10 月 27 日中午，日本时间 12 点整。攻击者在自己搭的日文网站上挂出了第一例个人信息：一个名字，一个电话号码。附言很短——之后每天中午，公开一批。
同一天，GMO 互联网集团对外确认：已经拒绝支付赎金。媒体给出的数字是 100 万美元。这个数字传得很广，但它不是这件事的全貌。
熊谷正寿 10 月 26 日在自己的博客里补上了另一半：早在 10 月 21 日下午 5 点，攻击者就曾要求支付 5,000 万日元，公司没有接受。6 天后重新开价，从 5,000 万日元降到 100 万美元——按 GMO 自己给用户算慰问金的汇率（5,000 日元 ≈ 212.2 元人民币），两轮分别是约 2,122 万元和约 212 万元。
降了一个数量级。很多人把这理解成攻击者心虚，或者谈崩了在甩卖。我的看法不同：这更像一次定价校准，而不是让步。首轮 5,000 万日元是随手报的，攻击者并不知道自己手里东西值多少；六天里他们干了两件事——确认数据真的能公开、确认股票真的会跌 15.65%——然后按「能造成的实际损失」重新算了一遍价。勒索软件行业早就有这套逻辑：赎金定价不看你的营收，看你转移成本的上限。
一、被打的是一个「云端 Windows 桌面」
这次被攻破的服务全名是「お名前.com デスクトップクラウド」，是 GMO 旗下 Namecheap 品牌运营的云端 Windows 桌面。用户数超过 2 万人，这次受影响的服务器约 26,739 台。
它为什么会被这么多外汇交易者用？因为在日本，MT4/MT5 的自动交易程序（EA）绝大多数是 Windows 可执行文件，而很多人手里只有 Mac 或者一台轻薄本。云端 Windows 桌面是个便宜的解法：按月付钱，挂上 EA，机器 24 小时不关，本地断网也不影响挂单。
代价是，这台机器上通常同时躺着几样东西：交易软件的登录态、券商账户的连接配置、历史订单、以及用户自己写的策略文件。攻破一台，等于同时拿到身份和凭证。
时间线是这样的：
- 10 月 19 日，接到用户询问，开始调查
- 10 月 20 日，确认部分用户主机被植入第三方恶意程序
- 10 月 21 日凌晨 4 点，全部方案陆续停机
- 10 月 21 日下午起，陆续有用户回报账户出现不明交易
- 10 月 22 日，向警方报案
- 10 月 24 日，第 4 次通报，正式承认遭到入侵且客户信息外流
- 10 月 26 日（周一），股价收 3,179 日元，单日跌 15.65%
- 10 月 27 日中午，攻击者公开首例姓名与电话
二、四层损失，没有一层是新漏洞
把这条链拆开看，从入口到变现隔了三层信任，每一层都不是「某个 CVE 没打补丁」这么简单。
入口。多租户的云端 Windows 桌面，本质上是一堆共享宿主的虚拟机。用户在自己机器上装什么、跑什么，平台方很难逐台核查，而一旦某台被当成跳板横向移动，整片宿主都危险。这类服务的安全水位，取决于最松的那个租户。
变现。这一层最值得国内读者注意。攻击者做的不是转账，而是下不当委托——在外汇市场里故意开反向单、短时间内高频进出，把余额打成负的。对券商来说，这些委托在形式上是「客户本人授权发出的」，风控很难拦。但一笔在 2 秒内亏掉 400 万日元的委托，无论如何都不该被当成正常交易放行。
一名神奈川 44 岁男性用户向媒体描述：10 月 21 日下午 4 点 22 分，账户在约 2 秒内亏损超过 400 万日元（约 17 万元人民币），不明交易持续近 2 分钟，总损失超过 600 万日元。事后他收到一封日文邮件，自称来自「Hacking Team」：「已经把你账号的余额全部摧毁。」
三、最该被记住的，是社长自己说的那句话
比「拒付赎金」更少见的是这一条：熊谷正寿在博客里承认，公司内部的白帽黑客团队事前已经指出过安全改善课题，但因为顾虑对服务稳定运行和其他业务优先级的影响，应对「不够充分、不够快」，他表示深刻反省。
这句话的分量，做过运维的人都懂。安全整改和业务迭代抢的是同一批人、同一个维护窗口。一次加固意味着改配置、重启、可能掉线，而「可能掉线」在运营会议上永远排在「这次一定要上线」后面。于是整改被拆成小项，小项被排到下个季度，下个季度又来了新需求。
