GMO Internet rechazó una demanda de rescate de 50 millones de dólares de hackers que irrumpieron en su servicio Onamae.com Desktop Cloud, escribió el 26 de octubre el CEO del grupo, Masatoshi Kumagai. En una entrada de blog publicada por primera vez el 25 de octubre y actualizada un día después, el directivo confirmó que no se atendió ninguna de las demandas del atacante y que no se pagó nada.

Hasta 26.739 servidores podrían verse afectados por la brecha, y algunos clientes reportaron haber visto operaciones no autorizadas realizadas a través de sus cuentas de corretaje.

Hasta 26.739 servidores de Onamae.com podrían estar afectados

Onamae.com Desktop Cloud ejecuta software de corretaje como MetaTrader 4 y MetaTrader 5 en los servidores de los clientes. Según GMO, un atacante explotó una falla de seguridad, instaló malware en algunos entornos de clientes y robó datos de clientes.

El problema salió a la luz por primera vez el 19 de octubre, cuando un cliente planteó una pregunta. Al día siguiente se detectó malware y GMO comenzó a cerrar todos los planes a partir de las 19:00 UTC del 20 de octubre.

La empresa subrayó que la cifra de 26.739 es un conteo de servidores potencialmente afectados, no de brechas verificadas. Algunos clientes reportaron operaciones realizadas sin permiso mediante herramientas ejecutándose en el servicio. Ese detalle explica el alcance del incidente: como GMO alojaba las herramientas de trading, un compromiso a nivel del proveedor podría reflejarse directamente en las cuentas de corretaje de los clientes.

Hackers éticos internos habían señalado de antemano problemas de seguridad con el servicio. Kumagai reconoció que la respuesta de la empresa careció de profundidad y rapidez, y que el atacante pasó por esa brecha.

Las acciones de GMO Internet Group cayeron casi un 16% el lunes, alcanzando un mínimo de cuatro meses. La empresa dijo que aún no podía cuantificar el impacto en las ganancias de los pagos de buena voluntad y la compensación por pérdidas.

El atacante amenazó cuentas en más de 70 firmas de valores y divisas

La entrada de blog enumera lo que el atacante amenazó. La lista comienza con más órdenes fraudulentas en cuentas de clientes en más de 70 firmas de valores y divisas en Japón y en el extranjero. El atacante también amenazó con filtrar datos de PC de clientes conectados, usar ransomware y publicar detalles internos de los sistemas de GMO. Esas fueron amenazas, no actividad confirmada en todas las más de 70 firmas.

Un documento de rescate con marca de tiempo de las 11:57 del 21 de octubre exigía 50 millones de dólares, unos 8.000 millones de yenes. La nota pedía el pago en Bitcoin o Ether antes de las 5 p.m., hora de Japón, de ese día, y decía que la filial de intercambio de criptomonedas de GMO podía pagar de inmediato.

GMO declaró que pagar no garantizaría que los datos robados no fueran utilizados indebidamente. La empresa está trabajando con la policía y otras autoridades en el asunto.

Kumagai rechazó las críticas de que un pago único de buena voluntad de 5.000 yenes a todos los clientes fuera un intento de cerrar el tema. Fue el primer paso, dijo.

GMO Internet verificará y compensará las pérdidas por operaciones fraudulentas relacionadas con la brecha. Si una casa de cambio se niega a reembolsar, la empresa paga por sí misma el monto total de las pérdidas elegibles.

El grupo también se comprometió a un entorno de reemplazo gratuito de seis meses, unastrucción de su base de sistemas y una revisión externa de la causa raíz. GMO Cyber Security by Ierae y GMO Flatt Security participan en la defensa y el análisis de registros con aproximadamente 200 empleados de seguridad, incluido personal que trabajó en Interpol. GMO también ha iniciado solicitudes de divulgación judicial para rastrear a los atacantes.

'Ataque de saturación cibernética con IA'

Kumagai calificó el ataque como un símbolo de un "ataque de saturación cibernética con IA", en el que herramientas de IA de bajo costo permiten a los atacantes superar a los defensores. GMO Cyber Security by Ierae descubrió que ARTEX, una herramienta autónoma de pruebas de penetración con IA creada para la defensa, fue utilizada indebidamente en ataques contra unas 20 empresas japonesas.

También mencionó las recientes fallas de PHP, en las que los intentos de ataque automatizados llegaron a millones en cuestión de horas. Según Cryptopolitan, los dos errores de PHP2Shell tienen una puntuación de severidad de 9,2 sobre 10, y PHP publicó correcciones el 21 de octubre. GMO no ha vinculado su propia brecha con las fallas de PHP.

El 24 de octubre, Kumagai pidió a Tokio aplicar la ley de Japón sobre ciberdefensa activa, que entró en vigencia el 1 de octubre. GMO no es un operador designado de infraestructura crítica bajo la ley, y reconoció que la decisión corresponde al gobierno.

La primera ministra Sanae Takaichi dijo el lunes por la noche que el gobierno planea un paquete de emergencia de medidas de ciberseguridad en algún momento de la próxima semana.

Para los lectores que siguen las consecuencias, las preguntas abiertas son las que GMO y el gobierno ya han dejado constancia: cuáles de los 26.739 servidores potencialmente afectados están confirmados como comprometidos, qué encontrará la revisión externa de la causa raíz, cómo se liquidará la compensación por operaciones fraudulentas y qué contendrá el paquete de emergencia de ciberseguridad esperado para la próxima semana.