GMO Internet ha respinto una richiesta di riscatto di 50 milioni di dollari da parte di hacker che sono entrati nel suo servizio Onamae.com Desktop Cloud, come ha scritto il Group CEO Masatoshi Kumagai il 26 ottobre. In un post sul blog pubblicato per la prima volta il 25 ottobre e aggiornato un giorno dopo, il dirigente ha confermato che nessuna delle richieste dell'attaccante è stata soddisfatta e che non è stato pagato nulla.

Fino a 26.739 server potrebbero essere interessati dalla violazione, e alcuni clienti hanno segnalato di aver visto operazioni non autorizzate effettuate tramite i propri conti di trading.

Fino a 26.739 server di Onamae.com potrebbero essere interessati

Onamae.com Desktop Cloud esegue software di brokerage come MetaTrader 4 e MetaTrader 5 sui server dei clienti. Secondo GMO, un attaccante ha sfruttato una vulnerabilità di sicurezza, ha installato malware in alcuni ambienti clienti e ha rubato dati dei clienti.

La questione è emersa per la prima volta il 19 ottobre, quando un cliente ha sollevato una domanda. Il malware è stato rilevato il giorno successivo, e GMO ha iniziato a spegnere tutti i piani dalle 19:00 UTC del 20 ottobre.

La società ha sottolineato che la cifra di 26.739 è un conteggio dei server potenzialmente coinvolti, non delle violazioni verificate. Alcuni clienti hanno segnalato operazioni effettuate senza autorizzazione tramite strumenti in esecuzione sul servizio. Questo dettaglio spiega l'portata dell'incidente: poiché GMO ospitava gli strumenti di trading, una compromissione a livello di fornitore poteva manifestarsi direttamente nei conti di trading dei clienti.

Hackers white-hat interni avevano segnalato in anticipo problemi di sicurezza del servizio. Kumagai ha riconosciuto che la risposta dell'azienda è stata carente in profondità e rapidità, e l'attaccante è passato attraverso quella falla.

Le azioni di GMO Internet Group hanno perso quasi il 16% lunedì, scendendo al minimo di quattro mesi. La società ha detto di non poter ancora quantificare l'impatto sugli utili dei pagamenti di buona volontà e del risarcimento delle perdite.

L'attaccante ha minacciato conti presso oltre 70 società di brokeraggio e FX

Il post sul blog elenca ciò che l'attaccante ha minacciato. L'elenco inizia con ulteriori ordini fraudolenti sui conti dei clienti presso più di 70 società di intermediazione finanziaria e cambi esteri in Giappone e all'estero. L'attaccante ha anche minacciato di divulgare dati dai PC dei clienti collegati, di utilizzare ransomware e di pubblicare dettagli interni dei sistemi di GMO. Si trattava di mince, non di attività confermate presso tutte le oltre 70 società.

Un documento di riscatto con timbro delle 11:57 del 21 ottobre richiedeva 50 milioni di dollari, circa 8 miliardi di yen. La nota chiedeva il pagamento in Bitcoin o Ether entro le 17:00 ora del Giappone quel giorno e affermava che la controllata di scambio cripto di GMO poteva pagare immediatamente.

GMO ha dichiarato che pagare non avrebbe garantito che i dati rubati non sarebbero stati usati impropriamente. La società sta collaborando con la polizia e le altre autorità sulla questione.

Kumagai ha respinto le critiche secondo cui un pagamento forfettario di buona volontà di 5.000 yen a tutti i clienti fosse un tentativo di chiudere la questione. Era il primo passo, ha detto.

GMO Internet verificherà e compenserà le perdite da operazioni fraudolente legate alla violazione. Se uno scambio rifiuta un rimborso, la società paga l'intero ammontare delle perdite idonee.

Il gruppo si è inoltre impegnato a fornire un ambiente sostitutivo gratuito di sei mesi, alla ricostruzione della propria base di sistemi e a una revisione esterna della causa principale. GMO Cyber Security by Ierae e GMO Flatt Security sono coinvolte nella difesa e nell'analisi dei log con circa 200 addetti alla sicurezza, inclusi ex membri di Interpol. GMO ha inoltre avviato richieste di divulgazione giudiziaria per rintracciare gli attaccanti.

"Attacco di saturazione informatica basato sull'AI"

Kumagai ha definito l'attacco un simbolo di un "attacco di saturazione informatica basato sull'AI", in cui strumenti di AI a basso costo consentono agli attaccanti di sopraffare i difensori. GMO Cyber Security by Ierae ha scoperto che ARTEX, uno strumento autonomo di penetration testing basato su AI sviluppato per la difesa, è stato utilizzato impropriamente in attacchi contro circa 20 aziende giapponesi.

Ha inoltre menzionato le recenti vulnerabilità PHP, in cui i tentativi di attacco automatizzati sono arrivati a milioni in poche ore. Secondo Cryptopolitan, le due vulnerabilità PHP2Shell hanno un punteggio di gravità di 9,2 su 10, e PHP ha rilasciato le correzioni il 21 ottobre. GMO non ha collegato la propria violazione alle vulnerabilità PHP.

Il 24 ottobre, Kumagai ha chiesto a Tokyo di applicare la legge giapponese sulla difesa informatica attiva, entrata in vigore il 1° ottobre. GMO non è un operatore di infrastrutture critiche designato ai sensi della legge, e ha riconosciuto che la decisione spetta al governo.

La Primer Ministra Sanae Takaichi ha detto lunedì sera che il governo prevede di presentare un pacchetto d'emergenza di misure di sicurezza informatica entro la prossima settimana.

Per i lettori che seguono le conseguenze, le domande aperte sono quelle che GMO e il governo hanno già messo agli atti: quali dei 26.739 server potenzialmente coinvolti sono confermati come compromessi, cosa rivelerà la revisione esterna della causa principale, come verrà regolato il risarcimento per le operazioni fraudolente e cosa conterrà il pacchetto d'emergenza di sicurezza informatica atteso entro la prossima settimana.