GMO Internet hat eine Lösegeldforderung von 50 Millionen US-Dollar von Hackern abgelehnt, die in seinen Dienst Onamae.com Desktop Cloud eingedrungen waren. Dies schrieb Group CEO Masatoshi Kumagai am 26. Oktober. In einem Blogbeitrag, der erstmals am 25. Oktober veröffentlicht und einen Tag später aktualisiert wurde, bestätigte der Manager, dass keine der Forderungen des Angreifers erfüllt wurde und keine Zahlung geleistet wurde.

Bis zu 26.739 Server könnten von dem Vorfall betroffen sein, und einige Kunden berichteten, dass über ihre Brokerage-Konten unberechtigte Trades platziert wurden.

Bis zu 26.739 Onamae.com-Server könnten betroffen sein

Onamae.com Desktop Cloud betreibt Brokerage-Software wie MetaTrader 4 und MetaTrader 5 auf Kundenservern. Laut GMO nutzte ein Angreifer eine Sicherheitsschwachstelle aus, installierte Schadsoftware in einigen Kundenumgebungen und stahl Kundendaten.

Das Problem kam erstmals am 19. Oktober durch eine Kundenanfrage ans Licht. Am folgenden Tag wurde Schadsoftware entdeckt, und GMO begann am 20. Oktober ab 19:00 UTC mit der Abschaltung aller Tarife.

Das Unternehmen betonte, dass die Zahl von 26.739 die potenziell betroffenen Server zählt, nicht bestätigte Kompromittierungen. Einige Kunden meldeten Trades, die ohne Genehmigung über auf dem Dienst laufende Tools platziert worden waren. Dieses Detail zeigt die Reichweite des Vorfalls: Da GMO die Trading-Tools hostete, konnte sich eine Kompromittierung auf Anbieterebene unmittelbar in den Brokerage-Konten der Kunden niederschlagen.

Interne White-Hat-Hacker hatten zuvor auf Sicherheitsprobleme des Dienstes hingewiesen. Kumagai räumte ein, dass die Reaktion des Unternehmens an Tiefe und Geschwindigkeit mangelte, und der Angreifer die Lücke ausnutzte.

Die Aktie der GMO Internet Group verlor am Montag fast 16 % und fiel auf ein Viermonatstief. Das Unternehmen erklärte, die Auswirkungen der Kulanzzahlungen und Schadensersatzleistungen auf das Ergebnis noch nicht beziffern zu können.

Angreifer drohte mit Konten bei über 70 Wertpapier- und Devisenfirmen

Der Blogbeitrag listet auf, was der Angreifer angedroht hat. Die Liste beginnt mit weiteren betrügerischen Orders auf Kundenkonten bei mehr als 70 Wertpapier- und Devisenfirmen in Japan und im Ausland. Der Angreifer drohte zudem damit, Daten von vernetzten Kunden-PCs zu veröffentlichen, Ransomware einzusetzen und interne Details von GMOs Systemen offenzulegen. Dies waren Drohungen, keine bestätigten Aktivitäten bei allen über 70 Firmen.

Ein mit 11:57 Uhr am 21. Oktober gestempeltes Lösegeldschreiben forderte 50 Millionen US-Dollar, etwa 8 Milliarden Yen. Das Schreiben verlangte eine Zahlung in Bitcoin oder Ether bis 17:00 Uhrischer Zeit an jenem Tag und erklärte, GMOs Krypto-Börsentochter könne sofort zahlen.

GMO erklärte, dass eine Zahlung nicht garantieren könne, dass die gestohlenen Daten nicht missbraucht würden. Das Unternehmen arbeitet mit der Polizei und anderen Behörden an dem Fall.

Kumagai wies die Kritik zurück, dass eine pauschale Kulanzzahlung von 5.000 Yen an alle Kunden der Versuch sei, die Angelegenheit zu einem Abschluss zu bringen. Es sei der erste Schritt gewesen, sagte er.

GMO Internet wird im Zusammenhang mit dem Vorfall entstandene betrügerische Handelsschäden prüfen und erstatten. Lehnt eine Börse eine Rückerstattung ab, zahlt das Unternehmen den vollen Betrag der berechtigten Verluste selbst.

Der Konzern kündigte zudem eine sechsmal kostenlose Ersatzumgebung über sechs Monate an, eine Neugestaltung seiner Systembasis und eine externe Untersuchung der Ursache. GMO Cyber Security by Ierae und GMO Flatt Security sind mit rund 200 Sicherheitsmitarbeitern, darunter ehemalige Interpol-Kräfte, in Verteidigung und Log-Analyse eingebunden. GMO hat außerdem gerichtliche Herausgabeanträge eingeleitet, um die Angreifer aufzuspüren.

„AI Cyber Saturation Attack“

Kumagai nannte den Angriff ein Symbol einer „AI Cyber Saturation Attack“, bei der kostengünstige KI-Tools es Angreifern ermöglichen, Verteidiger zu überwältigen. GMO Cyber Security by Ierae stellte fest, dass ARTEX, ein autonomes KI-Penetrationstesting-Tool, das für die Verteidigung entwickelt wurde, bei Angriffen auf rund 20 japanische Unternehmen missbraucht wurde.

Er verwies auch auf die kürzlichen PHP-Schwachstellen, bei denen automatisierte Angriffsversuche in Stunden auf Millionen anstiegen. Laut Cryptopolitan erreichen die beiden PHP2Shell-Schwachstellen einen Severity-Score von 9,2 von 10, und PHP veröffentlichte am 21. Oktober Korrekturen. GMO hat den eigenen Vorfall nicht mit den PHP-Schwachstellen in Verbindung gebracht.

Am 24. Oktober forderte Kumagai Tokio auf, Japans Gesetz zur aktiven Cyberabwehr anzuwenden, das am 1. Oktober in Kraft trat. GMO ist nach dem Gesetz kein ausgewiesener Betreiber kritischer Infrastruktur, und er räumte ein, dass die Entscheidung bei der Regierung liegt.

Premierministerin Sanae Takaichi erklärte am Montagabend, die Regierung plane ein Sofortpaket mit Cybersicherheitsmaßnahmen bis irgendwann in der nächsten Woche.

Für Leser, die die Folgen verfolgen, sind die offenen Fragen jene, die GMO und die Regierung bereits dokumentiert haben: welche der 26.739 potenziell betroffenen Server nachweislich kompromittiert sind, was die externe Ursachenanalyse ergibt, wie die Entschädigung für betrügerische Trades geregelt wird und was das für die nächste Woche erwartete Cybersicherheits-Sofortpaket enthält.