Японская GMO отказалась платить хакерам 50 млн долларов

Генеральный директор группы Масатоси Кумагаи написал 26 октября, что GMO Internet отклонила требование хакеров в размере 50 млн долларов после взлома их сервиса Onamae.com Desktop Cloud.

Под угрозой могут оказаться до 26 739 серверов, и некоторые клиенты заявили, что заметили несанкционированные сделки, совершенные через их брокерские счета.

Под угрозой могут оказаться до 26,739 серверов Onamae.com

Onamae.com Desktop Cloud запускает брокерское программное обеспечение, такое как MetaTrader 4 и MetaTrader 5, на серверах клиентов. Компания GMO заявила, что злоумышленник использовал уязвимость в системе безопасности, установил вредоносное ПО в некоторых клиентских средах и похитил данные клиентов.

Проблема была впервые сообщена клиентом 19 октября. На следующий день было обнаружено вредоносное ПО, и GMO начала отключать все планы с 19:00 UTC 20 октября.

Цифра 26 739 указывает на количество потенциально затронутых серверов, а не на подтвержденные нарушения безопасности. Некоторые клиенты сообщили о размещении сделок без их разрешения с помощью инструментов, работающих на сервисе.

Внутренние «белые» хакеры заранее выявили проблемы с безопасностью сервиса. По словам Куматаи, реакция компании оказалась недостаточной по глубине и скорости, и злоумышленник воспользовался этой лазейкой.

Акции GMO Internet Group упали почти на 16% до четырехмесячного минимума в понедельник. Компания заявила, что пока не может оценить влияние выплат за доброе имя и компенсаций убытков на прибыль.

Злоумышленник угрожал аккаунтам более 70 компаний, занимающихся ценными бумагами и форексом

В блоге Кумагаи, впервые опубликованном 25 октября и обновлённом на следующий день, перечисляется то, что угрожал сделать злоумышленник. Список начинается с более чем 70 фирм по ценным бумагам и валютным операциям в Японии и за рубежом, где были совершены мошеннические операции с клиентскими счетами.

Злоумышленник также пригрозил утечкой данных с подключённых компьютеров клиентов, использованием программ-вымогателей и публикацией внутренней информации о системах GMO. Это были лишь угрозы, а не подтверждённые действия на всех более чем 70 компаниях.

Документ, датированный 11:57 21 октября, требовал выплату в размере 50 миллионов долларов США (около 8 миллиардов японских иен). Ни одно из требований не было выполнено компанией GMO, и ничего выплачено не было, написал Кумагаи.

В записке требовалось произвести оплату в биткоинах или эфире до 17:00 по японскому времени в тот же день, указывая, что дочерняя компания GMO, занимающаяся криптобиржей, могла бы оплатить немедленно.

GMO заявила, что выплата не гарантирует, что украденные данные не будут использованы неправильно. Компания сотрудничает с полицией и другими органами власти в решении этого вопроса.

Кумагаи отверг критику в отношении того, что единая выплата в размере 5000 иен всем клиентам как знак доброй воли была попыткой закрыть вопрос. По его словам, это был лишь первый шаг.

GMO Internet гарантирует проверку и компенсацию убытков от мошеннических сделок, связанных с утечкой данных. Если биржа откажет в возврате средств, она обязана самостоятельно покрыть полную сумму законных убытков.

Группа также обязалась предоставить бесплатную среду для замены сроком на шесть месяцев, восстановить базовую инфраструктуру системы и провести независимый анализ первопричины инцидента. В сфере защиты и анализа журналов событий участвуют GMO Cyber Security by Ierae и GMO Flatt Security, где работают около 200 специалистов по безопасности, включая бывших сотрудников Интерпола.

GMO также начала подавать запросы в суд для установления личностей злоумышленников.

Кумагаи назвал атаку примером «кибератаки, насыщенной ИИ», когда недорогие инструменты на базе искусственного интеллекта позволяют злоумышленникам подавлять защиту. Специалисты GMO Cyber Security by Ierae обнаружили автономный инструмент для тестирования уязвимостей ARTEX, разработанный для нужд обороны, который был использован злоумышленниками при атаках примерно на 20 японских компаний.

Он также упомянул недавние уязвимости PHP, в результате которых автоматизированные атаки достигли миллионов попыток за несколько часов. Согласно данным Cryptopolitan, две уязвимости PHP2Shell имеют оценку серьезности 9,2 из 10, а исправления были выпущены компанией PHP 21 октября.

GMO не связала свой инцидент с уязвимостями PHP flaws.

24 октября Кумагаи обратился к Токийскому столичному правительству с просьбой применить закон об активной киберобороне, вступивший в силу 1 октября. Поскольку GMO не входит в перечень операторов критической информационной инфраструктуры согласно этому закону, он признал, что окончательное решение остается за правительством.

Вечером в понедельник премьер-министр Саэ Такэйчи заявила, что правительство планирует подготовить пакет экстренных мер по обеспечению кибербезопасности к следующей неделе.