Японская интернет-группа GMO Internet отказалась выполнять требование хакеров о выплате $50 млн в биткоинах (BTC) или эфире (ETH) после взлома облачного сервиса Onamae.com Desktop Cloud. Об этом сообщил генеральный директор группы Масатоси Кумагаи в блоге 26 октября. Требование было зафиксировано в документе от 21 октября в 11:57 по японскому времени; злоумышленники дали срок до 17:00 того же дня и отметили, что криптобиржа группы GMO может провести платеж немедленно. Однако GMO ничего не заплатила и подчеркнула, что выплата не гарантировала бы защиту украденных данных.
Инцидент уже получил конкретное финансовое измерение. 37-летняя трейдер из Осаки сообщила, что ее торговый баланс снизился примерно с ¥3 млн до ¥1,2 млн в период с 21 по 22 октября. В истории счета появились несанкционированные операции, включая сделку по продаже южноафриканского рэнда и покупке евро, которая принесла убыток около ¥1,19 млн. Общая потеря составила около ¥1,8 млн ($12 000). Еще один клиент — 32-летний мужчина из префектуры Сайтама — заявил о потере примерно ¥550 000 через несанкционированные транзакции. По его словам, он также получил письмо от группировки, взявшей на себя ответственность за атаку, с угрозой раскрыть данные клиентов.
Сервис Onamae.com Desktop Cloud позволяет запускать торговое программное обеспечение, включая MetaTrader 4 и MetaTrader 5, а также автоматизированные стратегии на удаленных серверах. Масштаб потенциального ущерба остается неопределенным. GMO ранее сообщила, что под угрозой могли оказаться до 26 739 серверных сред, однако это число отражает потенциально затронутую инфраструктуру, а не подтвержденное количество скомпрометированных брокерских счетов. Компания пока не публиковала общую оценку потерь и не подтвердила, сколько клиентов столкнулись с несанкционированной торговлей. Акции GMO Internet Group в понедельник упали почти на 16% до четырехмесячного минимума.
Хронология атаки: первый сигнал поступил от вопроса клиента 19 октября, на следующий день было обнаружено вредоносное ПО, и GMO начала отключение всех тарифных планов с 19:00 UTC 20 октября. По словам Кумагаи, внутренние специалисты по кибербезопасности ранее предупреждали об уязвимостях сервиса, но реакция оказалась недостаточно глубокой и быстрой, чем воспользовался атакующий.
Компания обещает компенсировать клиентам подтвержденные прямые убытки от несанкционированных сделок, а также связанные комиссии. Обычные рыночные убытки, гипотетическая прибыль и косвенный ущерб исключаются. Если брокер частично возместит потери, GMO вычтет эту сумму из своей выплаты. Кроме того, всем текущим клиентам Onamae.com Desktop Cloud выплатят по ¥5 000 в качестве goodwill-платежа, независимо от наличия финансовых потерь. Уведомить о порядке выплат планируется к 30 октября, детали процесса компенсаций — к 6 ноября. Также предложен альтернативный облачный сервис с шестью месяцами бесплатного доступа.
Нападавшие угрожали дальнейшими несанкционированными операциями по счетам более чем в 70 брокерских и форекс-компаниях, утечкой данных, программами-вымогателями и публикацией внутренних сведений о системах GMO. GMO передала материалы в полицию и начала судебные запросы для установления атакующих. В защите участвуют около 200 специалистов по безопасности, включая бывших сотрудников Интерпола. Кумагаи назвал инцидент примером кибератаки с применением ИИ, при которой дешевые инструменты позволяют злоумышленникам перегружать защитные системы; он также упомянул использование автономного пентест-инструмента ARTEX против примерно 20 японских компаний и недавние массовые попытки эксплуатации уязвимостей PHP, хотя прямая связь с данным взломом не установлена.
