GMO Internet a rejeté une demande de rançon de 50 millions de dollars émanant de hackers qui se sont introduits dans son service Onamae.com Desktop Cloud, a écrit le directeur général du groupe Masatoshi Kumagai le 26 octobre. Dans un article de blog publié pour la première fois le 25 octobre et mis à jour le lendemain, le dirigeant a confirmé qu'aucune des exigences de l'attaquant n'a été satisfaite et qu'aucun paiement n'a été effectué.

Jusqu'à 26 739 serveurs pourraient être touchés par la violation, et certains clients ont signalé avoir vu des transactions non autorisées passées via leurs comptes de courtage.

Jusqu'à 26 739 serveurs Onamae.com pourraient être touchés

Onamae.com Desktop Cloud fait tourner des logiciels de courtage tels que MetaTrader 4 et MetaTrader 5 sur les serveurs des clients. Selon GMO, un attaquant a exploité une faille de sécurité, a implanté un logiciel malveillant dans certains environnements clients et a volé des données clients.

Le problème est apparu pour la première fois le 19 octobre, lorsqu'un client a posé une question. Un logiciel malveillant a été détecté le lendemain, et GMO a commencé à fermer l'ensemble des offres à partir de 19 h 00 UTC le 20 octobre.

L'entreprise a souligné que le chiffre de 26 739 correspond au nombre de serveurs potentiellement touchés, et non aux intrusions vérifiées. Certains clients ont signalé des transactions passées sans autorisation via des outils exécutés sur le service. Ce détail explique l'ampleur de l'incident : comme GMO hébergeait les outils de trading, une compromission au niveau du fournisseur pouvait se répercuter directement sur les comptes de courtage des clients.

Des hackers éthiques internes avaient déjà signalé des problèmes de sécurité concernant le service. Kumagai a reconnu que la réponse de l'entreprise manquait de profondeur et de rapidité, et que l'attaquant est passé par cette brèche.

L'action de GMO Internet Group a perdu près de 16 % lundi, tombant à son plus bas niveau depuis quatre mois. L'entreprise a indiqué ne pas encore pouvoir quantifier l'impact sur ses résultats des paiements de bonne volonté et des indemnisations pour pertes.

L'attaquant a menacé des comptes dans plus de 70 sociétés de bourse et de change

L'article de blog détaille les menaces de l'attaquant. La liste commence par d'autres ordres frauduleux sur des comptes clients de plus de 70 sociétés de bourse et de change au Japon et à l'étranger. L'attaquant a également menacé de divulguer des données provenant des PC clients connectés, de déployer un rançongiciel et de publier des détails internes des systèmes de GMO. Il s'agissait de menaces, et non d'activités confirmées dans les plus de 70 sociétés concernées.

Un document de rançon horodaté 11 h 57 le 21 octobre exigeait 50 millions de dollars, soit environ 8 milliards de yens. La note demandait un paiement en Bitcoin ou en Ether avant 17 h 00, heure du, ce jour-là, et indiquait que la filiale d'échange de cryptomonnaies de GMO pourrait payer immédiatement.

GMO a déclaré qu'un paiement ne garantirait pas que les données volées ne soient pas utilisées à mauvais escient. L'entreprise collabore avec la police et d'autres autorités sur cette affaire.

Kumagai a écarté les critiques selon lesquelles le paiement forfaitaire de 5 000 yens de bonne volonté à tous les clients visait à clore le dossier. Ce n'était qu'une première étape, a-t-il déclaré.

GMO Internet vérifiera et indemnisera les pertes liées aux transactions frauduleuses en rapport avec la violation. Si une bourse refuse un remboursement, l'entreprise paie elle-même la totalité des pertes éligibles.

Le groupe s'est également engagé à fournir un environnement de remplacement gratuit pendant six mois, à reconstruire sa base système et à faire réaliser une revue externe de la cause profonde. GMO Cyber Security by Ierae et GMO Flatt Security participent à la défense et à l'analyse des journaux avec environ 200 spécialistes de la sécurité, dont d'anciens membres d'Interpol. GMO a également entamé des demandes de divulgation judiciaire pour retrouver les attaquants.

Une « attaque de saturation cyber par IA »

Kumagai a qualifié cette attaque de symbole d'une « attaque de saturation cyber par IA », dans laquelle des outils d'IA peu coûteux permettent aux attaquants de submerger les défenseurs. GMO Cyber Security by Ierae a découvert qu'ARTEX, un outil autonome de test d'intrusion par IA conçu pour la défense, a été utilisé à mauvais escient lors d'attaques contre une vingtaine d'entreprises japonaises.

Il a également évoqué les récentes failles PHP, où les tentatives d'attaque automatisées ont atteint des millions en quelques heures. Selon Cryptopolitan, les deux failles PHP2Shell présentent un score de gravité de 9,2 sur 10, et PHP a publié des correctifs le 21 octobre. GMO n'a pas établi de lien entre sa propre violation et les failles PHP.

Le 24 octobre, Kumagai a demandé à Tokyo d'appliquer la loi japonaise sur la cyberdéfense active, entrée en vigueur le 1er octobre. GMO n'est pas un opérateur d'infrastructures critiques désigné au titre de cette loi, et il a reconnu que la décision revient au gouvernement.

La Première ministre Sanae Takaichi a déclaré lundi soir que le gouvernement prévoit un plan d'urgence de mesures de cybersécurité d'ici la semaine prochaine.

Pour les lecteurs qui suivent les conséquences de l'affaire, les questions en suspens sont celles que GMO et le gouvernement ont déjà inscrites au dossier : quels serveurs parmi les 26 739 potentiellement touchés sont confirmés comme compromis, ce que révélera la revue externe de la cause profonde, comment l'indemnisation des transactions frauduleuses sera réglée, et ce que contiendra le plan d'urgence de cybersécurité attendu la semaine prochaine.