GMO oferece recompensa de 1 milhão de dólares pelos atacantes da sua cloud de trading FX

O grupo japonês GMO Internet recusou um pedido de extorsão de dezenas de milhões de dólares e oferece, em vez disso, até 1 milhão de dólares a quem fornecer informação que leve à detenção de quem invadiu o seu serviço Onamae.com Desktop Cloud. O programa de recompensas abriu a 28 de outubro de 2026 e dura um ano, ou até que uma detenção ou um mandado internacional de captura encerre o caso.

O que aconteceu

O Onamae.com Desktop Cloud aluga desktops Windows alojados, usados sobretudo por traders de retalho no mercado cambial para manter plataformas como o MetaTrader 4 e 5 a correr sem interrupções. A 20 de outubro, a GMO Internet, a subsidiária que opera o serviço, descobriu que um terceiro tinha instalado programas maliciosos nos servidores virtuais de alguns clientes. Desligou todos os servidores de todos os planos a partir de 21 de outubro e conta atualmente 26.739 servidores como potencialmente afetados. Esse número é a frota inteira, não uma contagem de intrusões confirmadas.

Até 24 de outubro a empresa tinha confirmado três coisas: uma falha de segurança no serviço, acesso não autorizado ao mesmo e a exfiltração de informação de clientes. Tudo o que um cliente tivesse guardado no desktop alojado pode ter sido lido, incluindo credenciais de corretoras armazenadas no software de trading. Os dados de cartões de pagamento nunca estiveram nesses servidores.

As consequências apareceram depressa nas corretoras. A partir de 21 de outubro, os traders começaram a reportar operações que não tinham feito. Uma corretora japonesa confirmou que um terceiro entrou em algumas contas de clientes com credenciais que acredita terem vindo dos servidores da GMO e executou operações, e restringiu a negociação nas contas que possam estar afetadas. Uma segunda corretora avisou os clientes a 22 de outubro de que as suas credenciais poderiam ter sido roubadas da mesma forma e pediu-lhes que redefinissem as palavras-passe a partir de um dispositivo que nunca se tivesse ligado ao desktop alojado.

A tentativa de extorsão

A 21 de outubro a empresa recebeu um pedido de cerca de 50 milhões de dólares, perto de 8 mil milhões de ienes, de um grupo que acredita ser o autor da intrusão. Os atacantes ameaçaram continuar a manipular contas em mais de 70 corretoras de valores e FX, publicar dados sobre o serviço e os seus clientes, lançar ransomware nos PCs dos clientes e expor detalhes dos sistemas internos da GMO.

A GMO recusou. O grupo fixou o meio-dia de 27 de outubro como prazo. Nesse dia não foi confirmada qualquer vaga de ransomware, e o material que apareceu no site de fugas do grupo foi descrito como a informação pessoal de um único cliente. O site e os seus espelhos ficaram inativos por volta das 4 da manhã, hora do Japão, de 28 de outubro, e a GMO diz que irá atuar contra qualquer site substituto. Avisou ainda que o site de fugas recolhia dados de todos os visitantes e pediu ao público que não o visitasse, não o ligasse e não republicasse nada dali.

Como os atacantes entraram

A GMO ainda não explicou como começou a intrusão. O presidente do grupo escreveu a 25 de outubro que a sua própria equipa de hackers éticos tinha alertado com antecedência para problemas no serviço, e que a resposta não foi nem suficientemente rápida nem suficientemente completa. Os atacantes, por seu lado, afirmam que uma única conta de administrador era partilhada por todos os servidores e que as unidades locais dos PCs dos clientes ficavam expostas por defeito aos desktops alojados. Dizem também ter usado uma falha do serviço para chegar aos computadores dos próprios clientes. A GMO não confirmou publicamente nenhuma destas afirmações.

Os PCs de clientes entregues para análise não apresentavam malware, ransomware incluído, até à manhã de 27 de outubro. A GMO sublinha que isso não significa que todos os dispositivos estejam limpos, e o trabalho forense continua.

