GMO do Japão recusa exigência de US$ 50 milhões dos hackers

O CEO do grupo, Masatoshi Kumagai, escreveu em 26 de outubro que a GMO Internet rejeitou uma demanda de US$ 50 milhões de hackers que invadiram seu serviço Onamae.com Desktop Cloud.

Até 26.739 servidores podem estar afetados e alguns clientes disseram ter visto negociações não autorizadas realizadas por meio de suas contas de corretagem.

Até 26,739 servidores da Onamae.com podem estar afetados

O Onamae.com Desktop Cloud executa software de corretagem, como MetaTrader 4 e MetaTrader 5, em servidores dos clientes. A GMO informou que um atacante explorou uma falha de segurança, implantou malware em alguns ambientes de clientes e obteve dados dos clientes.

O problema foi relatado inicialmente por meio de uma pergunta de um cliente em 19 de outubro. No dia seguinte, o malware foi detectado e a GMO começou a desativar todos os planos às 19h (UTC) de 20 de outubro.

O número de 26.739 refere-se à contagem de servidores potencialmente afetados, não a violações confirmadas. Alguns clientes relataram que ordens de negociação foram executadas sem autorização por meio de ferramentas que rodavam no serviço.

Hackers internos (white-hat) haviam sinalizado problemas de segurança no serviço com antecedência. A resposta foi insuficiente em profundidade e velocidade, escreveu Kumagai, e o atacante aproveitou essa brecha.

As ações do Grupo GMO Internet despencaram quase 16% para um mínimo de quatro meses na segunda-feira. A empresa afirmou que ainda não podia quantificar o impacto nos lucros dos pagamentos de goodwill e da compensação por perdas.

Atacante ameaçou contas de mais de 70 empresas de valores mobiliários e câmbio

A publicação no blog de Kumagai, inicialmente divulgada em 25 de outubro e atualizada um dia depois, lista o que o atacante ameaçou. A lista começa com mais pedidos fraudulentos em contas de clientes em mais de 70 empresas de valores mobiliários e câmbio no Japão e no exterior.

O atacante também ameaçou vazar dados de PCs de clientes conectados, usar ransomware e publicar detalhes internos dos sistemas da GMO. Essas foram ameaças, não atividades confirmadas em todas as mais de 70 empresas.

Um documento datado das 11h57 de 21 de outubro exigia US$ 50 milhões, cerca de 8 bilhões de ienes. Nenhuma das exigências foi atendida pela GMO e nada foi pago, escreveu Kumagai.

A nota pedia pagamento em Bitcoin ou Ether até às 17h (horário do Japão) naquele dia e afirmava que a subsidiária de troca de criptomoedas da GMO poderia pagar imediatamente.

A GMO afirmou que o pagamento não garantiria que os dados roubados não fossem mal utilizados. Ela está trabalhando com a polícia e outras autoridades sobre o assunto.

Kumagai descartou críticas de que um pagamento simbólico fixo de 5.000 ienes para todos os clientes fosse uma tentativa de encerrar o caso. Foi o primeiro passo, disse ele.

A GMO Internet verificará e compensará as perdas financeiras decorrentes de transações fraudulentas relacionadas ao vazamento. Se uma exchange recusar o reembolso, ela pagará o valor integral das perdas elegíveis.

O grupo também prometeu um ambiente gratuito de substituição por seis meses, a reconstrução da base do seu sistema e uma revisão externa da causa raiz. A GMO Cyber Security by Ierae e a GMO Flatt Security estão envolvidas na defesa e na análise de logs, contando com aproximadamente 200 profissionais de segurança, incluindo ex-agentes da Interpol.

A GMO também iniciou solicitações de divulgação judicial para localizar os atacantes.

Kumagai classificou o ataque como um símbolo de um "ataque cibernético saturado por IA", no qual ferramentas de IA acessíveis permitem que os atacantes superem os defensores. A GMO Cyber Security by Ierae identificou a ferramenta autônoma de testes de penetração por IA chamada ARTEX, projetada para fins defensivos, sendo mal utilizada em ataques contra cerca de 20 empresas japonesas.

Ele também mencionou as recentes falhas no PHP, onde tentativas de ataque automatizadas atingiram milhões em questão de horas. De acordo com o Cryptopolitan, os dois bugs do PHP2Shell têm uma pontuação de gravidade de 9,2 de 10 e a PHP disponibilizou correções em 21 de outubro.

A GMO não conectou sua própria violação às falhas do PHP flaws.

Em 24 de outubro, Kumagai solicitou a Tóquio que aplicasse a lei japonesa sobre defesa cibernética ativa, que entrou em vigor em 1º de outubro. A GMO não é considerada operadora de infraestrutura crítica sob essa lei, e ele reconheceu que a decisão cabe ao governo.

A primeira-ministra Sanae Takaichi afirmou na noite de segunda-feira que o governo planeja um pacote emergencial de salvaguardas de cibersegurança até a próxima semana.