GMO pune o recompensă de 1 milion de dolari pe capul atacatorilor din spatele breșei la cloud-ul de tranzacționare FX

Grupul japonez GMO Internet a refuzat o cerere de răscumpărare de zeci de milioane de dolari și oferă în schimb până la 1 milion de dolari oricui aduce informații care duc la arestarea celor care au pătruns în serviciul său Onamae.com Desktop Cloud. Programul de recompense a fost deschis pe 28 octombrie 2026 și durează un an, sau până când o arestare ori un mandat internațional de urmărire închide cazul.

Ce s-a întâmplat

Onamae.com Desktop Cloud închiriază desktopuri Windows găzduite, folosite în principal de traderi de retail pe piața valutară pentru a ține platforme precum MetaTrader 4 și 5 pornite non-stop. Pe 20 octombrie, GMO Internet, subsidiara care operează serviciul, a descoperit că o terță parte instalase programe malițioase pe serverele virtuale ale unor clienți. A oprit toate serverele, pe toate planurile, începând cu 21 octombrie, și numără în prezent 26.739 de servere potențial afectate. Cifra reprezintă întreaga flotă, nu numărul intruziunilor confirmate.

Până pe 24 octombrie compania confirmase trei lucruri: o vulnerabilitate în serviciu, acces neautorizat la acesta și exfiltrarea de informații despre clienți. Orice salvase un client pe desktopul găzduit ar fi putut fi citit, inclusiv datele de autentificare la brokeri stocate în software-ul de tranzacționare. Datele cardurilor de plată nu au fost niciodată păstrate pe acele servere.

Consecințele au apărut rapid la brokeri. Din 21 octombrie, traderii au început să raporteze tranzacții pe care nu le făcuseră. Un broker japonez a confirmat că o terță parte s-a autentificat în conturile unor clienți cu credențiale despre care crede că provin de pe serverele GMO și a executat tranzacții, iar brokerul a restricționat tranzacționarea pe conturile care ar putea fi afectate. Un al doilea broker și-a avertizat clienții pe 22 octombrie că datele lor de autentificare ar fi putut fi furate în același mod și le-a cerut să își reseteze parolele de pe un dispozitiv care nu s-a conectat niciodată la desktopul găzduit.

Tentativa de extorcare

Pe 21 octombrie compania a primit o cerere de aproximativ 50 de milioane de dolari, în jur de 8 miliarde de yeni, de la un grup despre care crede că a comis intruziunea. Atacatorii au amenințat că vor continua să manipuleze conturi la peste 70 de firme de brokeraj și FX, că vor publica date despre serviciu și despre clienții săi, că vor lansa ransomware pe PC-urile clienților și că vor expune detalii despre sistemele interne GMO.

GMO a refuzat. Grupul a fixat termenul la prânz, pe 27 octombrie. În acea zi nu a fost confirmat niciun val de ransomware, iar materialul apărut pe site-ul de scurgeri al grupului a fost descris ca fiind datele personale ale unui singur client. Site-ul și oglinzile sale au fost închise în jurul orei 4 dimineața, ora Japoniei, pe 28 octombrie, iar GMO spune că va acționa împotriva oricărui site înlocuitor. Compania a avertizat și că site-ul de scurgeri colecta date despre toți vizitatorii și a cerut publicului să nu îl viziteze, să nu îl distribuie și să nu republice nimic de acolo.

Cum au intrat atacatorii

GMO nu a spus încă de unde a pornit intruziunea. Președintele grupului a scris pe 25 octombrie că echipa internă de white-hat semnalase din timp probleme la serviciu și că răspunsul nu a fost nici suficient de rapid, nici suficient de amănunțit. Atacatorii, la rândul lor, susțin că un singur cont de administrator era partajat pe toate serverele și că unitățile locale ale PC-urilor clienților erau expuse implicit către desktopurile găzduite. Mai susțin că au folosit o vulnerabilitate a serviciului pentru a ajunge la calculatoarele proprii ale clienților. Niciuna dintre aceste afirmații nu a fost confirmată public de GMO.

PC-urile clienților predate pentru analiză nu prezentau malware, inclusiv ransomware, până în dimineața zilei de 27 octombrie. GMO precizează că asta nu înseamnă că fiecare dispozitiv este curat, iar analiza criminalistică continuă.

