GMO Internet Group объявила о вознаграждении до 1 миллиона долларов за информацию, которая поможет установить личности и задержать причастных к взлому сервиса Desktop Cloud. Программа GMO Cybercrime Bounty открылась 28 октября. Она завершится после ареста, публикации международного розыска или 27 октября 2027 года — в зависимости от того, что произойдёт раньше.
Сервис предоставлял клиентам удалённые рабочие столы Windows для торговли на валютном рынке. 20 октября GMO Internet, дочерняя компания, которая обслуживает платформу, обнаружила вредоносные программы на некоторых серверах. С 21 октября GMO отключила серверы на всех тарифах. Компания оценивает число потенциально затронутых серверов в 26 739, но это не означает, что каждый из них был взломан или что с каждого похитили данные.
21 октября клиенты начали сообщать о незнакомых сделках. 24 октября GMO подтвердила проблемы с защитой систем, несанкционированный доступ и утечку клиентской информации из компании. На серверах могли просматривать данные, сохранённые в торговых программах, в том числе логины и пароли для MetaTrader 4 и MetaTrader 5 (MT4/MT5). Банковские карты клиентов, по заявлению GMO, на этих серверах не хранились.
OANDA Japan подтвердила, что третья сторона входила в аккаунты некоторых клиентов и совершала сделки, используя пары логин-пароль, которые, предположительно, утекли с серверов GMO. Брокер ограничил торговлю на потенциально затронутых счетах; по состоянию на 26 октября следов проникновения в собственные основные системы OANDA Japan не обнаружила. FXTF 22 октября предупредила о возможной краже данных клиентов, использовавших VPS, и посоветовала менять пароль FXTF с устройства, которое никогда не подключалось к Desktop Cloud.
По словам GMO, 21 октября предполагаемые злоумышленники потребовали около 50 миллионов долларов, или примерно 8 миллиардов иен. Компания отказалась платить. Они угрожали продолжить манипуляции со счетами клиентов более чем в 70 брокерских и валютных компаниях, опубликовать сведения о пользователях и их компьютерах, заразить устройства программой-вымогателем и раскрыть данные о системах GMO. Сроком для публикации информации и запуска атаки они назначили полдень 27 октября. По состоянию на 13:55 того дня о подтверждённом заражении программой-вымогателем не сообщалось.
27 октября злоумышленники разместили на своём сайте материалы, которые назвали сведениями о GMO и её клиентах. ITmedia NEWS сообщило, что среди них были данные, представленные как личная информация одного клиента; GMO проверяла материалы. Компания также заявила, что сайт собирал данные о посетителях, и рекомендовала им провести полную антивирусную проверку. Домен и зеркала сайта отключили около 4:00 28 октября по японскому времени. GMO попросила не заходить на этот сайт и его копии, не распространять ссылки и не перепубликовывать материалы.
Заявки на вознаграждение принимают по электронной почте на адрес, указанный на специальном сайте. Писать можно по-японски, по-английски или по-китайски, в том числе анонимно. GMO ищет доказательства, связывающие с атакой людей, серверы, домены, IP-адреса, аккаунты или криптовалютные адреса, а также сведения о вымогательстве и перемещении денег. Предположения, необоснованные обвинения и перепечатка уже опубликованного не подходят. Выплата положена, только если информация поможет добиться ареста, в том числе за пределами Японии, или международного розыска, например уведомления Интерпола по красному циркуляру. Сумму для каждого заявителя определит GMO: один человек может получить весь миллион долларов, либо награду разделят; если подходящих сведений не будет, выплат тоже не будет.
До получения денег заявителю придётся подтвердить личность. Участвовавшие в преступлении, незаконно добывшие информацию — например, купившие слитые данные, — и сотрудники GMO к программе не допускаются. Компания просит не взламывать системы, не вести переговоры с преступниками, не платить им и не пересылать похищенные данные, пароли или вредоносные программы. Сведения могут передавать полиции и другим ведомствам в Японии и за рубежом; доказательства угроз GMO уже направила полиции. Компания предупреждает о мошенниках: она не будет запрашивать пароли, коды подтверждения или плату и станет писать только с адресов, оканчивающихся на @cybercrimebounty.gmo.
