해킹된 매매 서버, 비워진 FX 계좌: Onamae.com Desktop Cloud 침해 사고

게시일 2026-10-24

2026년 10월 20일, GMO 인터넷은 FX 자동매매를 24시간 돌리는 곳으로 판매하는 Windows VPS인 Onamae.com Desktop Cloud(お名前.com デスクトップクラウド)의 일부 고객 서버에 제3자가 악성 프로그램을 설치한 것을 확인했습니다. 10월 21일 오전 4시(일본 시간)부터는 모든 요금제의 서버를 차례로 중지했습니다. 영향을 받았을 수 있는 서버는 최대 26,739대입니다. 다음 날에는 자신이 하지 않은 거래가 계좌에서 이루어졌다는 고객 신고가 이어졌습니다.

이 서비스의 역할은 트레이더의 컴퓨터가 꺼져 있는 동안에도 MetaTrader 4/5와 전문가 어드바이저(EA)를 계속 돌리는 것입니다. 이를 위해 거래 계좌의 로그인 ID와 비밀번호가 서버의 거래 도구에 저장되어 있습니다. 서버를 장악한 사람은 그곳에 저장된 로그인 정보를 모두 읽을 수 있었습니다.

무슨 일이 있었나

• 10월 19일: 고객 문의를 계기로 GMO가 조사를 시작했습니다.
• 10월 20일: 악성 프로그램을 확인하고 신규 신청과 제어판을 중지했습니다.
• 10월 21일 오전 4시: 모든 요금제의 서버를 차례로 중지했습니다. 첫 공지에서는 서버의 정보가 열람되었을 수 있으며 부정 이용은 확인되지 않았다고 밝혔습니다.
• 10월 22일: 두 번째 공지에서 MT4/MT5 같은 거래 도구에 저장된 거래 계좌 로그인 정보가 탈취되어 부정하게 이용되었을 수 있으며, 거래 계좌에서 제3자의 무단 조작이 있었다는 고객 신고를 받았다고 밝혔습니다. GMO는 경찰에 상담했고 외부 보안 회사와 함께 조사하고 있습니다.

GMO에 따르면 결제 정보는 서버에 저장되어 있지 않습니다. 침입 경로, 침입이 시작된 시점, 부정하게 이용된 계좌 수, 서비스 재개 시점은 밝혀지지 않았으며, 모든 요금제가 여전히 중지된 상태입니다.

계좌는 어떻게 비워졌나

트레이더들이 말하는 손실은 출금이 아니라 거래에서 나왔습니다. X에는 자신이 하지 않은 거래로 약 55만 엔, 230만 엔, 600만 엔을 잃었다는 글이 올라왔습니다(ITmedia, 금액은 확인되지 않음). 공격자가 보낸 것으로 보이며 GMO에 금전을 요구하는 듯한 이메일을 받았다는 보고도 있습니다.

탈취된 증권·FX 계좌는 보통 거래를 통해 비워집니다. 대부분의 회사는 계좌 명의인 본인의 등록 은행 계좌로만 출금하므로, 거래용 로그인만 가진 도둑은 돈을 자신에게 보낼 수 없습니다. 그래도 일부러 손실을 보는 거래를 빠르게 반복하면 계좌는 비워지고, 거래가 적은 시장에서 반대편에 공격자의 계좌가 있으면 돈은 그쪽으로 옮겨 갑니다. 일본 금융청은 2025년 초부터 이 수법을 추적해 왔으며, 당시 탈취된 온라인 증권 계좌에서의 부정 거래는 3개월 동안 약 6,000건, 5,000억 엔을 넘었습니다(Finance Magnates).

FX 회사와 금융청의 대응

• OANDA Japan은 부정 출금을 막기 위한 예방 조치로 10월 22일에 접수된 출금을 보류했으며, 고객 자산은 법에 따라 분리 보관되고 있다고 밝혔습니다. GMO 서비스에서 MetaTrader를 쓰는 고객에게 계좌와 MT4/MT5 비밀번호를 바꾸고 2단계 로그인을 켜 달라고 요청했습니다. MT4는 11월 27일에 종료할 예정입니다.
• Gaitame Finest(外為ファイネスト)는 다른 서비스에서 유출되었을 수 있는 ID와 비밀번호로 제3자가 로그인해 거래한 것을 확인하고 해당 계좌를 제한했습니다. AvaTrade Japan은 VPS 같은 외부 서비스를 쓰는 고객의 계좌에서 무단 거래가 있었다고 보고했고, Dukascopy Japan은 모든 VPS 사용자에게 거래 비밀번호를 바꾸라고 요청했습니다.
• FXTF는 VPS에서 거래하는 일부 고객의 거래 ID와 비밀번호가 다른 회사의 VPS 서비스 공격으로 도난당했다고 밝히고, 10월 23일부터 MT4/MT5에 일회용 비밀번호를 의무화했습니다.
• ThreeTrader도 같은 시기에 무단 접근 가능성에 대해 고객에게 이메일을 보냈지만 세부 내용은 공개하지 않았습니다.
• 금융청은 10월 22일자 통지를 일본 금융선물거래업협회를 통해 FX 회사들에 보내, 고객에게 비밀번호 변경과 기억에 없는 거래 확인을 안내하고 의심스러운 거래 감시를 강화하라고 요청했습니다.

각 회사는 자사 시스템에서 유출된 것은 없다고 강조합니다. 로그인 정보는 고객이 다른 곳에서 빌린 서버에서 도난당했습니다.