Cum funcționează recompensa

Programul, numit GMO Cybercrime Bounty, acceptă informații prin e-mail în japoneză, engleză sau chineză, anonim dacă informatorul preferă. GMO caută dovezi care leagă persoane, servere, domenii, adrese IP, conturi sau portofele de criptomonede de intruziune, de extorcare sau de mișcarea banilor. Speculațiile, acuzațiile nefondate și republicarea materialelor publice nu contează.

Plata se face doar dacă o informație contribuie la o arestare, inclusiv de către poliția din afara Japoniei, sau la un mandat internațional precum o Notificare Roșie Interpol. GMO decide cât a contribuit fiecare informație, astfel că o singură persoană poate lua întreaga sumă sau fondul poate fi împărțit. Informatorii trebuie să își verifice identitatea înainte de plată. Sunt excluși cei implicați în infracțiune, cei care au obținut informații ilegal, de exemplu cumpărând date scurse, și angajații GMO. Compania le spune explicit informatorilor să nu spargă niciun sistem, să nu negocieze cu atacatorii și să nu îi plătească, și să nu îi trimită date scurse, credențiale sau malware. Informațiile sunt transmise autorităților din Japonia și din străinătate.

GMO adaugă că nu va cere niciodată informatorilor parole, coduri de unică folosință sau taxe și că scrie exclusiv de pe domeniul de e-mail dedicat programului. Este de așteptat ca impostorii să încerce să profite de asta.

Ce ar trebui să facă clienții afectați

• Schimbați parolele conturilor și platformelor de tranzacționare de pe un dispozitiv care nu a fost folosit niciodată la tranzacționare, de exemplu un telefon.
• Închideți toate sesiunile active, prin broker dacă este nevoie, chiar și după schimbarea parolei.
• Verificați istoricul tranzacțiilor și soldurile și raportați tranzacțiile necunoscute mai întâi brokerului.
• Activați autentificarea în doi pași oriunde brokerul o oferă.
• Schimbați orice parolă refolosită în altă parte sau salvată în browserul de pe desktopul găzduit.
• Rulați o scanare antivirus completă pe fiecare dispozitiv care s-a conectat la serviciu și faceți backup datelor.
• Ignorați mesajele de la oricine pretinde că este atacatorul și nu deschideți linkurile sau atașamentele lor.
• Tratați orice ofertă de recuperare a banilor pierduți contra unei taxe ca pe o înșelătorie.

GMO Internet va plăti fiecărui utilizator actual 5.000 de yeni, va acoperi pierderile și comisioanele reale din tranzacțiile confirmate ca neautorizate și cauzate de breșă și va plăti între 10.000 și 25.000 de yeni pentru fiecare categorie de date personale confirmată ca publicată. Nu va repune în funcțiune sistemele compromise în starea lor actuală. Clienților care mai au nevoie de un desktop Windows găzduit li se va oferi migrarea către un serviciu separat, gratuit șase luni și doar cu acordul lor, cu detalii promise până pe 30 octombrie. Compania a spus că nu poate confirma încă pentru câți clienți va plăti despăgubiri, câte date au fost publicate sau ce tranzacții se califică.

De ce contează

Incidentul reamintește că un desktop găzduit este exact atât de sigur cât platforma pe care rulează. Un trader poate face totul corect la broker și tot poate pierde controlul contului, pentru că datele de autentificare stăteau într-un fișier de configurare pe serverul altcuiva. Pentru brokeri, atacul a venit sub forma unor autentificări valide din sesiuni aparent legitime, motiv pentru care primul semnal a venit de la clienții care au observat tranzacții pe care nu le făcuseră.

Seturile de credențiale furate rareori rămân la hoții inițiali. Sunt vândute, schimbate și refolosite mult după ce titlurile din presă dispar. Serviciul nostru de monitorizare Deep/Dark Web urmărește forumurile infracționale și site-urile de scurgeri exact pentru acest tip de date, astfel încât o organizație să afle că datele de autentificare ale utilizatorilor sau angajaților săi circulă înainte ca altcineva să le folosească.