GMO-Devisenhandelsserver gehackt: Angreifer gaben im Namen von Nutzern Handelsaufträge auf und erpressten GMO
Der von GMO Internet (Börsenkürzel Tokio: 4784), einer Tochtergesellschaft der japanischen GMO Internet Group, betriebene Cloud-Serverdienst für automatisierten Devisenhandel „お名前.com デスクトップクラウド“ wurde gehackt. Im vierten Bericht vom 24. Oktober bestätigte GMO, dass die Dienstumgebung kompromittiert und Kundendaten entwendet wurden. Auf den Wertpapier- und Devisenkonten einiger Nutzer wurden Aufträge festgestellt, die nicht von ihnen stammten. Die Angreifer forderten Geld von GMO und drohten damit, weiterhin auf Konten der Nutzer bei mehr als 70 in- und ausländischen Wertpapier- und Devisenhandelsunternehmen zuzugreifen. GMO erklärte, nicht zahlen zu wollen.
26.739 Server möglicherweise betroffen, alle Tarife eingestellt
Der Dienst stellt Windows-Desktops in der Cloud bereit, auf denen Nutzer automatisierte Handelsprogramme wie MetaTrader 4 und MetaTrader 5 (MT4 und MT5) rund um die Uhr ausführen können, ohne den eigenen Computer ständig eingeschaltet lassen zu müssen. Laut GMOs erstem Bericht vom 21. Oktober wurde am 20. Oktober auf den Servern einiger Nutzer Schadsoftware entdeckt, die von Dritten installiert worden war. Möglicherweise sind 26.739 Server betroffen; die darauf gespeicherten Daten könnten ausgelesen worden sein. Ab 4 Uhr morgens am 21. Oktober (japanischer Zeit) schaltete GMO die Server aller Tarife schrittweise ab.
Der im vierten Bericht aufgeführte Ablauf: Nach einer Anfrage eines Nutzers am 19. Oktober wurde eine Untersuchung eingeleitet. Ab dem 21. Oktober meldeten nach und nach Nutzer unbekannte Transaktionen auf ihren Konten. Am 22. Oktober erstattete GMO Anzeige bei der Polizei.
Drei Drohungen der Angreifer, GMO verweigert Zahlung und fordert staatliches Eingreifen
Im vierten Bericht führt GMO drei Drohungen der Angreifer auf: Sie würden weiterhin unrechtmäßige Handelsaufträge auf den Handelskonten der Nutzer platzieren und deren Guthaben aufbrauchen; Informationen über den Dienst selbst und die mit ihm verbundenen Computer der Nutzer veröffentlichen und einen Ransomware-Angriff starten; sowie Informationen über die Systeme und den Betrieb von GMO veröffentlichen. GMO erklärte, eine Zahlung könne weder garantieren, dass die entwendeten Daten gelöscht würden, noch deren missbräuchliche Verwendung verhindern. Beweise wie Kommunikationsprotokolle seien der Abteilung für Cyberkriminalität der Polizei übergeben worden.
GMO hat außerdem große Wertpapierhändler und Börsen aufgefordert, Verbindungen über diesen Dienst zu blockieren und alle bestehenden Sitzungen zwangsweise zu trennen. Darüber hinaus bat GMO die japanische Regierung, den Fall als „ersten Einsatz“ der „aktiven Cyberabwehr“ (vom Staat geleitete Verfolgung und Ausschaltung der Infrastruktur von Angreifern) zu behandeln.
5.000 Yen Entschädigung pro Person, zusätzliche Erstattung von Verlusten durch unrechtmäßige Transaktionen
GMO zahlt allen derzeitigen Nutzern unabhängig davon, ob ihnen ein finanzieller Verlust entstanden ist, eine Entschädigung von 5.000 Yen. Von GMO als Folge des Einbruchs eingestufte unrechtmäßige Transaktionen werden zusätzlich erstattet: realisierte Handelsverluste und Gebühren der Nutzer. Verluste durch Marktschwankungen sowie indirekte Schäden wie entgangene Gewinne sind jedoch ausgeschlossen. Hat ein Wertpapierhändler bereits eine Rückerstattung geleistet, gleicht GMO nur die Differenz aus. Informationen zur Antragstellung sollen bis zum 6. November veröffentlicht werden.
