GMO Internet отклонила требование хакеров о выплате выкупа в 50 млн долларов после взлома сервиса Onamae.com Desktop Cloud, написал 26 октября генеральный директор группы Масатоси Кумагаи. В публикации в блоге, впервые опубликованной 25 октября и обновлённой сутки спустя, руководитель подтвердил, что ни одно из требований злоумышленника выполнено не было и никаких выплат не произведено.

Под ударом могут находиться до 26 739 серверов, а некоторые клиенты сообщили о несанкционированных сделках, совершённых через их брокерские счета.

Могут быть затронуты до 26 739 серверов Onamae.com

Onamae.com Desktop Cloud запускает на серверах клиентов брокерское ПО, такое как MetaTrader 4 и MetaTrader 5. По данным GMO, злоумышленник использовал уязвимость в системе безопасности, разместил вредоносное ПО в некоторых клиентских средах и похитил данные клиентов.

Проблема впервые проявилась 19 октября, когда вопрос поднял один из клиентов. На следующий день было обнаружено вредоносное ПО, и GMO начала остановку всех тарифов с 19:00 UTC 20 октября.

Компания подчеркнула, что цифра 26 739 — это количество потенциально затронутых серверов, а не подтверждённых взломов. Некоторые клиенты сообщили о сделках, совершённых без их разрешения через инструменты, работавшие на сервисе. Эта деталь объясняет масштаб инцидента: поскольку GMO размещала торговые инструменты у себя, компрометация на уровне провайдера могла напрямую отразиться на брокерских счетах клиентов.

Штатные «белые хакеры» ранее указывали на проблемы безопасности этого сервиса. Кумагаи признал, что реакция компании не хватала глубины и скорости, и злоумышленник воспользовался этой брешью.

Акции GMO Internet Group в понедельник упали почти на 16%, достигнув четырёхмесячного минимума. Компания заявила, что пока не может оценить влияние выплат «жеста доброй воли» и компенсаций за убытки на прибыль.

Злоумышленник угрожал счетами более чем 70 брокерских и форекс-компаний

В публикации в блоге перечислены угрозы злоумышленника. Список начинается с новых мошеннических ордеров на клиентских счетах более чем 70 брокерских и валютных компаний в Японии и за рубежом. Злоумышленник также угрожал раскрыть данные с подключённых клиентских компьютеров, применить программу-вымогатель и опубликовать внутренние детали систем GMO. Это были угрозы, а не подтверждённая активность во всех 70 с лишним компаниях.

В документе с отметкой времени 11:57 от 21 октября требовался выкуп в 50 млн долларов, около 8 млрд иен. В записке требовалась оплата в Bitcoin или Ether до 17:00 по японскому времени в тот же день, при этом указывалось, что криптобиржа — дочка GMO — могла заплатить немедленно.

GMO заявила, что выплата не гарантирует, что украденные данные не будут использованы во вред. Компания сотрудничает по этому делу с полицией и другими ведомствами.

Кумагаи отверг критику, согласно которой единая выплата 5 000 иен всем клиентам была попыткой закрыть вопрос. По его словам, это был лишь первый шаг.

GMO Internet проверит и компенсирует убытки от мошеннических сделок, связанных со взломом. Если биржа откажется возвращать средства, компания сама выплатит полную сумму подтверждённых убытков.

Группа также пообещала шесть месяцев бесплатной замещающей среды, перестройку своей системной базы и внешний аудит первопричины инцидента. В защите и анализе логов участвуют GMO Cyber Security by Ierae и GMO Flatt Security, в общей сложности около 200 специалистов по безопасности, включая бывших сотрудников Интерпола. GMO также начала судебные запросы о раскрытии данных для отслеживания злоумышленников.

«Кибератака насыщения с использованием ИИ»

Кумагаи назвал атаку символом «кибератаки насыщения с использованием ИИ», при которой недорогие ИИ-инструменты позволяют атакующим подавлять защитников. GMO Cyber Security by Ierae установила, что автономный ИИ-инструмент тестирования на проникновение ARTEX, созданный для защиты, был использован в атаках примерно на 20 японских компаний.

Он также упомянул недавние уязвимости PHP, когда число автоматизированных попыток атак за часы достигло миллионов. По данным Cryptopolitan, две уязвимости PHP2Shell имеют оценку severity 9,2 из 10, и исправления для PHP были выпущены 21 октября. GMO не связала собственный взлом с уязвимостями PHP.

24 октября Кумагаи призвал Токио применить закон Японии об активной киберобороне, вступивший в силу 1 октября. GMO не входит в число определённых законом операторов критической инфраструктуры, и он признал, что решение остаётся за правительством.

Премьер-министр Санаэ Такаити заявила в понедельник вечером, что правительство планирует представить пакет экстренных мер по кибербезопасности на следующей неделе.

Для читателей, следящих за последствиями, открытыми остаются те вопросы, которые GMO и правительство уже зафиксировали официально: какие из 26 739 потенциально затронутых серверов подтверждены как скомпрометированные, что покажет внешний аудит первопричины, как будут урегулированы компенсации за мошеннические сделки и что войдёт в ожидаемый на следующей неделе экстренный пакет мер по кибербезопасности.