اختراق خوادم GMO للتداول الآلي في سوق العملات الأجنبية؛ المهاجمون يتداولون عبر حسابات المستخدمين ويبتزون الشركة
تعرّضت خدمة «お名前.com デスクトップクラウド»، وهي خدمة خوادم سحابية للتداول الآلي في سوق العملات الأجنبية تديرها شركة GMO Internet التابعة لمجموعة GMO Internet اليابانية (رمزها في بورصة طوكيو 4784)، للاختراق. وأكد التقرير الرابع الذي أصدرته GMO في 24 أكتوبر أن بيئة الخدمة تعرضت للاختراق وسُرقت بيانات العملاء، وأن أوامر تداول لم يضعها أصحابها ظهرت في حسابات الأوراق المالية والعملات الأجنبية لبعض المستخدمين. وطالب المهاجمون GMO بالمال، وهددوا بمواصلة التداول عبر حسابات المستخدمين المفتوحة لدى أكثر من 70 شركة وساطة ومؤسسة تداول عملات أجنبية محلية ودولية. وأعلنت GMO أنها لن تدفع لهم.
احتمال تأثر 26,739 خادماً وإيقاف جميع الخطط
تتيح هذه الخدمة سطح مكتب سحابياً يعمل بنظام Windows، بحيث يستطيع المستخدمون تشغيل برامج التداول الآلي مثل MetaTrader 4 وMetaTrader 5 (MT4 وMT5) على مدار الساعة، من دون الحاجة إلى إبقاء أجهزتهم الشخصية قيد التشغيل. ووفقاً للتقرير الأول الصادر عن GMO في 21 أكتوبر، اكتُشفت في 20 أكتوبر برامج ضارة ثبّتها طرف ثالث على بعض خوادم المستخدمين، وقد يكون عدد الخوادم المتأثرة 26,739، كما يُحتمل أن تكون البيانات المخزنة على الخوادم قد قُرئت. وابتداءً من الساعة 4:00 فجراً في 21 أكتوبر (بتوقيت اليابان)، بدأت GMO بإيقاف الخوادم المشمولة بجميع الخطط تباعاً.
ويورد التقرير الرابع التسلسل الآتي للأحداث: بدأ التحقيق بعد تلقي استفسار من أحد المستخدمين في 19 أكتوبر؛ وابتداءً من 21 أكتوبر، أخذ المستخدمون يبلغون عن ظهور معاملات مجهولة في حساباتهم؛ وفي 22 أكتوبر، أُبلغت الشرطة بالحادثة.
ثلاثة تهديدات من المهاجمين؛ GMO ترفض الدفع وتطلب تدخّل الحكومة
يسرد التقرير الرابع ثلاثة تهديدات أطلقها المهاجمون: مواصلة وضع أوامر تداول غير مشروعة في حسابات المستخدمين واستنزاف أرصدتها؛ ونشر معلومات عن الخدمة نفسها وأجهزة الكمبيوتر التي يتصل بها المستخدمون، إلى جانب شن هجوم ببرمجيات الفدية؛ ونشر معلومات عن أنظمة GMO وآليات تشغيلها. وأوضحت GMO أن الدفع لا يضمن حذف البيانات المسروقة ولا يمنع إساءة استخدامها، وأنها سلّمت أدلة، منها سجلات الاتصالات، إلى قسم الجرائم الإلكترونية في الشرطة.
كما طلبت GMO من شركات الوساطة الرئيسية والبورصات حظر الاتصالات الواردة عبر هذه الخدمة وقطع جميع جلسات الاتصال النشطة قسراً. وإضافة إلى ذلك، طلبت GMO من الحكومة اليابانية التعامل مع القضية بوصفها «الحالة رقم 1 لإطلاق» ما يُعرف بـ«الدفاع السيبراني الاستباقي» (أي تتبّع البنية التحتية للمهاجمين وتعطيلها بقيادة الدولة).