Como funciona a recompensa

O programa, chamado GMO Cybercrime Bounty, aceita denúncias por e-mail em japonês, inglês ou chinês, de forma anónima se o denunciante preferir. A GMO procura provas que liguem pessoas, servidores, domínios, endereços IP, contas ou carteiras de criptomoedas à intrusão, à extorsão ou à movimentação do dinheiro. Especulações, acusações sem fundamento e republicações de material público não contam.

O pagamento só é feito se uma denúncia contribuir para uma detenção, incluindo por polícias fora do Japão, ou para um mandado internacional como uma Notificação Vermelha da Interpol. A GMO decide quanto cada denúncia contribuiu, pelo que uma única pessoa pode receber o valor total ou o montante pode ser dividido. Os denunciantes têm de verificar a identidade antes de receber. Ficam excluídos quem participou no crime, quem obteve informação de forma ilegal, por exemplo comprando dados roubados, e os funcionários da GMO. A empresa diz expressamente aos denunciantes que não invadam ninguém, que não negoceiem com os atacantes nem lhes paguem, e que não lhe enviem dados roubados, credenciais ou malware. As denúncias são partilhadas com as autoridades no Japão e no estrangeiro.

A GMO acrescenta que nunca pedirá aos denunciantes palavras-passe, códigos de utilização única ou taxas, e que escreve apenas a partir do domínio de e-mail dedicado ao programa. É de esperar que impostores tentem explorar isso.

O que os clientes afetados devem fazer

• Alterar as palavras-passe das contas e plataformas de trading a partir de um dispositivo nunca usado para negociar, como um telemóvel.
• Terminar todas as sessões ativas, através da corretora se necessário, mesmo depois de mudar a palavra-passe.
• Rever o histórico de operações e os saldos, e reportar operações desconhecidas primeiro à corretora.
• Ativar a autenticação de dois fatores sempre que a corretora a disponibilize.
• Trocar qualquer palavra-passe reutilizada noutros serviços ou guardada num browser do desktop alojado.
• Executar uma análise antivírus completa em todos os dispositivos que se ligaram ao serviço e fazer cópia de segurança dos dados.
• Ignorar mensagens de quem afirme ser o atacante e não abrir as suas ligações ou anexos.
• Tratar qualquer oferta de recuperação de fundos perdidos mediante uma taxa como uma burla.

A GMO Internet vai pagar 5.000 ienes a cada utilizador atual, cobrir as perdas e comissões reais de operações que confirme como não autorizadas e causadas pela violação, e pagar entre 10.000 e 25.000 ienes por cada categoria de dados pessoais que confirme ter sido publicada. Não voltará a ligar os sistemas comprometidos tal como estão. Aos clientes que continuem a precisar de um desktop Windows alojado será oferecida a migração para um serviço separado, gratuito durante seis meses e apenas com o seu consentimento, com detalhes prometidos até 30 de outubro. A empresa disse que ainda não consegue confirmar quantos clientes a compensação irá abranger, quantos dados foram publicados ou que operações se qualificam.

Porque é que isto importa

Este incidente lembra que um desktop alojado é tão seguro quanto a plataforma em que corre. Um trader pode fazer tudo bem junto da corretora e, ainda assim, perder o controlo da conta porque as credenciais estavam num ficheiro de configuração no servidor de outra pessoa. Para as corretoras, o ataque chegou sob a forma de logins válidos a partir de sessões de aspeto legítimo, e foi por isso que o primeiro sinal veio de clientes que repararam em operações que nunca fizeram.

Conjuntos de credenciais roubadas como estes raramente ficam com os ladrões originais. São vendidos, trocados e reutilizados muito depois de as manchetes desaparecerem. O nosso serviço de monitorização da Deep/Dark Web acompanha fóruns criminosos e sites de fugas precisamente à procura deste tipo de dados, para que uma organização saiba que as credenciais dos seus utilizadores ou colaboradores estão a circular antes que alguém as use.