지금 해야 할 일

Onamae.com Desktop Cloud나 거래 로그인을 저장해 둔 VPS를 썼다면 오늘 안에 다음을 하십시오. GMO의 안내에 FX 회사 쪽 조치를 더했습니다.

1. 서버에서 쓰던 모든 거래 계좌와 거래 도구의 비밀번호를 바꾸십시오(MT4/MT5, cTrader, FX 회사의 마이페이지). VPS가 아닌 다른 기기에서 바꾸십시오. 로그인할 수 없으면 FX 회사에 전화하십시오.
2. 바꾼 뒤에는 모든 세션에서 로그오프하십시오. 플랫폼에서 할 수 없으면 마이페이지나 고객 지원을 통해 끊어, 도난당한 세션으로 거래를 계속할 수 없게 하십시오.
3. 거래 내역과 잔고를 확인하고, 하지 않은 거래는 즉시 FX 회사에 알리십시오. 화면을 캡처해 두십시오.
4. FX 회사가 제공한다면 2단계 인증, 일회용 비밀번호, 패스키를 켜십시오.
5. 서버에 있던 다른 비밀번호도 모두 바꾸십시오. 서버의 브라우저에 저장한 로그인, 암호화폐 거래소, 이메일, 서버에 둔 메모나 파일의 내용입니다.
6. 같은 비밀번호를 재사용한 다른 서비스에서도 바꾸십시오.
7. 이 사고에 관한 연락은 의심하십시오. GMO는 이메일이나 전화로 비밀번호나 카드 정보를 묻지 않는다고 밝혔습니다. FX 회사에는 메시지 속 링크가 아니라 직접 접속하십시오.

KeyRotate의 대응: 위협 정보가 앱으로 전달됩니다

KeyRotate는 Enfour의 Mac용 키 관리자입니다. API 키와 자격 증명을 보관하고, 각각이 어디에 쓰이는지 파악하며, 제공업체의 API가 지원하면 키를 교체합니다. 이번 달부터는 위협 정보가 앱으로 전달됩니다. 쓰고 있는 서비스가 침해되면 앱 업데이트를 기다리지 않고 KeyRotate에 경고가 도착합니다.

• 릴리스가 아니라 몇 시간 안에 도착합니다. Enfour는 새 사고를 자체 키로 서명한 권고(advisory)로 게시합니다. KeyRotate는 적어도 12시간마다 새 권고를 확인하고, 앱에 내장된 키로 서명을 검증한 것만 받아들입니다. 변조되거나 가짜인 권고는 무시됩니다.
• 이번 사고는 이미 전달되었습니다. Onamae.com Desktop Cloud, FXTF, Gaitame Finest, ThreeTrader에 대한 권고를 10월 24일에 배포했습니다. 각 권고에는 경위, 요약, 공식 공지, 위의 조치 단계가 들어 있습니다.
• 필요한 것을 묻습니다. 개요 화면의 카드와 알림이 해당 서비스를 썼는지 묻습니다. 썼다면 조치 단계가 카드의 체크리스트가 되고 진행 상황이 저장되므로, 정신없는 밤에도 중간에 빠뜨리는 일이 없습니다.
• 교체할 수 있는 것은 교체합니다. STUDIO 침해 사고처럼 API 키가 노출되면, KeyRotate는 그곳에 저장한 키를 노출된 키로 표시하고 Touch ID 한 번으로 한꺼번에 교체할 수 있습니다. 거래 비밀번호는 다릅니다. 앱이 비밀번호를 바꿀 수 있게 하는 FX 회사는 없으므로, 이번 사고에서 KeyRotate는 체크리스트와 링크를 보여 주고 변경은 직접 하셔야 합니다.
• 자리를 비워도 알려 줍니다. 알림은 직접 운영하는 ntfy나 Gotify 서버로도 보낼 수 있습니다. 권고를 받아 오는 것은 다운로드일 뿐이며, 키나 계좌, 이용하는 FX 회사에 관한 정보는 Mac 밖으로 나가지 않습니다.

KeyRotate가 하는 일도 참고하십시오.

교훈

대신 거래해 주는 서버는 당신의 돈을 여는 열쇠를 갖고 있습니다. 다음 사고의 피해를 줄이는 습관은 네 가지입니다.

• FX 회사마다 다른 비밀번호를 쓰고, 이메일과 같은 비밀번호는 쓰지 마십시오. 서버 한 대에서 도난당한 로그인으로 열리는 계좌는 하나뿐이어야 합니다.
• FX 회사가 제공하는 추가 확인은 모두 켜십시오. 일회용 비밀번호, 패스키, 출금 확인 코드, 로그인·거래 알림입니다. 이번 주에 이를 의무화한 회사가 여럿입니다. 기다릴 이유가 없습니다.
• EA가 움직일 수 있는 잔고는 작게 유지하십시오. 가능하다면 자동매매는 그 전략을 위한 별도 계좌에서 돌리고, 자금 전부를 둔 계좌에서는 돌리지 마십시오.
• 어느 기기에 어떤 비밀번호가 있는지 파악하십시오. 호스트가 침해되었을 때 바꿔야 할 목록이 이미 있어야 합니다. 그 목록을 지키는 것이 KeyRotate입니다.

더 읽을거리: GMO의 두 번째 공지(영어), BleepingComputer, Impress Watch(일본어).