تعويض مواساة قدره 5,000 ين لكل مستخدم، وتعويض منفصل عن خسائر التداول غير المشروع
ستمنح GMO جميع المستخدمين الحاليين تعويض مواساة قدره 5,000 ين، سواء تكبدوا خسائر مالية أم لا. وستعوّض الشركة أيضاً، على نحو منفصل، الخسائر المحققة في التداول والرسوم الناتجة عن معاملات غير مشروعة تقرر GMO أنها ناجمة عن هذا الاختراق. لكن التعويض لا يشمل الأضرار غير المباشرة، مثل الخسائر الناجمة عن تقلبات السوق أو الأرباح التي كان يمكن تحقيقها. وإذا كانت شركة الوساطة قد ردّت الأموال بالفعل، فستعوض GMO الفارق فقط. وسيُعلن عن طريقة تقديم الطلبات بحلول 6 نوفمبر.
لن يُعاد تشغيل النظام القديم المخترق بصورته السابقة. ويمكن للمستخدمين الراغبين في مواصلة استخدام بيئة سطح مكتب Windows الانتقال إلى خدمة بديلة على سحابة مستقلة أخرى، وستكون الخدمة مجانية خلال الأشهر الستة الأولى بعد الانتقال.
المهاجمون يزعمون اختراق أجهزة المستخدمين الشخصية أيضاً؛ وGMO تطلب إجراء فحص شامل للفيروسات
تداول مستخدمون على منصة X لقطات شاشة نشرها متداول العملات الأجنبية الياباني FXWOLF2، وتُظهر تحديثاً لموقع أنشأه المهاجمون بتاريخ 24 أكتوبر. وزعم المهاجمون أن شبكة خوادم الخدمة تعتمد بنية Active Directory، وأن فيها حساباً يملك صلاحيات إدارية على جميع الخوادم؛ كما أن ملفات إعداد الاتصال عن بُعد عبر RDP التي توفرها GMO تفعّل افتراضياً «إعادة توجيه الأقراص»، ما يتيح لهم الاتصال عكسياً من الخادم بأجهزة المستخدمين الشخصية وسحب البيانات منها وتثبيت أبواب خلفية. وهدد المهاجمون أيضاً بإرسال سجل تصفح المستخدمين وبيانات حساباتهم في MT4 وMT5 إلى أقاربهم ومعارفهم في العمل. ولم ترد GMO حتى الآن على هذه الادعاءات أو تؤكدها.
وحذرت GMO في التقرير الرابع من احتمال أن ينشر المهاجمون لاحقاً بيانات يزعمون أنها تخص GMO أو المستخدمين، وقد تتضمن معلومات غير صحيحة. أما التقرير الخامس الصادر في اليوم نفسه، فطلب من المستخدمين إجراء فحص شامل للفيروسات على أجهزة الكمبيوتر والهواتف والاحتفاظ بنسخة احتياطية من البيانات، موضحاً أن نطاق التحقيق «يشمل التأثير في أجهزة العملاء». وينبغي لمستخدمي MT4 وMT5 تغيير كلمات مرور حساباتهم وأدوات التداول باستخدام جهاز لم يُستخدم للتداول، وقطع جميع جلسات الاتصال النشطة، وتفعيل التحقق بخطوتين.
GMO Coin: لم يُكتشف حتى الآن أي تداول غير مشروع عبر حسابات الشركة
أصدرت GMO Coin، وهي منصة تداول للعملات المشفرة تابعة للمجموعة نفسها، تنبيهاً في 23 أكتوبر، أشارت فيه إلى ظهور معاملات غير مشروعة يُشتبه في أن أدوات التداول الآلي تسببت بها لدى عدة شركات لتداول العملات الأجنبية. وقالت الشركة إنها «لم تتحقق حتى هذه المرحلة» من وجود أي تداول غير مشروع عبر حساباتها. وطلبت GMO Coin من المستخدمين مراجعة سجلات التداول والأوامر، وإعداد مفتاح مرور (passkey)، وتفعيل إشعارات تسجيل الدخول وتنفيذ الصفقات، وحذف مفاتيح API غير المستخدمة أو مجهولة المصدر.
نُشر هذا المقال «اختراق خوادم GMO للتداول الآلي في سوق العملات الأجنبية؛ المهاجمون يتداولون عبر حسابات المستخدمين ويبتزون الشركة» لأول مرة في .
