Plataformas · Software · Provedores · Mercados
A corretora japonesa da OANDA suspendeu o processamento de pedidos de saque na quinta-feira 22 de outubro de 2026, alertando que invasores podem ter obtido as credenciais do MetaTrader de alguns clientes. A empresa afirmou que os ativos dos clientes continuam segregados, conforme exigido pela legislação japonesa. A pausa busca evitar que pagamentos sejam enviados sem autorização.
As credenciais estavam no Onamae.com Desktop Cloud, um serviço de servidores alugados da GMO Internet Group. A GMO disse ter encontrado programas não autorizados nos ambientes de servidores de clientes na terça-feira e divulgado o incidente na quarta-feira. A partir das 4h de quarta-feira, começou a desligar servidores de todos os planos. A empresa não anunciou quando eles voltarão a funcionar e disse que até 26,739 servidores podem ter sido afetados.
Traders alugam essas máquinas para manter terminais MT4 e MT5, além de estratégias automatizadas, em operação contínua. A OANDA Securities já está transferindo clientes do MT4 e planeja encerrar a plataforma em 27 de novembro, seguindo um cronograma definido em março que citava requisitos de cibersegurança.
AvaTrade Japan, Gaitame Finest e Dukascopy Japan também emitiram avisos de segurança, elevando para quatro o número de brokers japoneses que alertaram clientes desde quarta-feira. Nenhum deles mencionou a GMO. AvaTrade Japan e Gaitame Finest disseram que seus próprios sistemas não expuseram credenciais de clientes.
Prazo dos saques e medidas para as contas
- A OANDA informou que os pedidos enviados até as 11h de quinta-feira seriam processados a partir das 11h de sexta-feira, após verificações de segurança, e que os fundos deveriam chegar às contas bancárias até as 16h. Os pedidos enviados até as 11h de sexta-feira seguem o cronograma padrão.
- Para clientes que usaram o MetaTrader por meio do serviço da GMO, a OANDA recomendou alterar as credenciais da conta e as senhas do MT4 ou MT5, habilitar o acesso com autenticação de dois fatores no MetaTrader e revisar o histórico de operações. A corretora disse que ainda não havia decidido quais outras medidas tomaria.
- A GMO recomendou que os clientes substituíssem as credenciais armazenadas em seus servidores e em qualquer outro serviço em que as reutilizassem. A empresa disse não ter encontrado exposição de informações pessoais sob sua custódia nem indícios de uso indevido de dados, e afirmou que não armazena os dados dos cartões dos clientes. Novos cadastros estão suspensos. Seus termos preveem reembolso ou crédito se a disponibilidade mensal cair abaixo de 99.99%; a GMO disse que detalhará como lidará com a interrupção quando tomar uma decisão.
A pausa nos saques se refere ao acesso a serviços externos, mas não identifica o provedor de hospedagem. A série de avisos foi noticiada primeiro pela Finance Magnates. Separadamente, o presidente e CEO da GMO, Masatoshi Kumagai, disse em 9 de outubro que o grupo inspecionaria todos os serviços após um vazamento de dados em uma empresa de research do grupo, informou o Nikkei.
Brokers japoneses reforçam a autenticação
A Financial Services Agency do Japão monitora a tomada de contas de corretoras online desde o início de 2025. Entre março e maio daquele ano, operações fraudulentas usando contas invadidas ultrapassaram ¥500 billion (cerca de $3.2 billion) em quase 6,000 incidentes.
A unidade japonesa da IG tornou a autenticação de dois fatores obrigatória até junho de 2026, citando o aumento das tentativas de acesso não autorizado em todo o setor. A OANDA exige códigos de autenticador para saques desde dezembro de 2025.
Mudanças nas plataformas acrescentam outra etapa de segurança. Em julho, a MetaQuotes incluiu contas unificadas de clientes protegidas por passkeys na versão beta build 6030 do MetaTrader 5. O MT5 representou 65% do volume de CFDs de varejo nas plataformas da MetaQuotes no primeiro trimestre de 2026, contra 35% do MT4, mostram dados da FM Intelligence.
Na Ásia-Pacífico, a comparação da mesma empresa registrou 1.5 million de visitas orgânicas ao MT5 no terceiro trimestre e 709,700 ao MT4. A FTMO, uma prop firm tcheca, concordou em adquirir a OANDA da CVC Asia Fund IV em 2025.
O que muda para os operadores
Para empresas que operam terminais ou estratégias em infraestrutura VPS alugada, o incidente coloca em evidência o tratamento de credenciais e a recuperação de acesso. Os operadores devem verificar se credenciais do MetaTrader, senhas de contas ou outros identificadores reutilizados estavam presentes nos ambientes de servidores afetados e se as próprias verificações de contas e históricos de operações conseguem identificar atividades durante o período de exposição. A OANDA detalhou essas verificações para seus clientes, mas não informou sua resposta de longo prazo.
A GMO não informou uma data para a retomada, então as empresas que dependem do serviço precisam perguntar quais opções de migração ou continuidade estão disponíveis antes que os servidores voltem a funcionar. Também devem confirmar como será avaliado qualquer crédito ou reembolso de acordo com o compromisso de disponibilidade mensal de 99.99%. Para as corretoras, outra questão é como verificar instruções de saque enquanto a plataforma do cliente ou seu ambiente de hospedagem pode ter sido acessado por outra pessoa.
