Il colosso giapponese GMO rifiuta la richiesta di riscatto da 50 milioni di dollari degli hacker

Il CEO del gruppo Masatoshi Kumagai ha scritto il 26 ottobre che GMO Internet ha respinto una richiesta di 50 milioni di dollari dagli hacker che hanno violato il servizio Onamae.com Desktop Cloud.

Fino a 26.739 server potrebbero essere interessati e alcuni clienti hanno dichiarato di aver visto operazioni non autorizzate effettuate attraverso i loro conti di brokeraggio.

Fino a 26,739 server Onamae.com potrebbero essere interessati

Onamae.com Desktop Cloud esegue software di brokeraggio come MetaTrader 4 e MetaTrader 5 sui server dei clienti. GMO ha dichiarato che un aggressore ha sfruttato una vulnerabilità di sicurezza, ha installato malware in alcuni ambienti dei clienti ed ha sottratto dati dei clienti.

Il problema è stato segnalato per la prima volta da una domanda di un cliente il 19 ottobre. Il giorno seguente è stato rilevato del malware e GMO ha iniziato a disattivare tutti i piani dalle ore 19:00 UTC del 20 ottobre.

La cifra di 26.739 indica il numero di server potenzialmente interessati, non violazioni verificate. Alcuni clienti hanno riportato operazioni eseguite senza autorizzazione tramite strumenti in esecuzione sul servizio.

Gli hacker interni avevano già segnalato problemi di sicurezza del servizio. La risposta è stata carente in termini di profondità e velocità, ha scritto Kumagai, e l'aggressore ha colto lo spiraglio.

Le azioni di GMO Internet Group hanno perso quasi il 16% raggiungendo un minimo di quattro mesi lunedì. L'azienda ha dichiarato di non poter ancora quantificare l'impatto sugli utili dei pagamenti per goodwill e del risarcimento delle perdite.

L'aggressore ha minacciato account presso oltre 70 società di titoli e FX

Il post sul blog di Kumagai, pubblicato il 25 ottobre e aggiornato un giorno dopo, elenca le minacce dell'attaccante. L'elenco inizia con ordini fraudolenti su account clienti presso oltre 70 società di titoli e forex in Giappone e all'estero.

L'attaccante ha anche minacciato di diffondere dati da PC dei clienti connessi, utilizzare ransomware e pubblicare dettagli interni sui sistemi di GMO. Si trattava di minacce, non di attività confermate presso tutte le oltre 70 aziende.

Un documento timbrato alle 11:57 del 21 ottobre richiedeva 50 milioni di dollari, circa 8 miliardi di yen. Nessuna delle richieste è stata soddisfatta da GMO e non è stato pagato nulla, ha scritto Kumagai.

La nota chiedeva il pagamento in Bitcoin o Ether entro le 17:00 (ora del Giappone) dello stesso giorno e affermava che la controllata di scambio di criptovalute di GMO avrebbe potuto pagare immediatamente.

GMO ha dichiarato che il pagamento non garantirebbe che i dati rubati non vengano utilizzati impropriamente. Sta collaborando con la polizia e altre autorità per gestire la questione.

Kumagai ha respinto le critiche secondo cui un pagamento simbolico forfettario di 5.000 yen a tutti i clienti fosse un tentativo di archiviare la questione. Era, ha detto, solo il primo passo.

GMO Internet verificherà e risarcirà le perdite finanziarie fraudolente correlate alla violazione. Se un exchange rifiuta il rimborso, dovrà coprire l'intero importo delle perdite eleggibili.

Il gruppo ha inoltre promesso un ambiente di sostituzione gratuito per sei mesi, la ricostruzione della base del sistema e una revisione esterna della causa radice. GMO Cyber Security by Ierae e GMO Flatt Security sono coinvolti nella difesa e nell'analisi dei log con circa 200 esperti di sicurezza, tra cui ex membri dell'Interpol.

GMO ha anche avviato richieste di divulgazione in tribunale per individuare gli autori degli attacchi.

Kumagai ha definito l'attacco un simbolo di un "cyber attacco di saturazione basato sull'IA", caratterizzato da strumenti AI economici che permettono agli aggressori di sopraffare i difensori. GMO Cyber Security by Ierae ha individuato lo strumento autonomo di test di penetrazione basato su IA ARTEX, progettato per la difesa, ma utilizzato malevolmente negli attacchi contro circa 20 aziende giapponesi.

Ha anche menzionato le recenti vulnerabilità PHP in cui gli attacchi automatizzati sono arrivati a milioni in poche ore. Secondo Cryptopolitan, i due bug PHP2Shell hanno un punteggio di gravità di 9,2 su 10 e PHP ha rilasciato le correzioni il 21 ottobre.

GMO non ha collegato la propria violazione alle vulnerabilità PHP.

Il 24 ottobre, Kumagai ha chiesto a Tokyo di applicare la legge giapponese sulla cyber difesa attiva, entrata in vigore il 1° ottobre. GMO non è un operatore di infrastrutture critiche designato ai sensi della legge, e ha riconosciuto che la decisione spetta al governo.

La prima ministra Sanae Takaichi ha dichiarato lunedì sera che il governo prevede un pacchetto di emergenza di misure di salvaguardia della cybersecurity entro la prossima settimana.