思哲研究所｜李冠儒

GMO網路安全問題於2026年10月出現。GMO網路集團旗下專為外匯（FX）自動交易設計的雲端服務「お名前.com デスクトップクラウド」（下稱Onamae雲端）遭黑客組織植入惡意程式並實施勒索軟體攻擊，可能受影響的伺服器高達26,739件。隨着勒索期限屆滿，攻擊者如同常見日劇劇情般，開始在網路上陸續公開部分客戶資訊，也威脅要對超過70家金融機構帳戶進行非法操作，再次暴露日本的諸多弊端。

漏洞七年前已暴露卻未修補

根據某FX專家所述，是次風暴在日本社群、專業技術圈引起轟動，其根本原因在於GMO暴露出的安全漏洞大得難以置信，而且GMO的負責人在事後還嬉皮笑臉。他表示，Onamae雲端服務有雙重致命傷。其一是權限隔離失效與管理帳號失竊，黑客聲稱取得了具有高權限的客服管理帳號，而該帳號竟然擁有直接管理大量客戶虛擬桌面的權限。在標準的雲端架構中，用戶/租戶之間應具備嚴格的沙盒隔離，但GMO直接允許客服持有一把能打開所有用戶大門的萬能鑰匙，然後鑰匙還被偷了；其二是用戶的硬件還有被連帶污染風險，雲端竟會將用戶自己家中電腦的硬碟直接傳至GMO雲端伺服器上，這意味着當雲端伺服器遭黑客控制後惡意程式可順着通道反向入侵，彷彿張開雙手歡迎黑客讀取乃至寫入用戶個人電腦的檔案，GMO引發了用戶端電腦有可能已被全數遭污染的巨大恐慌。

更令公眾難以接受的是，據業界人士爆料，此網安漏洞早在七年前就已有技術人員發現，但GMO卻長年置之不理，事件爆發後甚至出現因業務繁忙導致對策延誤等藉口。繼樂天AI被爆蒸餾DeepSeek後，Onamae雲端漏洞再次摧毀日本使用者對日本政府的監管能力及IT巨頭的信任。最可笑的是，但凡問一個日本網安專家，他或她都能對朝鮮等國的黑客如何攻擊日本企業的案例侃侃而談，有專家向筆者表示「日本的IT企業起步雖早，卻未能與時俱進地修補網安漏洞。如今更有AI24小時全天候搜尋漏洞，看到這樣的肥羊不趁機撈一筆簡直說不過去；前幾天PHP出問題時，也是大量日本企業遭到波及，反觀中國使用PHP的企業就相對少多了。」

GMO創辦人燦笑自拍引爭議

社群平台上，不少憤怒的日本人喊出讓GMO倒閉算了。然而，這種情緒化的宣洩卻又顯得愚昧。專家表示，在當前的日本網路生態中，GMO是核心，GMO絕非僅僅是一家提供FX服務的公司，而是手握有日本國內約八成的域名管理市場，更是日本國稅手機支付、各大電商平台信用卡結算等金融支付基礎設施的核心幕後系統供應商。換言之，如果GMO全面癱瘓或倒閉，網站、電子郵件、電子商務、公共事業費用的線上支付等全面中斷。可見，日本網安防護低劣之餘，背後的運作網絡卻重要如斯，大眾自以為可以承受，實則無法承受其倒閉的代價。日本網友詛咒GMO倒閉，就如部分知情日本網友所形容一般，相當於在飛行員操作失誤後喊着要整架飛機一起墜毀，毫不理會依賴GMO的中小企後續的連鎖倒閉風險。而讓人無奈的是，無論「飛機」是否墜毀，「乘客」——也就是無辜的日本民眾都很可能要為這些網安漏洞的結果買單。

在如此嚴肅的國家級網安危機中，GMO創辦人兼CEO熊谷正壽在個人社群平台上發布自己在國際刑警組織前燦笑及自拍的動態，表示GMO不單與日本，還和國際司法機關諮詢。毫不意外，引來日本網友的口誅筆伐，認為這是對受害者心理的二次傷害，質疑他對危機嚴重程度的認知脫節。

如今，GMO選擇了絕不向黑客屈服的硬性立場，拒絕支付贖金（注：據悉黑客在最初要求約3.92億港元，後續改為約784萬港元）。理由是GMO無法確認支付後是否就不會影響到用戶。GMO隨後提出了包括每人約248港元的慰問金，針對個人資訊不幸被黑客貼出公開的客戶追加發放「特別慰問金」——上限最高約14.9萬港元並全額補償非法交易損失，也有免費提供六個月替代服務等補償方案，承諾全面拋棄舊架構重塑系統。然而，這些經濟補償並無法撫平客戶對本機電腦遭毒化及個人資料永無止境在暗網流傳的焦慮。

本次事件的影響力早已穿透商業層面，升級為日本國家安全與金融穩定議題。在金融市場方面，日本金融廳已接獲Goldenway Japan、OANDA證券、AvaTrade Japan、外為Finest、Dukascopy Japan等五家FX業者的受害通報以及被迫採取暫停交易與阻斷海外下單等緊急措施。適逢日本FX相關動畫《FX戰士久留美》正在熱播，有日本青年反饋自己看了該動畫後才以具體想像自己的FX帳號被人黑客胡亂操作的話會有怎樣的惡劣後果。

成為日本網安新法實施後第一案

在國家安全維度，國民民主黨代表玉木雄一郎直言此類攻擊具備準戰時體制的性質。GMO於10月24日向政府請求適用剛於2026年10月1日正式施行的《網路應對能力強化法》中的主動式網路防禦，因此GMO案一躍成為該法實施後的第一號適用案例。主動式網路防禦授權國家層級的安全機關在未經事先許可的情況下，追蹤、侵入並癱瘓攻擊者的網路基礎設施。本案例也將直接檢驗日本政府在面對金融級勒索攻擊時，是否具備主動反擊與跨國源頭打擊的能力，還是說跟以往一樣讓人失望。

進入AI時代，若企業還敢對長達數年的安全警告視若無睹，最終必將付出巨大的代價。日本政府在將網安事件提升至主動式網路防禦之國家安全高度的同時，理應建立更嚴格的數位基礎設施營運商網安審查與懲罰機制。本次Onamae雲端引起的危機及教訓，包括但不限於允許安全薄弱的單一企業壟斷重要域名、交易功能等，都值得被包括香港社會在內的各方借鑑。

作者李冠儒博士是思哲研究所青年事務教育總監。

文章僅屬作者意見，不代表香港01立場。

01專欄精選不同範疇專家，豐富公共輿論場域，鼓勵更多維度思考。