Le Japonais GMO refuse l'exigence de 50 millions de dollars des hackers

Le PDG du groupe, Masatoshi Kumagai, a écrit le 26 octobre que GMO Internet avait rejeté une demande de 50 millions de dollars de la part de pirates qui s’étaient introduits dans son service Onamae.com Desktop Cloud.

Jusqu’à 26 739 serveurs pourraient être affectés et certains clients ont indiqué avoir constaté des transactions effectuées sans autorisation via leurs comptes de courtage.

Jusqu’à 26,739 serveurs Onamae.com pourraient être affectés

Onamae.com Desktop Cloud fait fonctionner des logiciels de courtage tels que MetaTrader 4 et MetaTrader 5 sur les serveurs des clients. Selon GMO, un attaquant a exploité une faille de sécurité, installé des logiciels malveillants dans certains environnements clients et volé des données clients.

Le problème a été signalé pour la première fois par une question posée par un client le 19 octobre. Le lendemain, des logiciels malveillants ont été détectés et GMO a commencé à suspendre tous ses services à partir de 19 h 00 UTC le 20 octobre.

Le chiffre de 26 739 correspond au nombre de serveurs potentiellement touchés, et non à des violations confirmées. Certains clients ont signalé des ordres de trading passés sans autorisation via des outils fonctionnant sur le service.

Des hackers éthiques internes avaient alerté en amont sur des problèmes de sécurité liés au service. La réponse a manqué de profondeur et de rapidité, a écrit Kumagai, permettant à l'attaquant de passer au travers des mailles du filet.

Les actions de GMO Internet Group ont perdu près de 16 % pour atteindre un plus bas de quatre mois lundi. L'entreprise a indiqué qu'elle ne pouvait pas encore quantifier l'impact des paiements de goodwill et des indemnités sur ses résultats.

L'attaquant a menacé les comptes de plus de 70 sociétés de titres et de change

L’article de blog de Kumagai, publié initialement le 25 octobre et mis à jour un jour plus tard, énumère les menaces proférées par l’attaquant. La liste commence par de nouvelles commandes frauduleuses sur les comptes clients de plus de 70 sociétés de valeurs mobilières et de change au Japon et à l’étranger.

L’attaquant a également menacé de divulguer des données provenant d’ordinateurs personnels clients connectés, d’utiliser des logiciels rançonneurs et de publier des détails internes sur les systèmes de GMO. Il s’agissait de menaces, et non d’activités confirmées sur les plus de 70 entreprises concernées.

Un document daté du 21 octobre à 11 h 57 exigeait 50 millions de dollars, soit environ 8 milliards de yens. Aucune des exigences n’a été satisfaite par GMO et aucun paiement n’a été effectué, a écrit Kumagai.

La note demandait un paiement en Bitcoin ou en Ether avant 17 heures (heure japonaise) ce jour-là et indiquait que la filiale de GMO spécialisée dans les échanges de cryptomonnaies pouvait procéder au paiement immédiatement.

GMO a déclaré que le paiement ne garantirait pas que les données volées ne seraient pas mal utilisées. L’entreprise collabore avec la police et d’autres autorités sur cette affaire.

Kumagai a rejeté les critiques selon lesquelles un versement symbolique unique de 5 000 yens à tous les clients constituait une tentative de clore l’affaire. C’était, a-t-il affirmé, la première étape.

GMO Internet vérifiera et indemnisera les pertes commerciales frauduleuses liées à la violation. Si une bourse refuse un remboursement, elle paie le montant intégral des pertes éligibles.

Le groupe a également promis un environnement de remplacement gratuit pendant six mois, une reconstruction de sa base système et un examen externe de la cause racine. GMO Cyber Security by Ierae et GMO Flatt Security sont impliqués dans la défense et l'analyse des journaux avec environ 200 professionnels de la sécurité, y compris d'anciens membres d'Interpol.

GMO a également commencé des demandes de divulgation judiciaire pour traquer les attaquants.

Kumagai a qualifié l'attaque d'exemple d'une « attaque de saturation cybernétique par IA », avec des outils IA peu coûteux qui permettent aux attaquants de submerger les défenseurs. GMO Cyber Security by Ierae a découvert l'outil autonome de test de pénétration par IA ARTEX, conçu pour la défense, détourné lors d'attaques contre environ 20 entreprises japonaises.

Il a également mentionné les récentes failles PHP où des tentatives d’attaque automatisées ont atteint des millions en quelques heures. Selon Cryptopolitan, les deux bugs PHP2Shell ont un score de sévérité de 9,2 sur 10 et PHP a publié des correctifs le 21 octobre.

GMO n’a pas relié sa propre violation aux failles PHP.

Le 24 octobre, Kumagai a demandé à Tokyo d'appliquer la loi japonaise sur la défense cybernétique active, entrée en vigueur le 1er octobre. GMO n'est pas un opérateur d'infrastructure critique désigné sous cette loi, et il a reconnu que la décision appartient au gouvernement.

La Première ministre Sanae Takaichi a annoncé lundi soir que le gouvernement prévoit de mettre en place un plan d’urgence comprenant des mesures de cybersécurité d’ici la semaine prochaine.