亚洲网络攻击潮打的不是银行，而是券商租用的服务器

东京三鹰市一座带弧形金属外立面、无窗的白色数据中心大楼及其前方街道 — 东京三鹰的NTT Data数据中心，2020年11月14日（示意资料照片，并非报道所涉机构的设施）图片: nakashi / Wikimedia Commons · CC BY-SA 2.0 · 已调整尺寸 · 来源

重要性

噪音是5000万美元的赎金和中午的最后通牒。信号是，攻击者10月27日公布的数据据称只属于1名客户，勒索软件并未得到证实。MetaQuotes则把入侵归因于第三方托管和VPS服务商，尤其是基于PHP的系统。日本有5家外汇机构受影响，韩国10月有19家金融机构受波及。薄弱环节不是银行核心系统，而是传递交易指令的外包层。

影响

GMO表示可能有26,739台服务器受影响；财务大臣片山10月27日宣布，已有5家外汇机构向日本金融厅报告客户受损。
韩国大信证券报告38,490名客户数据外泄；总统府10月28日与金融委员会官员召开紧急会议。金融委员会10月初统计的数字是16家机构、约10万起泄露。
FXTF已对其28万多个账户切断境外IP登录；GMO将在11月6日前公布赔偿申请办法。安全的代价，正由客户的访问自由来承担。

噪音

5000万美元赎金和中午的最后通牒说明了危机的规模

信号

薄弱环节不是交易平台，而是第三方托管和VPS层

信号与噪音 ›

地图：亚洲网络攻击潮打的不是银行，而是券商租用的服务器

噪音在赎金，信号在攻击的入口

针对GMO Internet的攻击，占据头条的是10月27日中午到期的最后期限，以及约5000万美元的赎金要求。公司拒绝支付，并于10月28日宣布，对能协助抓获攻击者的举报提供最高100万美元的奖励。攻击者10月27日公布的材料，据称只是1名客户的数据。GMO同日截至13:55并未证实遭到勒索软件攻击，截至11:59检查过的客户电脑中也没有发现恶意软件。

关键变量不是赎金，而是攻击从哪里进入。开发MT4和MT5交易平台的MetaQuotes于10月26日通知各券商，其平台和交易服务器均未被攻破。该公司把入侵归因于第三方托管和VPS服务商。VPS是一种租用的远程电脑，客户靠它让交易软件全天候运行。MetaQuotes特别指出，基于PHP的系统尤为脆弱。因此，GMO公布的26,739台服务器并不是已证实的入侵数量，而是处于风险之中的入口数量。

同一个漏洞，两个国家

10月28日，韩国大信证券、未来资产环球投资和加密货币交易所Bithumb分别报告，在不同的攻击中有客户数据外泄。大信证券有38,490名客户的姓名、电子邮箱和电话号码被泄露。韩国金融委员会10月初曾公布，这波攻击已波及包括银行在内的16家机构，造成约10万起数据泄露。韩国科学技术信息通信部和韩国互联网振兴院也提醒网站运营者，要防范无需登录即可在服务器上执行命令的PHP漏洞。

截至10月28日，没有证据表明两国的攻击出自同一攻击者。两者的共同点在于目标的类型：不是银行的核心系统，而是客户与市场之间那层单薄的外包环节。日本有300多万个活跃的个人外汇账户，其中一部分把交易软件放在向GMO这类服务商租用的远程桌面上运行。在韩国，泄露则在10月内从银行蔓延到券商、资产管理公司和加密货币交易所。

国家对关键基础设施的界定跟不上

日本于10月1日生效的主动网络防御法，授权政府瘫痪攻击中使用的服务器。但这部法律并非为应私营企业请求而启动所设计，GMO也不在受保护的关键基础设施运营者之列。首相高市早苗10月26日要求内阁在1周内拿出紧急对策方案。财务大臣片山皋月10月27日表示，已有5家外汇机构向金融厅报告客户受损，并称不能排除再次发生未经授权交易的可能。

在韩国，总统府10月28日由负责国家安全的第三副室长主持召开紧急会议。2国首都都把事件推到了金融监管机构与安全官僚体系的交汇处。约束在于：关键基础设施名单覆盖银行和交易所，但传递客户交易指令的租用服务器，往往并不在名单之内。攻击者瞄准的不是受保护的1家机构，而是无人保护的26,739个入口。

账单与行为

成本已经可以计量。GMO将向每位用户支付5,000日元；对数据被证实遭公开的客户，按信息类型每类支付10,000至25,000日元。实际交易损失的申请办法将在11月6日前公布。东京的FXTF已对其28万多个账户全面切断来自境外IP地址的登录。在Finance Magnates自10月21日以来审查的11家持牌机构中，FXTF是唯一按地区设置封锁的一家。OANDA Japan计划于11月27日关闭MT4服务。

这些举措有一个共同方向：用客户的访问自由来换取安全。短期内，这能守住交易量；SBI FX Trade社长10月27日表示交易量没有下降。中期来看，租用服务器层要么被纳入关键基础设施的定义，要么由券商自己收回到内部。究竟走哪条路，要看高市要求1周内拿出的方案内容，以及韩国金融委员会紧急会议后出台的规则。

概率

情景

情景	概率	触发因素	市场影响
H1扩散有限，监管收紧	55%	没有新的大规模数据公开，报告机构数量持平，两国政府公布把租用服务器层纳入监管的方案。	事件转化为赔偿和合规成本；访问限制长期化，但交易量得以保持。
H2蔓延到新的服务商	30%	在其他托管公司发现同样的PHP或VPS漏洞；日本受影响机构超过5家，韩国超过19家。	未经授权交易的损失扩大，机构转向按地区封锁访问，客户开始流失。
H3迅速平息	15%	GMO的悬赏促成逮捕，11月没有新的入侵报告。	议题迅速降温，对策方案力度有限，租用服务器层继续游离于定义之外。

