- GMO Internet hat eine Forderung von Hackern in Höhe von 50 Millionen US-Dollar abgelehnt, die ihren Onamae.com Desktop Cloud-Dienst kompromittiert hatten.
- Bis zu 26.739 Server könnten betroffen sein, und einige Kunden berichteten über unbefugte Broker-Trades.
- Die Aktien der GMO Internet Group fielen am Montag um fast 16 % auf ein Vier-Monats-Tief.
Gruppen-Chef Masatoshi Kumagai schrieb am 26. Oktober, dass GMO Internet eine Forderung von Hackern in Höhe von 50 Millionen US-Dollar zurückgewiesen hat, die in seinen Onamae.com Desktop Cloud-Dienst eingebrochen waren.
Bis zu 26.739 Server könnten betroffen sein, und einige Kunden gaben an, unbefugte Trades durch ihre Broker-Konten gesehen zu haben.
Bis zu 26,739 Onamae.com-Server könnten betroffen sein
Onamae.com Desktop Cloud betreibt Brokerage-Software wie MetaTrader 4 und MetaTrader 5 auf Kundenservern. GMO gab an, dass ein Angreifer eine Sicherheitslücke ausgenutzt, Malware in einigen Kundenumgebungen platziert und Kundendaten gestohlen hat.
Das Problem wurde erstmals am 19. Oktober durch eine Kundenfrage gemeldet. Am folgenden Tag wurde Malware entdeckt, und GMO begann, alle Pläne ab 19:00 Uhr UTC am 20. Oktober herunterzufahren.
Die Zahl von 26.739 bezieht sich auf potenziell betroffene Server, nicht auf verifizierte Datenschutzverletzungen. Einige Kunden berichteten über unbefugt getätigte Trades über Tools, die auf dem Dienst liefen.
Interne White-Hat-Hacker hatten im Voraus Sicherheitsprobleme mit dem Dienst gemeldet. Die Reaktion sei laut Kumagai jedoch zu oberflächlich und zu langsam gewesen, sodass der Angreifer diese Lücke nutzen konnte.
Die Aktien der GMO Internet Group fielen am Montag um fast 16 % auf ein Vier-Monats-Tief. Das Unternehmen erklärte, dass die Auswirkungen der Goodwill-Zahlungen und Schadensersatzleistungen auf den Gewinn noch nicht beziffert werden könnten.
Angreifer drohten Konten bei über 70 Wertpapier- und FX-Firmen
Kumagais Blogbeitrag, der am 25. Oktober erstmals veröffentlicht und einen Tag später aktualisiert wurde, listet die Drohungen des Angreifers auf. Die Liste beginnt mit weiteren betrügerischen Bestellungen in Kundenkonten bei mehr als 70 Wertpapier- und Devisenfirmen in Japan und im Ausland.
Der Angreifer drohte zudem damit, Daten von verbundenen Kunden-PCs preiszugeben, Ransomware einzusetzen und interne Details von GMOs Systemen zu veröffentlichen. Dies waren jedoch nur Drohungen; eine bestätigte Aktivität bei allen über 70 Firmen liegt nicht vor.
Ein Dokument mit dem Stempel vom 21. Oktober, 11:57 Uhr, forderte 50 Millionen US-Dollar, etwa 8 Milliarden Yen. Keine der Forderungen wurde von GMO erfüllt, und es wurde nichts gezahlt, wie Kumagai schrieb.
In der Notiz wurde um Zahlung in Bitcoin oder Ether bis 17:00 Uhr japanischer Zeit desselben Tages gebeten, wobei angegeben wurde, dass die Krypto-Börsen-Tochtergesellschaft von GMO sofort zahlen könnte.
GMO erklärte, dass eine Zahlung keine Garantie dafür biete, dass die gestohlenen Daten nicht missbraucht würden. Das Unternehmen arbeitet in dieser Angelegenheit mit der Polizei und anderen Behörden zusammen.
Kumagai wies Kritik zurück, wonach eine pauschale Entschädigungszahlung von 5.000 Yen an alle Kunden ein Versuch sei, das Thema beiseite zu schieben. Es handele sich dabei um den ersten Schritt, so er.
GMO Internet wird betrügerische Handelsverluste im Zusammenhang mit dem Sicherheitsvorfall überprüfen und entschädigen. Wenn eine Börse eine Rückerstattung verweigert, übernimmt sie die vollen Kosten der berechtigten Verluste selbst.
Die Gruppe hat zudem einen sechsmonatigen kostenlosen Ersatzdienst, den Wiederaufbau ihrer Systembasis sowie eine externe Überprüfung der Ursachen zugesagt. GMO Cyber Security by Ierae und GMO Flatt Security sind in Verteidigung und Log-Analyse eingebunden; dazu gehören rund 200 Sicherheitsexperten, darunter ehemalige Interpol-Mitarbeiter.
GMO hat außerdem gerichtliche Offenlegungsanträge gestellt, um die Angreifer aufzuspüren.
Kumagai bezeichnete den Angriff als Symbol für einen „KI-gesättigten Cyberangriff“, bei dem kostengünstige KI-Tools Angreifern ermöglichen, Verteidiger zu überwältigen. GMO Cyber Security by Ierae fand das autonome KI-Penetrationstool ARTEX, das ursprünglich für Verteidigungszwecke entwickelt wurde, missbräuchlich in Angriffen auf etwa 20 japanische Unternehmen eingesetzt.
Er erwähnte auch die jüngsten PHP-Schwachstellen, bei denen automatisierte Angriffsversuche innerhalb von Stunden in die Millionen gingen. Laut Cryptopolitan haben die beiden PHP2Shell-Bugs einen Schweregrad von 9,2 von 10 und PHP hat am 21. Oktober Patches bereitgestellt.
GMO hat seinen eigenen Sicherheitsvorfall nicht mit den PHP-Schwachstellen in Verbindung gebracht.
Am 24. Oktober bat Kumagai Tokio, Japans Gesetz zur aktiven Cyberverteidigung anzuwenden, das am 1. Oktober in Kraft trat. GMO fällt nicht unter die Kategorie eines als kritische Infrastruktur eingestuften Betreibers gemäß diesem Gesetz, und er räumte ein, dass die Entscheidung beim Staat liegt.
Premierministerin Sanae Takaichi sagte am Montagabend, die Regierung plane bis Mitte nächster Woche ein Notfallpaket mit Cybersicherheitsmaßnahmen.
Wenn Sie dies lesen, sind Sie bereits einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.
Häufig gestellte Fragen
Wie viel forderten die Hacker von GMO Internet?
Der Angreifer forderte 50 Millionen US-Dollar, etwa 8 Milliarden Yen, und GMO hat bisher nichts gezahlt.
Wie viele Server und Unternehmen waren betroffen?
Bis zu 26.739 Server könnten betroffen sein, und der Angreifer drohte mit Konten bei über 70 Wertpapier- und Devisenfirmen.
Was bietet GMO den betroffenen Kunden an?
GMO Internet sagt, es werde berechtigte Betrugsverluste vollständig übernehmen, selbst wenn eine Börse eine Rückerstattung verweigert.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Randa Moses
Randa Moses ist Redakteurin und Reporterin bei Cryptopolitan, wo sie über Technologie, KI, Robotik, Krypto, Betrug und Hacks berichtet. Sie arbeitet seit 2017 im Krypto-Bereich. Zuvor war sie bei Forward Protocol, AmaZix und Cryptosomniac tätig. Randa besitzt einen Abschluss in Elektrotechnik und Elektronik der University of Bradford.
