Un ransomware paralizó servidores de 495 organizaciones en IDCF Cloud, y en Onamae.com Desktop Cloud los atacantes publicaron datos tras un rescate rechazado. Lo que enseñan sobre las copias de seguridad.
En octubre de 2026, dos nubes japonesas sufrieron ataques graves con pocos días de diferencia. Los dos casos dejan la misma lección: el proveedor protege su plataforma, pero los datos y la continuidad de cada empresa dependen de lo que ella misma tenga previsto.
IDCF Cloud: ransomware en una nube de SoftBank
El 7 de octubre, un ransomware paralizó los servidores virtuales de cuatro zonas de la región Este 1 de IDCF Cloud, de IDC Frontier, empresa del grupo SoftBank. El ataque afectó a 495 empresas y gobiernos locales. Al día siguiente, el proveedor advirtió que esos datos solo podrían restaurarse desde las copias de seguridad de cada cliente, y pidió a los clientes de las demás regiones sacar copia de su información.
Su informe del 27 de octubre explica que los atacantes entraron por una vulnerabilidad de un software de código abierto en el sistema de autenticación del portal de clientes y, desde allí, obtuvieron permisos de administración sobre la plataforma de virtualización. El proveedor pudo recuperar copias de 206 clientes, ve difícil restaurar los servidores en su entorno original y está ayudando a migrar a entornos alternos. No pagó rescate ni tuvo contacto con los atacantes, y no encontró evidencia de que se sacaran datos de los servidores virtuales, aunque sí de consultas no autorizadas a los datos de registro (nombres y correos) de hasta 71 clientes en su portal.
Onamae.com Desktop Cloud: rescate rechazado
GMO Internet, uno de los mayores registradores de dominios de Japón, detectó el 20 de octubre un programa malicioso en Onamae.com Desktop Cloud, su servicio de servidores virtuales, y estimó en 26.739 los servidores de clientes que podrían estar afectados. El 21 de octubre recibió un correo de extorsión que exigía unos 8.000 millones de yenes (unos 50 millones de dólares) y anunció que no cedería. El 27 de octubre pidió a sus clientes desconectar sus equipos de la red, apagarlos y desenchufarlos. Ese mismo día confirmó que el atacante publicó información que dice ser de GMO y de sus clientes: la empresa la está verificando, advirtió que puede contener datos falsos y pidió no visitar ese sitio. También pidió cambiar las contraseñas de las cuentas de trading (MT4 y MT5).
Cinco lecciones de las nubes atacadas
- Guarda al menos una copia de tus datos por fuera de tu proveedor de nube.
- Mantén una copia desconectada o inmutable, que un atacante no pueda cifrar ni borrar.
- Prueba la restauración: una copia que nunca se ha restaurado no es una garantía.
- Protege con doble factor y acceso restringido las consolas de administración de la nube.
- Define a dónde trasladarías tus sistemas si tu proveedor queda fuera de servicio por semanas.
Es la regla 3-2-1 de las copias de seguridad aplicada a la nube: tres copias, en dos medios distintos y una fuera del lugar principal.
Actualización del 31 de octubre: lo último de GMO e IDC Frontier
En su comunicado del 29 de octubre, GMO informó que su recompensa de hasta un millón de dólares por información sobre los responsables ya recibió 270 aportes, y que ese mismo día entregaría a la policía los datos más prometedores para identificarlos. IDC Frontier dio por terminada su investigación en su informe del 27 de octubre. Además, revisamos esta noticia contra los comunicados oficiales de las dos empresas: precisamos que la cifra de GMO corresponde a servidores que podrían estar afectados y que la información publicada por el atacante sigue en verificación.
Cómo te ayudamos
Pronetsys Backup Service hace copias automáticas de computadores, servidores y celulares en la nube, como respaldo adicional por fuera de tu proveedor principal, y te ayudamos a comprobar que puedes restaurarlas. Escríbenos para revisar la estrategia de respaldo de tu empresa.
Fuentes
- IDC Frontier: tercer informe, el ransomware y las copias de los clientes (8 de octubre de 2026, en japonés)
- IDC Frontier: séptimo informe sobre el acceso no autorizado (27 de octubre de 2026, en japonés)
- GMO Internet: primer informe sobre Onamae.com Desktop Cloud (21 de octubre de 2026, en japonés)
- GMO Internet: séptimo informe, la extorsión (26 de octubre de 2026, en japonés)
- GMO Internet: octavo informe, apagar y desconectar los equipos (27 de octubre de 2026, en japonés)
- GMO Internet: décimo informe, la información publicada (27 de octubre de 2026, en japonés)
- GMO Internet: decimoquinto informe, recompensa y policía (29 de octubre de 2026, en japonés)
Fuente: IDC Frontier
