一次云服务被黑，为什么要客户拔电源？

晟晖科技

2026年10月30日 08:30
江苏

去阅读

10 月下旬，日本 GMO 旗下的 Onamae.com Desktop Cloud 云桌面服务被入侵。通知里有一句：备份完数据，断开网络，关闭电脑，电源线也拔掉，时限是 10 月 27 日中午 12 点。需要说明的是，受影响的是这项服务的用户，不是 GMO 的全部客户。

云桌面本来卖的就是“终端在云上，本地不用管”。可这一次，先出事的是服务端。

事情大致是这样

10 月 20 日，GMO 确认部分客户服务器环境被植入恶意程序，可能涉及 26,739 台。21 日凌晨 4 点起，服务器陆续关停；同一时间，GMO 收到要求支付约 80 亿日元（约合人民币 3.38 亿元）的威胁邮件，明确拒付。

24 日，GMO 决定向客户发放慰问金、补偿交易损失，并提供替代服务。据公开报道，26 日 GMO 警告攻击者将公开数据、激活植入的勒索载荷。27 日中午就是那条“拔电源”的通知；12:30 左右发现资料已被挂上网，13:55 对外通报确认。

这项服务上很多人跑 MT4/MT5 外汇自动交易，可能泄露的是交易账号和登录凭证。支付卡信息，GMO 表示服务器上不存。

28 日，凌晨 4 点左右，泄露站点及镜像域名被停止；同日中午，GMO 上线悬赏，最高 100 万美元征集线索，当天就收到 113 条。截至当天，受托终端的解析未发现感染或勒索痕迹，调查仍在继续。

有个地方容易混：已确认被植入的是云上的客户服务器；要求关机拔电的是客户自己的电脑——后者有没有被植入，正是 GMO 逐台排查的内容，目前已检查的终端暂未发现痕迹。

为什么关机，还要拔电源

官方没解释技术原因，以下是推断。

勒索软件绝大多数在本机加密，密钥本地生成，断网拦不住它加密文件。断网真正挡住的，是外部指令激活载荷、下发新文件。凭证是另一回事，GMO 同期要求客户改密码。

至于拔电源：断电恢复自启、主板定时开机、开着“快速启动”的不彻底关机，都可能让机器在无人值守时自己回来；断了电，也没人顺手打开又连回网络。

说白了就一句：范围不清楚的时候，先隔离，再排查。顺序反了，排查追不上扩散。

风险怎么走到企业这头

平台层共用资源与运维通道，出事租户最后知道；凭证一旦外流，不用攻破系统就能登录操作——公开报道里已有客户反映交易账户出现异常；云端镜像和本地电脑之间的同步、剪贴板、共享目录，也是恶意代码跨界的路。

上云改的是运维谁做，不改出了事谁担。厂商管平台，企业管账号、数据、配置和终端。

*能提前做的*：

- 账号：管理员与业务账号分开，双因素认证必开，权限够用就好，会话可一键踢掉。

- 数据：核心数据本地留一份，备份与云隔离，恢复演练真做过。

- 依赖：别把业务全压一家云，迁移和降级方案提前想。

- 响应：找谁、多久回话、谁能拍板停机，事先定下来。

眼下能动的五件事：盘点托管资产、核查双因素覆盖、查备份演练记录、确认厂商通报渠道、排查镜像与共享目录。

停服、赔偿、悬赏追凶，一家云厂商能做的差不多做完了。被偷走的凭证，客户自己的账号和数据，厂商替不了。

*说回自己*

这类事件看多了，问题很少出在“没买安全产品”，多出在几个基础问题：资产清不清楚，账号管不管得住，数据有没有第二份，出事多久能发现、多久能恢复。

托管能省机房省人力，省不掉这些。二十多年做安全服务，我们见过的事故最后都落回这几件事上。业务在云上跑了几年的，不妨就着这次事件做次自查。

信息来源：GMO Internet 官方通报及 ITmedia NEWS 等公开报道，事实截至 2026 年 10 月 29 日。文中\"为何断网关机\"部分为基于公开信息的推断，非厂商说明。