GMO Internet odrzucił żądanie 50 milionów dolarów okupu od hakerów, którzy włamali się do jego usługi Onamae.com Desktop Cloud – napisał 26 października dyrektor generalny grupy Masatoshi Kumagai. W wpisie na blogu, opublikowanym po raz pierwszy 25 października i zaktualizowanym dzień później, przedstawiciel zarządu potwierdził, że żadne z żądań napastnika nie zostało spełnione i nie zapłacono niczego.

Na skutki włamania może być narażonych nawet 26 739 serwerów, a niektórzy klienci zgłaszali nieautoryzowane transakcje złożone przez ich konta maklerskie.

Dotkniętych może być do 26 739 serwerów Onamae.com

Onamae.com Desktop Cloud uruchamia oprogramowanie maklerskie, takie jak MetaTrader 4 i MetaTrader 5, na serwerach klientów. Według GMO napastnik wykorzystał lukę w zabezpieczeniach, zainstalował złośliwe oprogramowanie w niektórych środowiskach klientów i wykradł dane klientów.

Sprawa wyszła na jaw po raz pierwszy 19 października, gdy klient zadał pytanie. Następnego dnia wykryto złośliwe oprogramowanie, a GMO rozpoczęło wyłączanie wszystkich planów od godziny 19:00 UTC 20 października.

Firma podkreśliła, że liczba 26 739 to liczba potencjalnie dotkniętych serwerów, a nie potwierdzonych kompromitacji. Niektórzy klienci zgłaszali transakcje złożone bez zgody za pomocą narzędzi działających w ramach usługi. Ten szczegół wyjaśnia zasięg incydentu: ponieważ GMO hostowało narzędzia transakcyjne, kompromitacja po stronie dostawcy mogła ujawnić się bezpośrednio na kontach maklerskich klientów.

Wewnętrzni hakerzy white-hat wcześniej sygnalizowali problemy z bezpieczeństwem usługi. Kumagai przyznał, że reakcja firmy była niewystarczająca pod względem głębokości i szybkości, a napastnik wykorzystał tę lukę.

Akcje GMO Internet Group spadły wiedziałek o prawie 16%, osiągając najniższy poziom od czterech miesięcy. Firma oświadczyła, że nie może jeszcze określić wpływu wypłat goodwill i odszkodowań za straty na wyniki finansowe.

Napastnik groził kontami w ponad 70 firmach papierów wartościowych i FX

Wpis na blogu wylicza groźby napastnika. Lista zaczyna się od dalszych oszukańczych zleceń na kontach klientów w ponad 70 firmach maklerskich i dewizowych w Japonii i za granicą. Napastnik groził także wyciekiem danych z podłączonych komputerów klientów, użyciem ransomware oraz ujawnieniem wewnętrznych szczegółów systemów GMO. Były to groźby, a nie potwierdzone działania we wszystkich ponad 70 firmach.

Dokument żądający okupu, opatrzony datownikiem 11:57 z 21 października, żądał 50 milionów dolarów, czyli około 8 miliardów jenów. Pismo wzywało do zapłaty w Bitcoinie lub Etherze do godziny 17 czasu japońskiego tego samego dnia i wskazywało, że spółka zależna GMO zajmująca się wymianą kryptowalut mogła zapłacić natychmiast.

GMO oświadczyło, że zapłata nie gwarantowałaby, że wykradzione dane nie zostaną nadużyte. Firma współpracuje w tej sprawie z policją i innymi organami.

Kumagai odrzucił krytykę, zgodnie z którą ryczałtowa wypłata 5 000 jenów goodwill dla wszystkich klientów była próbą zamknięcia sprawy. To był pierwszy krok, powiedział.

GMO Internet zweryfikuje i zrekompensuje straty związane z oszukańczymi transakcjami związanymi z włamaniem. Jeśli giełda odmówi zwrotu środków, firma sama pokrywa pełną wysokość kwalifikowanych strat.

Grupa zobowiązała się także do zapewnienia bezpłatnego środowiska zastępczego na sześć miesięcy, przebudowy podstaw systemowych oraz zewnętrznego przeglądu przyczyn źródłowych. W działania obronne i analizę logów zaangażowane są GMO Cyber Security by Ierae oraz GMO Flatt Security, z około 200 pracownikami bezpieczeństwa, w tym byłymi pracownikami Interpolu. GMO rozpoczęło również wnioski o ujawnienie informacji przez sąd w celu namierzenia napastników.

„Atak saturacji cybernetycznej AI”

Kumagai nazwał atak symbolem „ataku saturacji cybernetycznej AI”, w którym tanie narzędzia AI pozwalają napastnikom przewyższyć obrońców. GMO Cyber Security by Ierae odkryło, że ARTEX, autonomiczne narzędzie AI do testów penetracyjnych stworzone do celów obronnych, zostało nadużyte w atakach na około 20 japońskich firm.

Wspomniał także o niedawnych lukach w PHP, gdzie automatyczne próby ataków sięgały milionów w ciągu godzin. Według Cryptopolitan dwie luki PHP2Shell mają ocenę wagalności 9,2 na 10, a PHP wydało poprawki 21 październ. GMO nie powiązało własnego włamania z lukami w PHP.

24 października Kumagai wezwał Tokio do zastosowania japońskiej ustawy o aktywnej obronie cybernetycznej, która weszła w życie 1 października. GMO nie jest wyznaczonym operatorem infrastruktury krytycznej w rozumieniu tej ustawy, a on przyznał, że decyzja należy do rządu.

Premier Sanae Takaichi oświadczyła w poniedziałek wieczorem, że rząd planuje ogłosić pakiet awaryjnych środków cyberbezpieczeństwa w przyszłym tygodniu.

Dla czytelników śledzących skutki incydentu otwartymi kwestiami pozostają te, które GMO i rząd już wpisały do rejestru: które z 26 739 potencjalnie dotkniętych serwerów zostały potwierdzone jako skompromitowane, co wykaże zewnętrzny przegląd przyczyn źródłowych, jak zostanie rozliczona rekompensata za oszukańcze transakcje i co będzie zawierał awaryjny pakiet cyberbezpieczeństwa spodziewany w przyszłym tygodniu.