GMO назначила награду $1 млн за данные о взломе FX-облака
Японская GMO Internet Group объявила вознаграждение до $1 млн за сведения, которые помогут установить участников атаки на сервис Onamae.com Desktop Cloud и приведут к аресту или международному розыску. Сервис предоставлял Windows-рабочие столы для FX-трейдинга; компания остановила серверы всех тарифов 21 октября, а потенциально затронутыми считает 26 739 серверов.
GMO получила требование выплатить около $50 млн, или примерно 8 млрд иен, 21 октября и отказалась платить. По её данным, атакующие похитили информацию клиентов и угрожали продолжить манипуляции с торговыми счетами, опубликовать данные и применить вымогательское ПО.
Условия программы GMO Cybercrime Bounty
Программа GMO Cybercrime Bounty открылась 28 октября. Сообщения можно отправить по электронной почте на адрес, указанный на специальном сайте, на японском, английском или китайском языке, в том числе анонимно. Кампания завершится при аресте, выпуске международного уведомления о розыске либо 27 октября 2027 года — в зависимости от того, что произойдёт раньше.
GMO интересуют сведения, связывающие с атакой людей, серверы, домены, IP-адреса, учётные записи и криптовалютные адреса, а также доказательства способа атаки, вымогательства или движения денег. Неподтверждённые предположения, публичные перепечатки и обвинения без доказательств не подходят для выплаты.
Деньги будут выплачены только в случае, если информация приведёт к аресту, в том числе за пределами Японии, либо к международному розыску, например уведомлению Interpol Red Notice. Один информатор может получить всю сумму, либо вознаграждение разделят между несколькими участниками. Перед выплатой потребуется подтвердить личность.
Компания не будет платить участникам преступления, сотрудникам GMO и тем, кто получил сведения незаконно, например купив утёкшие данные. Она отдельно просит не взламывать системы, не вести переговоры с атакующими, не платить им и не отправлять украденные данные, учётные данные или вредоносные файлы.
Риск для торговых учётных записей
20 октября GMO Internet обнаружила вредоносные программы на части серверов клиентов. 24 октября компания подтвердила проблему безопасности в системах сервиса, несанкционированный доступ и выгрузку клиентской информации. Данные, хранившиеся на серверах, могли быть просмотрены, включая сохранённые в торговом ПО MetaTrader 4 и MetaTrader 5 логины и пароли. Данные банковских карт на этих серверах не хранились.
Брокер OANDA Japan подтвердил, что третья сторона вошла в часть клиентских аккаунтов и совершала операции, используя пары идентификаторов и паролей, которые, по его оценке, были раскрыты через серверы GMO. Брокер ограничил торговлю на потенциально затронутых счетах и на 26 октября не обнаружил взлома либо утечки в собственных ключевых системах.
FXTF также предупредил клиентов о возможной краже учётных данных пользователей VPS и рекомендовал тем, кто подключался к Desktop Cloud, сменить пароль с устройства, которое никогда не использовалось для подключения к сервису. GMO пообещала текущим пользователям по 5 000 иен и заявила о покрытии подтверждённых убытков и комиссий от несанкционированных сделок, связанных со взломом.
Что делать пользователям и компаниям
GMO рекомендует сменить пароли к торговым аккаунтам и ПО с устройства, не применявшегося для FX-операций, завершить все активные сессии и проверить историю сделок и балансы. При обнаружении неизвестных операций следует в первую очередь обратиться к брокеру.
Дополнительно следует включить двухфакторную аутентификацию, если её поддерживает брокер, заменить повторно использованные пароли, проверить подключавшиеся устройства антивирусом и создать резервные копии данных. Компания призывает не посещать сайты атакующих, не открывать их ссылки и файлы и не отвечать на сообщения от лиц, заявляющих о причастности к инциденту. Для бизнеса этот случай подчёркивает необходимость отделять торговые рабочие среды от личных устройств и немедленно отзывать сессии после компрометации внешнего сервиса.