В заявлении для биржи от 28 октября группа GMO признала, что пока не знает, сколько клиентов охватят выплаты, какой объём информации оказался опубликован и какие именно сделки признают основанием для компенсации. Влияния инцидента на другие сервисы компании также не подтвердили. GMO Internet обещала выплатить каждому действующему пользователю 5 000 иен, возместить фактические торговые убытки и комиссии по сделкам, которые компания сочтёт несанкционированными и связанными со взломом, а также выплатить от 10 000 до 25 000 иен за каждый тип информации, если подтвердится её публикация. Возвращать Desktop Cloud на взломанные системы GMO не намерена; согласившимся клиентам предложат отдельный сервис с рабочим столом Windows бесплатно на шесть месяцев. Подробности обещали сообщить до 30 октября.
Причину проникновения на 28 октября GMO не раскрыла. В записи от 25 октября глава группы Масатоси Кумагаи написал, что специалисты по этичному хакингу заранее предупреждали команду сервиса о проблемах, но реакция оказалась недостаточно быстрой и полной, и злоумышленники воспользовались этим промежутком. На своём сайте нападавшие утверждали, что одна учётная запись администратора использовалась на всех серверах, а при подключении клиентские диски по умолчанию были видны с серверов. Они также заявляли, что использовали уязвимость сервиса для доступа к компьютерам клиентов. ITmedia NEWS сообщило об этих утверждениях; GMO их публично не подтверждала. К 26 октября компания собрала компьютеры клиентов, согласившихся на проверку. В 11:59 27 октября на уже проверенных устройствах вредоносных программ, включая шифровальщики, не нашли, но анализ продолжался: этот результат не гарантировал безопасность всех компьютеров.
Клиентам Desktop Cloud GMO рекомендовала менять пароли торговых счетов и программ с устройства, которое не использовалось для FX-торговли, например с телефона, а затем завершить все активные сеансы — при необходимости через брокера. Нужно проверить историю операций и остатки, о незнакомых сделках сразу сообщить брокеру и включить двухфакторную аутентификацию, если она доступна. Следует заменить повторно используемые пароли и те, что сохранены в браузере, просканировать подключавшиеся устройства антивирусом и сделать резервную копию данных. Сообщения от людей, выдающих себя за участников атаки, лучше не открывать; ссылки и файлы из них запускать не нужно. Предложения вернуть потерянные деньги за плату GMO советует игнорировать.
Изображение носит иллюстративный характер
Сервис предоставлял клиентам удалённые рабочие столы Windows для торговли на валютном рынке. 20 октября GMO Internet, дочерняя компания, которая обслуживает платформу, обнаружила вредоносные программы на некоторых серверах. С 21 октября GMO отключила серверы на всех тарифах. Компания оценивает число потенциально затронутых серверов в 26 739, но это не означает, что каждый из них был взломан или что с каждого похитили данные.
21 октября клиенты начали сообщать о незнакомых сделках. 24 октября GMO подтвердила проблемы с защитой систем, несанкционированный доступ и утечку клиентской информации из компании. На серверах могли просматривать данные, сохранённые в торговых программах, в том числе логины и пароли для MetaTrader 4 и MetaTrader 5 (MT4/MT5). Банковские карты клиентов, по заявлению GMO, на этих серверах не хранились.
OANDA Japan подтвердила, что третья сторона входила в аккаунты некоторых клиентов и совершала сделки, используя пары логин-пароль, которые, предположительно, утекли с серверов GMO. Брокер ограничил торговлю на потенциально затронутых счетах; по состоянию на 26 октября следов проникновения в собственные основные системы OANDA Japan не обнаружила. FXTF 22 октября предупредила о возможной краже данных клиентов, использовавших VPS, и посоветовала менять пароль FXTF с устройства, которое никогда не подключалось к Desktop Cloud.
По словам GMO, 21 октября предполагаемые злоумышленники потребовали около 50 миллионов долларов, или примерно 8 миллиардов иен. Компания отказалась платить. Они угрожали продолжить манипуляции со счетами клиентов более чем в 70 брокерских и валютных компаниях, опубликовать сведения о пользователях и их компьютерах, заразить устройства программой-вымогателем и раскрыть данные о системах GMO. Сроком для публикации информации и запуска атаки они назначили полдень 27 октября. По состоянию на 13:55 того дня о подтверждённом заражении программой-вымогателем не сообщалось.
