GMO Internet heeft een losgeld-eis van 50 miljoen dollar afgewezen van hackers die waren binnengedrongen in de Onamae.com Desktop Cloud-service, schreef group CEO Masatoshi Kumagai op 26 oktober. In een blogpost die op 25 oktober voor het eerst werd gepubliceerd en een dag later werd bijgewerkt, bevestigde de bestuurder dat aan geen enkele eis van de aanvaller was voldaan en dat er niet is betaald.

Mogelijk zijn tot 26.739 servers getroffen door de inbreuk, en sommige klanten meldden onbevoegde transacties te hebben gezien via hun beleggingsrekeningen.

Tot 26.739 Onamae.com-servers mogelijk getroffen

Onamae.com Desktop Cloud draait beleggingssoftware zoals MetaTrader 4 en MetaTrader 5 op klantservers. Volgens GMO misbruikte een aanvaller een beveiligingsfout, plaatste malware in sommige klantomgevingen en staal klantgegevens.

Het probleem kwam voor het eerst aan het licht op 19 oktober, toen een klant een vraag stelde. Malware werd de volgende dag ontdekt, en GMO begon op 20 oktober vanaf 19:00 UTC alle diensten stil te leggen.

Het bedrijf benadrukte dat het cijfer van 26.739 een telling is van mogelijk getroffen servers, niet van bevestigde inbreuken. Sommige klanten meldden transacties zonder toestemming via tools die op de service draaiden. Dit detail verklaart de reikwijdte van het incident: doordat GMO de handelstools hostte, kon een compromittering op providerniveau direct zichtbaar worden in de beleggingsrekeningen van klanten.

Interne white-hat hackers hadden vooraf al gewaarschuwd voor beveiligingsproblemen met de service. Kumagai gaf toe dat de reactie van het bedrijf aan diepgang en snelheid ontbrak, en dat de aanvaller door die opening heen kwam.

De aandelen van GMO Internet Group daalden maandag bijna 16%, naar het laagste niveau in vier maanden. Het bedrijf zei de impact op winst van de goodwillbetalingen en de compensatie voor verliezen nog niet te kunnen kwantificeren.

Aanvaller bedreigde rekeningen bij meer dan 70 effecten- en forexbedrijven

De blogpost somt op wat de aanvaller bedreigde. De lijst begint met verdere frauduleuze orders op klantrekeningen bij meer dan 70 effecten- en valutabedrijven in Japan en daarbuiten. De aanvaller dreigde ook gegevens van verbonden klant-pc's te lekken, ransomware in te zetten en interne details van GMO's systemen te publiceren. Dat waren dreigementen, geen bevestigde activiteit bij alle meer dan 70 bedrijven.

Een losgelddocument, gestempeld om 11:57 op 21 oktober, eiste 50 miljoen dollar, ongeveer 8 miljard yen. Het bericht vroeg om betaling in Bitcoin of Ether uiterlijk die dag om 17:00 uur Japanse tijd en zei dat GMO's crypto-exchange-dochteronderneming onmiddellijk kon betalen.

GMO stelde dat betalen niet zou garanderen dat de gestolen gegevens niet zouden worden misbruikt. Het bedrijf werkt met politie en andere autoriteiten aan de zaak.

Kumagai verwierp de kritiek dat de eenmalige goodwillbetaling van 5.000 yen aan alle klanten een poging was de kwestie te sluiten. Het was een eerste stap, zei hij.

GMO Internet zal frauduleuze handelsverliezen die verband houden met de inbreuk verifiëren en compenseren. Als een exchange een terugbetaling weigert, betaalt het bedrijf zelf het volledige bedrag van de in aanmerking komende verliezen.

De groep beloofde ook zes maanden gratis vervangingsomgevingen, een herbouw van de systeembasis en een extern onderzoek naar de hoofdoorzaak. GMO Cyber Security by Ierae en GMO Flatt Security zijn betrokken bij verdediging en loganalyse met ongeveer 200 beveiligingsmedewerkers, waaronder voormalig Interpol-personeel. GMO is ook gerechtelijke openbaarmakingsverzoeken gestart om de aanvallers op te sporen.

'AI-cybersaturatieaanval'

Kumagai noemde de aanval een symbool van een "AI-cybersaturatieaanval", waarbij goedkope AI-tools aanvallers in staat stellen verdedigers te overweldigen. GMO Cyber Security by Ierae ontdekte dat ARTEX, een autonome AI-pentesting-tool die voor verdediging is gebouwd, werd misbruikt bij aanvallen op zo'n 20 Japanse bedrijven.

Hij verwees ook naar de recente PHP-kwetsbaarheden, waarbij geautomatiseerde aanvalspogingen in enkele uren opliepen tot miljoenen. Volgens Cryptopolitan hebben de twee PHP2Shell-kwetsbaarheden een ernstscore van 9,2 op 10, en PHP bracht op 21 oktober fixes uit. GMO heeft zijn eigen inbreuk niet in verband gebracht met de PHP-kwetsbaarheden.

Op 24 oktober vroeg Kumagai Tokio om de Japanse wet op actieve cyberverdediging toe te passen, die op 1 oktober van kracht werd. GMO valt niet onder de wet als aangewezen exploitant van kritieke infrastructuur, en hij erkende dat de beslissing bij de regering ligt.

Premier Sanae Takaichi zei maandagavond dat de regering nog deze week een noodpak aan cybersecuritymaatregelen plant.

Voor lezers die de nasleep volgen, liggen de open vragen op tafel bij GMO en de regering: welke van de 26.739 mogelijk getroffen servers als gecompromitteerd worden bevestigd, wat het externe onderzoek naar de hoofdoorzaak oplevert, hoe de compensatie van frauduleuze transacties wordt geregeld en wat het verwachte noodpakket voor cybersecurity komende week bevat.