真正的风险不在技术判断，在优先级排序。白帽团队已经把话说到了，缺的不是发现能力，是把发现变成排期的权力。
他在同一篇博客里还提到另一件事：GMO 的安全团队确认，针对约 20 家日本企业的未授权访问，源头是自主 AI 渗透测试工具「ARTEX」被滥用。他的原话大意是，31 年互联网生涯建起来的这片空间「正被恶意行为者彻底摧毁」，而 AI 让攻击门槛骤降。
这和我们此前写过的韩国多家银行遭攻击是同一个走向：攻方的产能被 AI 拉高了一个台阶，守方的排期还停在季度会上。
四、拒付之后，损失由谁接住
「不付赎金」是对的选择，各国执法机构的建议也是这个。但它只是一句表态——赎金不付，账单总得有人签。GMO 给出的补偿口径分三档：
- 全员发：所有现用用户每人 5,000 日元慰问金，没有损失也发。按 26,739 台估算，仅这一项约 1.34 亿日元，约 5,700 万元人民币。
- 认定后补：经认定确由入侵导致的不当交易实现亏损与手续费另行补偿；若券商已退款，只补差额。
- 不在范围：市场波动本身造成的损失与机会成本。
申请方式 11 月 6 日前公布。另外，被入侵的旧系统不会原样恢复；想继续用 Windows 桌面环境的用户，可以转到另一套独立云的替代服务，转换后前 6 个月免费。
这个「不原样恢复」是个硬决定，也很诚实。一个已经被证明可以被横向移动的环境，重建比修补便宜，也比修补可信。代价是所有用户都要重新部署一次。
至于那 2,000 多名已确认受损的用户，处境最难受：他们要先证明「这笔亏不是我下的单」。在券商侧，这需要调成交记录、登录 IP、下单时段与入侵窗口做比对——而入侵窗口本身也是推测出来的。举证责任落在了最没有举证能力的一方身上。
日本财务大臣片山皋月已表态政府将急迫应对，目前已有 5 家外汇公司回报客户受影响。GMO 则请求政府适用 10 月 1 日刚生效的「能动性网络防御」——这套法律允许警方与自卫队进入攻击者服务器使其失效，GMO 希望自己成为「发动第 1 号」案例。
五、给用云桌面挂程序的人：四条能立刻做的
这件事离国内读者并不远。用云主机跑量化、跑爬虫、跑挂机脚本的人，处境和那 2 万多名日本用户几乎一样：一台常开的 Windows、一堆存着账号的配置文件、一个「反正是云上应该有人管」的错觉。
- 把交易/账号凭证和运行环境分开。挂机机器上不要存明文账号密码，能用 API Key 就别用登录态，能给 Key 限权就别给全权，能设 IP 白名单就设。
- 给账户侧加你自己的闸门。平台风控靠不住的部分，自己兜：设置单日最大亏损上限、异常时段禁止下单、单笔委托金额上限。这些在券商侧基本都能配。
- 别把云桌面当保险箱。多租户环境的隔离强度由平台决定，不由你决定。敏感业务要么上独享宿主，要么干脆不用托管桌面。
- 留一份能离线核对的日志。真出事时，能证明「这笔不是我下的」的只有你自己的记录。
顺带说一句：这类攻击的入口常常是「用户在自己机器上装了不该装的东西」，而不是平台被正面打穿。如果这台机器上跑的是网站，防护思路和这不同——可以看我们之前写的没有 WAF 的网站一定会被攻击吗；如果是日本方向的连续事件，旭化成医药和PHP2Shell 停服实录是前两篇。
六、写在最后
我在这件事里看到的最不舒服的一点，是攻击者的节奏感。他们不是在乱来：10 月 21 日给期限，10 月 27 日中午准时公开第一例，并且明说此后每天中午一批。降价的时机卡在股价暴跌之后、政府表态之前。
这套打法的核心不是技术，是把不确定性卖给公众。企业可以拒付赎金，但挡不住「明天中午还会有一个名字」这件事本身。真正被定价的，是那 2 万多名用户每天中午刷新页面的那几分钟。
对做技术的人来说，能控的只有前面那一段：把入口收紧，把凭证分开，把闸门装上。剩下的事，得靠排期表上那个永远被推后的安全项，真的被排到前面去。
资料来源：GMO 互联网集团 10 月 21—27 日系列公告、熊谷正寿 2026 年 10 月 26 日博客、IT之家 2026 年 10 月 27 日报道（原文）。文中日元兑人民币换算统一采用 GMO 补偿公告口径（5,000 日元 ≈ 212.2 元）。