تعرّضت خدمة «お名前.com デスクトップクラウド»، وهي خدمة خوادم سحابية للتداول الآلي في سوق العملات الأجنبية تديرها شركة GMO Internet التابعة لمجموعة GMO Internet اليابانية (رمزها في بورصة طوكيو 4784)، للاختراق. وأكد التقرير الرابع الذي أصدرته GMO في 24 أكتوبر أن بيئة الخدمة تعرضت للاختراق وسُرقت بيانات العملاء، وأن أوامر تداول لم يضعها أصحابها ظهرت في حسابات الأوراق المالية والعملات الأجنبية لبعض المستخدمين. وطالب المهاجمون GMO بالمال، وهددوا بمواصلة التداول عبر حسابات المستخدمين المفتوحة لدى أكثر من 70 شركة وساطة ومؤسسة تداول عملات أجنبية محلية ودولية. وأعلنت GMO أنها لن تدفع لهم.
احتمال تأثر 26,739 خادماً وإيقاف جميع الخطط
تتيح هذه الخدمة سطح مكتب سحابياً يعمل بنظام Windows، بحيث يستطيع المستخدمون تشغيل برامج التداول الآلي مثل MetaTrader 4 وMetaTrader 5 (MT4 وMT5) على مدار الساعة، من دون الحاجة إلى إبقاء أجهزتهم الشخصية قيد التشغيل. ووفقاً للتقرير الأول الصادر عن GMO في 21 أكتوبر، اكتُشفت في 20 أكتوبر برامج ضارة ثبّتها طرف ثالث على بعض خوادم المستخدمين، وقد يكون عدد الخوادم المتأثرة 26,739، كما يُحتمل أن تكون البيانات المخزنة على الخوادم قد قُرئت. وابتداءً من الساعة 4:00 فجراً في 21 أكتوبر (بتوقيت اليابان)، بدأت GMO بإيقاف الخوادم المشمولة بجميع الخطط تباعاً.
ويورد التقرير الرابع التسلسل الآتي للأحداث: بدأ التحقيق بعد تلقي استفسار من أحد المستخدمين في 19 أكتوبر؛ وابتداءً من 21 أكتوبر، أخذ المستخدمون يبلغون عن ظهور معاملات مجهولة في حساباتهم؛ وفي 22 أكتوبر، أُبلغت الشرطة بالحادثة.
ثلاثة تهديدات من المهاجمين؛ GMO ترفض الدفع وتطلب تدخّل الحكومة
يسرد التقرير الرابع ثلاثة تهديدات أطلقها المهاجمون: مواصلة وضع أوامر تداول غير مشروعة في حسابات المستخدمين واستنزاف أرصدتها؛ ونشر معلومات عن الخدمة نفسها وأجهزة الكمبيوتر التي يتصل بها المستخدمون، إلى جانب شن هجوم ببرمجيات الفدية؛ ونشر معلومات عن أنظمة GMO وآليات تشغيلها. وأوضحت GMO أن الدفع لا يضمن حذف البيانات المسروقة ولا يمنع إساءة استخدامها، وأنها سلّمت أدلة، منها سجلات الاتصالات، إلى قسم الجرائم الإلكترونية في الشرطة.
كما طلبت GMO من شركات الوساطة الرئيسية والبورصات حظر الاتصالات الواردة عبر هذه الخدمة وقطع جميع جلسات الاتصال النشطة قسراً. وإضافة إلى ذلك، طلبت GMO من الحكومة اليابانية التعامل مع القضية بوصفها «الحالة رقم 1 لإطلاق» ما يُعرف بـ«الدفاع السيبراني الاستباقي» (أي تتبّع البنية التحتية للمهاجمين وتعطيلها بقيادة الدولة).
