La japonesa GMO rechaza la exigencia de los hackers de 50 millones de dólares

El CEO del grupo, Masatoshi Kumagai, escribió el 26 de octubre que GMO Internet rechazó una demanda de 50 millones de dólares de hackers que irrumpieron en su servicio Onamae.com Desktop Cloud.

Hasta 26,739 servidores podrían verse afectados y algunos clientes dijeron haber observado operaciones no autorizadas realizadas a través de sus cuentas de corretaje.

Hasta 26,739 servidores de Onamae.com pueden verse afectados

Onamae.com Desktop Cloud ejecuta software de corretaje como MetaTrader 4 y MetaTrader 5 en servidores del cliente. GMO indicó que un atacante explotó una vulnerabilidad de seguridad, instaló malware en algunos entornos de clientes y obtuvo datos de los mismos.

El problema se reportó inicialmente mediante una consulta de un cliente el 19 de octubre. Al día siguiente, se detectó malware y GMO comenzó a suspender todos los planes a las 19:00 UTC del 20 de octubre.

La cifra de 26.739 corresponde al número de servidores potencialmente afectados, no a brechas verificadas. Algunos clientes informaron que se realizaron operaciones sin su autorización mediante herramientas que funcionaban en el servicio.

Los hackers internos (white-hat) habían identificado problemas de seguridad en el servicio con antelación. La respuesta fue insuficiente en profundidad y rapidez, escribió Kumagai, y el atacante aprovechó esa laguna.

Las acciones de GMO Internet Group cayeron casi un 16 % hasta alcanzar un mínimo de cuatro meses el lunes. La empresa señaló que aún no podía cuantificar el impacto en sus beneficios de los pagos por goodwill y la compensación por pérdidas.

El atacante amenazó cuentas de más de 70 empresas de valores y divisas (FX)

La entrada del blog de Kumagai, publicada inicialmente el 25 de octubre y actualizada un día después, enumera lo que amenazó el atacante. La lista comienza con más pedidos fraudulentos en cuentas de clientes en más de 70 empresas de valores y de divisas en Japón y en el extranjero.

El atacante también amenazó con filtrar datos de PCs de clientes conectados, usar ransomware y publicar detalles internos de los sistemas de GMO. Estas fueron amenazas, no actividades confirmadas en las más de 70 empresas.

Un documento sellado a las 11:57 del 21 de octubre exigía 50 millones de dólares, aproximadamente 8 mil millones de yenes. Ninguna de las demandas fue satisfecha por GMO y no se pagó nada, escribió Kumagai.

La nota solicitaba el pago en Bitcoin o Ether antes de las 5 p. m. hora de Japón ese día y señalaba que la filial de intercambio de criptomonedas de GMO podría pagar inmediatamente.

GMO declaró que pagar no garantizaría que los datos robados no fueran mal utilizados. Está trabajando con la policía y otras autoridades en el asunto.

Kumagai desestimó las críticas que consideraban que un pago simbólico fijo de 5.000 yenes para todos los clientes era un intento de cerrar el tema. Fue el primer paso, dijo.

GMO Internet verificará y compensará las pérdidas comerciales fraudulentas relacionadas con la violación de seguridad. Si un exchange se niega a reembolsar, pagará el importe total de las pérdidas elegibles.

El grupo también prometió un entorno gratuito de reemplazo durante seis meses, una reconstrucción de su base de sistemas y una revisión externa de la causa raíz. GMO Cyber Security by Ierae y GMO Flatt Security participan en la defensa y el análisis de registros con aproximadamente 200 profesionales de seguridad, incluidos exmiembros de Interpol.

GMO también ha comenzado solicitudes de divulgación judicial para localizar a los atacantes.

Kumagai calificó el ataque como un símbolo de un "ataque cibernético saturado por IA", con herramientas de IA económicas que permiten a los atacantes superar a los defensores. GMO Cyber Security by Ierae descubrió la herramienta autónoma de pruebas de penetración con IA ARTEX, diseñada para la defensa, pero mal utilizada en ataques contra unas 20 empresas japonesas.

También mencionó las recientes vulnerabilidades de PHP donde los intentos de ataque automatizados alcanzaron millones en horas. Según Cryptopolitan, los dos errores PHP2Shell tienen una puntuación de severidad de 9.2 sobre 10 y PHP publicó correcciones el 21 de octubre.

GMO no ha relacionado su propia brecha con las vulnerabilidades de PHP flaws.

El 24 de octubre, Kumagai solicitó a Tokio que aplicara la ley japonesa sobre defensa cibernética activa, que entró en vigor el 1 de octubre. GMO no es un operador de infraestructura crítica designado según la ley, y reconoció que la decisión corresponde al gobierno.

La primera ministra Sanae Takaichi declaró la noche del lunes que el gobierno planea un paquete de emergencia con medidas de ciberseguridad para finales de la próxima semana.