atingidas.

• AvaTrade Japan confirmou em 23 de outubro ordens não autorizadas em contas de clientes que usavam o serviço da GMO.
• Gaitame Finest confirmou em 21 de outubro acessos e ordens fraudulentos em algumas contas e depois limitou o uso delas. O aviso da corretora fala em credenciais possivelmente vazadas de serviços de outras empresas, sem citar o Onamae.com, de modo que a ligação com o incidente da GMO não está formalmente estabelecida.
• FXTF (Goldenway Japan) anunciou em 22 de outubro que credenciais de alguns clientes haviam sido obtidas de forma fraudulenta por meio de um VPS externo e que acessos ou ordens não autorizados podiam ter ocorrido. Segundo aviso de 23 de outubro, passou a exigir senha de uso único (OTP) no login do MT4/MT5 e restringe acessos a partir do exterior.

Corretoras offshore, como Titan FX e Axiory, publicaram alertas sem relatar ordens fraudulentas confirmadas.

O que muda para os traders

Os mais expostos seriam os traders que rodavam MT4, MT5 ou EAs no Onamae.com Desktop Cloud com as credenciais da corretora salvas no servidor. Como essas credenciais valem para contas abertas em outras instituições, o risco não se limitaria às cinco corretoras citadas.

A troca de senha pedida pela OANDA Japan e pela FSA poderia não bastar: pelo alerta da GMO, um terceiro poderia manter o controle enquanto as sessões ativas não forem encerradas. Os clientes afetados teriam interesse em confirmar com a corretora que esse encerramento foi feito e em trocar separadamente a senha da área do cliente e a de cada conta de trading. O OTP exigido pela FXTF reforçaria a proteção, mas levanta uma questão prática para o trading automatizado: a forma como um EA sem supervisão se reconecta quando um código é exigido ainda precisaria ser esclarecida com cada corretora.

Obter o reembolso dependeria de comprovar o prejuízo. Exportar e guardar históricos de ordens e extratos da conta seria, portanto, útil, ainda mais porque apenas as perdas realizadas e as taxas ligadas a ordens reconhecidas como fraudulentas seriam cobertas. As restrições de contas e a mudança no calendário de saques na OANDA Japan mostram também que o acesso aos recursos poderia ficar mais lento durante as verificações.

Fora do Japão, o episódio evidencia um risco de concentração típico dos VPS de terceiros: um único provedor comprometido pode expor contas abertas em várias corretoras. Evitar deixar credenciais salvas nesses servidores e preferir o VPS da própria corretora ou um acesso somente leitura (senha de investidor), quando possível, reduziria essa exposição.