27 октября злоумышленники разместили на своём сайте материалы, которые назвали сведениями о GMO и её клиентах. ITmedia NEWS сообщило, что среди них были данные, представленные как личная информация одного клиента; GMO проверяла материалы. Компания также заявила, что сайт собирал данные о посетителях, и рекомендовала им провести полную антивирусную проверку. Домен и зеркала сайта отключили около 4:00 28 октября по японскому времени. GMO попросила не заходить на этот сайт и его копии, не распространять ссылки и не перепубликовывать материалы.
Заявки на вознаграждение принимают по электронной почте на адрес, указанный на специальном сайте. Писать можно по-японски, по-английски или по-китайски, в том числе анонимно. GMO ищет доказательства, связывающие с атакой людей, серверы, домены, IP-адреса, аккаунты или криптовалютные адреса, а также сведения о вымогательстве и перемещении денег. Предположения, необоснованные обвинения и перепечатка уже опубликованного не подходят. Выплата положена, только если информация поможет добиться ареста, в том числе за пределами Японии, или международного розыска, например уведомления Интерпола по красному циркуляру. Сумму для каждого заявителя определит GMO: один человек может получить весь миллион долларов, либо награду разделят; если подходящих сведений не будет, выплат тоже не будет.
До получения денег заявителю придётся подтвердить личность. Участвовавшие в преступлении, незаконно добывшие информацию — например, купившие слитые данные, — и сотрудники GMO к программе не допускаются. Компания просит не взламывать системы, не вести переговоры с преступниками, не платить им и не пересылать похищенные данные, пароли или вредоносные программы. Сведения могут передавать полиции и другим ведомствам в Японии и за рубежом; доказательства угроз GMO уже направила полиции. Компания предупреждает о мошенниках: она не будет запрашивать пароли, коды подтверждения или плату и станет писать только с адресов, оканчивающихся на @cybercrimebounty.gmo.
В заявлении для биржи от 28 октября группа GMO признала, что пока не знает, сколько клиентов охватят выплаты, какой объём информации оказался опубликован и какие именно сделки признают основанием для компенсации. Влияния инцидента на другие сервисы компании также не подтвердили. GMO Internet обещала выплатить каждому действующему пользователю 5 000 иен, возместить фактические торговые убытки и комиссии по сделкам, которые компания сочтёт несанкционированными и связанными со взломом, а также выплатить от 10 000 до 25 000 иен за каждый тип информации, если подтвердится её публикация. Возвращать Desktop Cloud на взломанные системы GMO не намерена; согласившимся клиентам предложат отдельный сервис с рабочим столом Windows бесплатно на шесть месяцев. Подробности обещали сообщить до 30 октября.
Причину проникновения на 28 октября GMO не раскрыла. В записи от 25 октября глава группы Масатоси Кумагаи написал, что специалисты по этичному хакингу заранее предупреждали команду сервиса о проблемах, но реакция оказалась недостаточно быстрой и полной, и злоумышленники воспользовались этим промежутком. На своём сайте нападавшие утверждали, что одна учётная запись администратора использовалась на всех серверах, а при подключении клиентские диски по умолчанию были видны с серверов. Они также заявляли, что использовали уязвимость сервиса для доступа к компьютерам клиентов. ITmedia NEWS сообщило об этих утверждениях; GMO их публично не подтверждала. К 26 октября компания собрала компьютеры клиентов, согласившихся на проверку. В 11:59 27 октября на уже проверенных устройствах вредоносных программ, включая шифровальщики, не нашли, но анализ продолжался: этот результат не гарантировал безопасность всех компьютеров.
Клиентам Desktop Cloud GMO рекомендовала менять пароли торговых счетов и программ с устройства, которое не использовалось для FX-торговли, например с телефона, а затем завершить все активные сеансы — при необходимости через брокера. Нужно проверить историю операций и остатки, о незнакомых сделках сразу сообщить брокеру и включить двухфакторную аутентификацию, если она доступна. Следует заменить повторно используемые пароли и те, что сохранены в браузере, просканировать подключавшиеся устройства антивирусом и сделать резервную копию данных. Сообщения от людей, выдающих себя за участников атаки, лучше не открывать; ссылки и файлы из них запускать не нужно. Предложения вернуть потерянные деньги за плату GMO советует игнорировать.