模块A

约束矩阵

结构性均值 3.7 · 操作性均值 2.3结构性约束占主导：结果更多取决于这些限制，而非各方的偏好。

结构性约束持久 · 不以行为体意志为转移

游离于关键基础设施定义之外 · 日本
4/5
在日本的主动网络防御框架下，GMO不属于受保护的关键基础设施运营者；10月1日生效的法律并非为应私营企业请求而启动所设计。
普遍存在的PHP漏洞
4/5
MetaQuotes把入侵归因于基于PHP的第三方托管系统；韩国互联网振兴院也警告了同类漏洞，即无需登录即可执行命令。
攻击面广
3/5
GMO表示可能有26,739台服务器受影响；日本有300多万个活跃的个人外汇账户。

操作性摩擦暂时 · 随时间缓解

归因不明数周
3/5
截至10月28日，没有证据表明日韩两国的攻击出自同一攻击者；韩国3起新入侵的手法尚未公布。
赔偿时间表数日
2/5
GMO将在11月6日前公布实际交易损失的申请办法；在此之前，客户损失的规模仍不明朗。
访问限制让客户付出代价数周
2/5
FXTF已对28万多个账户切断境外IP登录；OANDA Japan计划于11月27日关闭MT4。

模块B

信号与噪音

信号 60% · 噪音 40%

噪音
5000万美元赎金和中午的最后通牒说明了危机的规模
攻击者10月27日公布的数据据称只属于1名客户；GMO截至13:55并未证实遭到勒索软件攻击，在检查过的电脑中也没有发现恶意软件。
Finance Magnates — Hackers Publish Alleged GMO Customer Data as Broker FXTF Shuts Out Overseas Logins
信号
薄弱环节不是交易平台，而是第三方托管和VPS层
MetaQuotes于10月26日表示，其平台和交易服务器均未被攻破，入侵来自第三方托管和VPS服务商，尤其是基于PHP的系统。
Finance Magnates — Hackers Publish Alleged GMO Customer Data as Broker FXTF Shuts Out Overseas Logins
信号
在韩国，攻击潮正从银行蔓延到券商和加密货币交易所
10月28日，大信证券、未来资产和Bithumb报告遭入侵；金融委员会10月初统计为16家机构、约10万起泄露，韩国互联网振兴院发出了PHP漏洞警告。
The Star (Reuters) — Three South Korean financial firms including Bithumb report data breaches, Yonhap says
噪音
客户没有出逃，交易量未受影响
SBI FX Trade社长10月27日表示交易量没有下降；但已有5家机构报告未经授权的交易，FXTF也对28万多个账户实施了地区封锁。
Finance Magnates — Hackers Publish Alleged GMO Customer Data as Broker FXTF Shuts Out Overseas Logins
信号
日本政府已把事件提上金融监管机构的议程
片山10月27日表示，5家外汇机构已向金融厅报告，且不能排除再次发生未经授权交易的可能；政府呼吁金融机构加强防御。
Bernama (Kyodo) — Japan's GMO Says Hacker Threatens To Disclose Customer Data At Noon

模块C

资产类别与配置影响

资产类别	敞口	传导渠道	H1	H2	预期	信心	期限	关注指标
股票	日韩个人券商	赔偿、合规成本和访问限制对客户基础的影响	−	−−	−1.15	●●●	0–3个月	GMO 11月6日的赔偿说明及11月财报
股票	网络安全与托管管理服务	紧急方案和券商带来的安全支出需求	+	++	+1.15	●●●	3–12个月	高市方案的预算项目及韩国金融委员会规则
信用	日韩金融机构的操作风险溢价	新的入侵报告和未经授权交易的损失	0	−	−0.30	●●●	0–3个月	向金融厅和金融委员会提交的新入侵报告数量

二阶效应

然后会怎样？

起点

GMO租用服务器业务遭入侵，已在5家外汇机构演变为未经授权的交易；韩国同一周又有3家金融机构报告遭入侵，两国的矛头都指向基于PHP的外部系统。

1
操作风险数日内
券商收紧访问：封锁境外IP、一次性密码、强制使用通行密钥、关闭MT4等措施，从FXTF和OANDA扩散到其他机构。
观察指标: 11月6日的赔偿说明，以及其他持牌外汇机构新发布的访问限制通知
2
监管数周内
东京和首尔的紧急方案，把租用服务器和VPS服务商纳入监管或报告义务；合规成本落到券商和托管公司身上。
观察指标: 高市紧急方案的内容，以及韩国金融委员会紧急会议后的规则
3
资本成本数月内
赔偿、合规和客户流失挤压小型券商的盈利；无法把外包基础设施收归内部的机构，将走向合并或退出市场。
观察指标: 11月财报中由网络事件造成的非常损失，以及券商合并公告

打断链条的条件

如果攻击手法只限于GMO，11月金融厅和金融委员会没有收到新的未经授权交易报告，且托管服务商迅速修补PHP漏洞，这条链条将在第一步就中断。

触发因素

关注阈值

指标	阈值	今日	含义
VIX波动率指数	> 20	16.91	全球波动率突破20会推高个人外汇交易量；在这种环境下，访问限制和泄露的登录信息会放大未经授权交易造成的损失。

来源

来源与核实规则：方法论 · 纠错反馈：联系