思哲研究所｜李冠儒

GMO互联网安全问题于2026年10月出现。GMO互联网集团旗下专为外汇（FX）自动交易设计的云端服务“お名前.com デスクトップクラウド”（下称Onamae云端）遭黑客组织植入恶意程式并实施勒索软体攻击，可能受影响的伺服器高达26,739件。随着勒索期限届满，攻击者如同常见日剧剧情般，开始在互联网上陆续公开部分客户资讯，也威胁要对超过70家金融机构帐户进行非法操作，再次暴露日本的诸多弊端。

漏洞七年前已暴露却未修补

根据某FX专家所述，是次风暴在日本社群、专业技术圈引起轰动，其根本原因在于GMO暴露出的安全漏洞大得难以置信，而且GMO的负责人在事后还嬉皮笑脸。他表示，Onamae云端服务有双重致命伤。其一是权限隔离失效与管理帐号失窃，黑客声称取得了具有高权限的客服管理帐号，而该帐号竟然拥有直接管理大量客户虚拟桌面的权限。在标准的云端架构中，用户/租户之间应具备严格的沙盒隔离，但GMO直接允许客服持有一把能打开所有用户大门的万能钥匙，然后钥匙还被偷了；其二是用户的硬件还有被连带污染风险，云端竟会将用户自己家中电脑的硬碟直接传至GMO云端伺服器上，这意味着当云端伺服器遭黑客控制后恶意程式可顺着通道反向入侵，仿佛张开双手欢迎黑客读取乃至写入用户个人电脑的档案，GMO引发了用户端电脑有可能已被全数遭污染的巨大恐慌。

更令公众难以接受的是，据业界人士爆料，此网安漏洞早在七年前就已有技术人员发现，但GMO却长年置之不理，事件爆发后甚至出现因业务繁忙导致对策延误等借口。继乐天AI被爆蒸馏DeepSeek后，Onamae云端漏洞再次摧毁日本使用者对日本政府的监管能力及IT巨头的信任。最可笑的是，但凡问一个日本网安专家，他或她都能对朝鲜等国的黑客如何攻击日本企业的案例侃侃而谈，有专家向笔者表示“日本的IT企业起步虽早，却未能与时俱进地修补网安漏洞。如今更有AI24小时全天候搜寻漏洞，看到这样的肥羊不趁机捞一笔简直说不过去；前几天PHP出问题时，也是大量日本企业遭到波及，反观中国使用PHP的企业就相对少多了。”

GMO创办人灿笑自拍引争议

社群平台上，不少愤怒的日本人喊出让GMO倒闭算了。然而，这种情绪化的宣泄却又显得愚昧。专家表示，在当前的日本互联网生态中，GMO是核心，GMO绝非仅仅是一家提供FX服务的公司，而是手握有日本国内约八成的域名管理市场，更是日本国税手机支付、各大电商平台信用卡结算等金融支付基础设施的核心幕后系统供应商。换言之，如果GMO全面瘫痪或倒闭，网站、电子邮件、电子商务、公共事业费用的线上支付等全面中断。可见，日本网安防护低劣之余，背后的运作网络却重要如斯，大众自以为可以承受，实则无法承受其倒闭的代价。日本网友诅咒GMO倒闭，就如部分知情日本网友所形容一般，相当于在飞行员操作失误后喊着要整架飞机一起坠毁，毫不理会依赖GMO的中小企后续的连锁倒闭风险。而让人无奈的是，无论“飞机”是否坠毁，“乘客”——也就是无辜的日本民众都很可能要为这些网安漏洞的结果买单。

在如此严肃的国家级网安危机中，GMO创办人兼CEO熊谷正寿在个人社群平台上发布自己在国际刑警组织前灿笑及自拍的动态，表示GMO不单与日本，还和国际司法机关咨询。毫不意外，引来日本网友的口诛笔伐，认为这是对受害者心理的二次伤害，质疑他对危机严重程度的认知脱节。

如今，GMO选择了绝不向黑客屈服的硬性立场，拒绝支付赎金（注：据悉黑客在最初要求约3.92亿港元，后续改为约784万港元）。理由是GMO无法确认支付后是否就不会影响到用户。GMO随后提出了包括每人约248港元的慰问金，针对个人资讯不幸被黑客贴出公开的客户追加发放“特别慰问金”——上限最高约14.9万港元并全额补偿非法交易损失，也有免费提供六个月替代服务等补偿方案，承诺全面抛弃旧架构重塑系统。然而，这些经济补偿并无法抚平客户对本机电脑遭毒化及个人资料永无止境在暗网流传的焦虑。

本次事件的影响力早已穿透商业层面，升级为日本国家安全与金融稳定议题。在金融市场方面，日本金融厅已接获Goldenway Japan、OANDA证券、AvaTrade Japan、外为Finest、Dukascopy Japan等五家FX业者的受害通报以及被迫采取暂停交易与阻断海外下单等紧急措施。适逢日本FX相关动画《FX战士久留美》正在热播，有日本青年反馈自己看了该动画后才以具体想像自己的FX帐号被人黑客胡乱操作的话会有怎样的恶劣后果。

成为日本网安新法实施后第一案

在国家安全维度，国民民主党代表玉木雄一郎直言此类攻击具备准战时体制的性质。GMO于10月24日向政府请求适用刚于2026年10月1日正式施行的《互联网应对能力强化法》中的主动式互联网防御，因此GMO案一跃成为该法实施后的第一号适用案例。主动式互联网防御授权国家层级的安全机关在未经事先许可的情况下，追踪、侵入并瘫痪攻击者的互联网基础设施。本案例也将直接检验日本政府在面对金融级勒索攻击时，是否具备主动反击与跨国源头打击的能力，还是说跟以往一样让人失望。

进入AI时代，若企业还敢对长达数年的安全警告视若无睹，最终必将付出巨大的代价。日本政府在将网安事件提升至主动式互联网防御之国家安全高度的同时，理应建立更严格的数位基础设施营运商网安审查与惩罚机制。本次Onamae云端引起的危机及教训，包括但不限于允许安全薄弱的单一企业垄断重要域名、交易功能等，都值得被包括香港社会在内的各方借鉴。

作者李冠儒博士是思哲研究所青年事务教育总监。

文章仅属作者意见，不代表香港01立场。

01专栏精选不同范畴专家，丰富公共舆论场域，鼓励更多维度思考。