تعويض مواساة قدره 5,000 ين لكل مستخدم، وتعويض منفصل عن خسائر التداول غير المشروع
ستمنح GMO جميع المستخدمين الحاليين تعويض مواساة قدره 5,000 ين، سواء تكبدوا خسائر مالية أم لا. وستعوّض الشركة أيضاً، على نحو منفصل، الخسائر المحققة في التداول والرسوم الناتجة عن معاملات غير مشروعة تقرر GMO أنها ناجمة عن هذا الاختراق. لكن التعويض لا يشمل الأضرار غير المباشرة، مثل الخسائر الناجمة عن تقلبات السوق أو الأرباح التي كان يمكن تحقيقها. وإذا كانت شركة الوساطة قد ردّت الأموال بالفعل، فستعوض GMO الفارق فقط. وسيُعلن عن طريقة تقديم الطلبات بحلول 6 نوفمبر.
لن يُعاد تشغيل النظام القديم المخترق بصورته السابقة. ويمكن للمستخدمين الراغبين في مواصلة استخدام بيئة سطح مكتب Windows الانتقال إلى خدمة بديلة على سحابة مستقلة أخرى، وستكون الخدمة مجانية خلال الأشهر الستة الأولى بعد الانتقال.
المهاجمون يزعمون اختراق أجهزة المستخدمين الشخصية أيضاً؛ وGMO تطلب إجراء فحص شامل للفيروسات
تداول مستخدمون على منصة X لقطات شاشة نشرها متداول العملات الأجنبية الياباني FXWOLF2، وتُظهر تحديثاً لموقع أنشأه المهاجمون بتاريخ 24 أكتوبر. وزعم المهاجمون أن شبكة خوادم الخدمة تعتمد بنية Active Directory، وأن فيها حساباً يملك صلاحيات إدارية على جميع الخوادم؛ كما أن ملفات إعداد الاتصال عن بُعد عبر RDP التي توفرها GMO تفعّل افتراضياً «إعادة توجيه الأقراص»، ما يتيح لهم الاتصال عكسياً من الخادم بأجهزة المستخدمين الشخصية وسحب البيانات منها وتثبيت أبواب خلفية. وهدد المهاجمون أيضاً بإرسال سجل تصفح المستخدمين وبيانات حساباتهم في MT4 وMT5 إلى أقاربهم ومعارفهم في العمل. ولم ترد GMO حتى الآن على هذه الادعاءات أو تؤكدها.
وحذرت GMO في التقرير الرابع من احتمال أن ينشر المهاجمون لاحقاً بيانات يزعمون أنها تخص GMO أو المستخدمين، وقد تتضمن معلومات غير صحيحة. أما التقرير الخامس الصادر في اليوم نفسه، فطلب من المستخدمين إجراء فحص شامل للفيروسات على أجهزة الكمبيوتر والهواتف والاحتفاظ بنسخة احتياطية من البيانات، موضحاً أن نطاق التحقيق «يشمل التأثير في أجهزة العملاء». وينبغي لمستخدمي MT4 وMT5 تغيير كلمات مرور حساباتهم وأدوات التداول باستخدام جهاز لم يُستخدم للتداول، وقطع جميع جلسات الاتصال النشطة، وتفعيل التحقق بخطوتين.
GMO Coin: لم يُكتشف حتى الآن أي تداول غير مشروع عبر حسابات الشركة
أصدرت GMO Coin، وهي منصة تداول للعملات المشفرة تابعة للمجموعة نفسها، تنبيهاً في 23 أكتوبر، أشارت فيه إلى ظهور معاملات غير مشروعة يُشتبه في أن أدوات التداول الآلي تسببت بها لدى عدة شركات لتداول العملات الأجنبية. وقالت الشركة إنها «لم تتحقق حتى هذه المرحلة» من وجود أي تداول غير مشروع عبر حساباتها. وطلبت GMO Coin من المستخدمين مراجعة سجلات التداول والأوامر، وإعداد مفتاح مرور (passkey)، وتفعيل إشعارات تسجيل الدخول وتنفيذ الصفقات، وحذف مفاتيح API غير المستخدمة أو مجهولة المصدر.
نُشر هذا المقال «اختراق خوادم GMO للتداول الآلي في سوق العملات الأجنبية؛ المهاجمون يتداولون عبر حسابات المستخدمين ويبتزون الشركة» لأول مرة في .