Plataformas · Software · Proveedores · Mercados
El 22 de octubre de 2026, OANDA Securities retrasó los retiros solicitados antes de las 11 a.m. del jueves y advirtió que los atacantes podrían haber accedido a las credenciales de MetaTrader de algunos clientes almacenadas en Onamae.com Desktop Cloud. El broker afirmó que los activos de los clientes siguen segregados, como exige la legislación japonesa.
El servicio alojado está operado por GMO Internet Group. GMO afirmó que encontró programas no autorizados en entornos de servidores de clientes después de detectar la actividad el martes. A partir de las 4 a.m. del miércoles, comenzó a apagar los servidores de todos sus planes, sin anunciar una fecha de reinicio. Hasta 26,739 servidores podrían estar afectados.
Los operadores de FX utilizan servidores alquilados para mantener en funcionamiento continuo los terminales MT4 o MT5 y las estrategias automatizadas. OANDA también se prepara para retirar MT4 el 27 de noviembre, según un calendario que fijó en marzo citando requisitos de ciberseguridad.
Cómo funciona el calendario de retiros
- OANDA afirmó que procesará a partir de las 11 a.m. del viernes las solicitudes realizadas antes de las 11 a.m. del jueves, una vez completados los controles de seguridad. Los pagos deberían llegar a las cuentas bancarias de los clientes antes de las 4 p.m.
- Las solicitudes recibidas antes de las 11 a.m. del viernes seguirán el calendario habitual de procesamiento del broker.
- Se indicó a los clientes que utilizaron el servicio de GMO para ejecutar MetaTrader que cambiaran las contraseñas de sus cuentas y de MT4 o MT5, activaran el inicio de sesión con dos factores en MetaTrader y revisaran su historial de trading. OANDA afirmó que aún no había decidido cuáles serían sus próximos pasos.
- El aviso sobre los retiros mencionaba riesgos de acceso en servicios externos, pero no identificaba a GMO por su nombre.
Tres brokers emiten alertas de seguridad
- AvaTrade Japan afirmó que terceros habían accedido a algunas cuentas de clientes que utilizaban servicios externos, incluidos proveedores de VPS, y habían realizado operaciones no autorizadas.
- Gaitame Finest informó el miércoles de que se había accedido a algunas cuentas de clientes y se habían utilizado para operar con credenciales que podrían haberse expuesto a través de otros servicios. El broker restringió las cuentas afectadas.
- Dukascopy Japan pidió a todos los usuarios de VPS que cambiaran sus contraseñas de trading. Ni AvaTrade Japan ni Gaitame Finest atribuyeron su incidente a GMO; ambos afirmaron que sus propios sistemas no habían filtrado credenciales de clientes. Junto con OANDA, las alertas elevan a cuatro el número de brokers japoneses que han planteado problemas de seguridad de cuentas desde el miércoles.
Se refuerzan los controles de autenticación en Japón
La Financial Services Agency (FSA) supervisa desde principios de 2025 las apropiaciones de cuentas de brokers en línea. Afirmó que las transacciones fraudulentas en cuentas comprometidas superaron los ¥500 mil millones (unos $3.2 mil millones) en casi 6,000 incidentes entre marzo y mayo de ese año. La autenticación de dos factores pasó a ser obligatoria en la unidad japonesa de IG en junio de 2026, después de que la empresa citara un aumento de los intentos de acceso no autorizado en el sector.
OANDA introdujo códigos de autenticación como requisito para los retiros en diciembre de 2025. En julio, MetaQuotes añadió cuentas unificadas de clientes protegidas con passkey a la versión beta 6030 de MetaTrader 5.
La advertencia de OANDA se aplica a los clientes que utilizan MT4 o MT5 en el servicio de GMO. MT5 representó el 65% del volumen de CFD minorista en las plataformas de MetaQuotes en el primer trimestre de 2026, frente al 35% de MT4, según FM Intelligence.
La comparación de plataformas registró 1.5 millones de visitas orgánicas a sitios web de MT5 en Asia-Pacífico en el tercer trimestre, frente a 709,700 de MT4. Finance Magnates informó sobre el incidente y el calendario de retiros.
GMO afirmó que no había encontrado pruebas de filtración de información personal en poder de la empresa ni de uso indebido de datos, y señaló que no almacena los datos de las tarjetas de sus clientes. Recomendó a los usuarios cambiar las credenciales almacenadas en los servidores y en cualquier otro lugar donde las hubieran reutilizado. GMO ha dejado de aceptar nuevos registros. Sus condiciones establecen el derecho a un reembolso o crédito si el tiempo de actividad mensual cae por debajo del 99.99%; la empresa afirmó que explicaría cómo abordará la interrupción una vez tomada una decisión. FTMO acordó en 2025 comprar OANDA a CVC Asia Fund IV.
Qué debe comprobar un equipo de operaciones
Para las empresas que ejecutan terminales de trading en infraestructura de VPS o de nube de terceros, las comprobaciones operativas inmediatas son la reutilización de credenciales, la configuración de la autenticación de dos factores y la actividad de las cuentas. OANDA ha indicado a los usuarios afectados que revisen el historial de trading, mientras que GMO ha recomendado cambiar las contraseñas. Los operadores deben determinar qué credenciales y servicios dependen de los entornos afectados, y si el acceso a las cuentas o las estrategias automatizadas requieren una reconfiguración.
La pausa de los retiros también pone bajo escrutinio las operaciones de pago y las comunicaciones con los clientes mientras se realizan los controles de seguridad. Los equipos deben verificar qué solicitudes corresponden a cada ventana de procesamiento y cómo conciliarán los pagos retrasados. GMO no ha fijado una fecha para reanudar el servicio, por lo que los operadores deberán preguntar qué medidas de recuperación se aplican, cómo se reflejará la interrupción en los créditos por servicio y si se requieren controles adicionales para las cuentas.
Los operadores deben determinar qué cuentas de clientes utilizaron servidores alojados en GMO, si esos entornos contenían credenciales de acceso a brokers y qué estrategias automatizadas dependían de ellos. También deben preguntar si el retiro previsto de MT4 modifica la ruta de migración para los clientes afectados, dado que OANDA fijó el 27 de noviembre como fecha de desconexión.