Das kompromittierte Altsystem wird nicht in seiner ursprünglichen Form wiederhergestellt. Nutzer, die weiterhin eine Windows-Desktopumgebung verwenden möchten, können zu einem Ersatzdienst auf einer separaten Cloud wechseln. Die ersten sechs Monate nach dem Wechsel sind kostenlos.
Angreifer behaupten, auch die privaten Computer der Nutzer gehackt zu haben; GMO fordert umfassende Virenscans
Am 24. Oktober aktualisierten die Angreifer ihre Website. Screenshots davon verbreitete der japanische Devisenhändler FXWOLF2 auf X. Die Angreifer behaupteten, das Servernetzwerk des Dienstes verwende eine Active-Directory-Architektur und verfüge über ein Konto mit Verwaltungsrechten für alle Server. Da in den von GMO bereitgestellten RDP-Konfigurationsdateien für den Fernzugriff standardmäßig die „Laufwerksumleitung“ aktiviert sei, hätten sie von den Servern aus auf die privaten Computer der Nutzer zugreifen, Daten entnehmen und Hintertüren installieren können. Die Angreifer drohten außerdem, den Browserverlauf der Nutzer sowie ihre MT4- und MT5-Kontodaten an deren Freunde, Verwandte und Geschäftspartner zu schicken. GMO hat bislang weder auf diese Behauptungen reagiert noch sie bestätigt.
Im vierten Bericht warnte GMO, dass die Angreifer künftig möglicherweise Daten veröffentlichen könnten, die sie als Daten von GMO oder den Nutzern ausgeben, und dass diese falsche Angaben enthalten könnten. Im ebenfalls am selben Tag veröffentlichten fünften Bericht forderte das Unternehmen die Nutzer auf, ihre Computer und Mobiltelefone vollständig auf Viren zu überprüfen und ihre Daten zu sichern. Die Untersuchung umfasse „auch die Auswirkungen auf Kundengeräte“. Nutzer von MT4 und MT5 sollten ihre Konto- und Handelssoftwarepasswörter von einem Gerät aus ändern, das nicht für den Handel verwendet wurde, alle bestehenden Sitzungen trennen und die Zwei-Faktor-Authentifizierung aktivieren.
GMO Coin: bislang keine unrechtmäßigen Zugriffe auf eigene Konten festgestellt
Die zum selben Konzern gehörende Kryptowährungsbörse GMO Coin veröffentlichte am 23. Oktober einen Hinweis auf mutmaßlich durch automatisierte Handelsprogramme verursachte unrechtmäßige Transaktionen bei mehreren Devisenhandelsunternehmen. Das Unternehmen erklärte, dass „zum jetzigen Zeitpunkt“ keine unrechtmäßigen Vorgänge auf den eigenen Konten festgestellt worden seien. GMO Coin forderte die Nutzer auf, ihre Handels- und Auftragsprotokolle zu überprüfen, einen Passkey einzurichten, Anmelde- und Ausführungsbenachrichtigungen zu aktivieren und nicht verwendete oder aus unbekannter Quelle stammende API-Schlüssel zu löschen.
Dieser Artikel über den Hack des GMO-Devisenhandelsservers, bei dem Angreifer im Namen von Nutzern Handelsaufträge aufgaben und GMO erpressten, erschien zuerst auf .
Der von GMO Internet (Börsenkürzel Tokio: 4784), einer Tochtergesellschaft der japanischen GMO Internet Group, betriebene Cloud-Serverdienst für automatisierten Devisenhandel „お名前.com デスクトップクラウド“ wurde gehackt. Im vierten Bericht vom 24. Oktober bestätigte GMO, dass die Dienstumgebung kompromittiert und Kundendaten entwendet wurden. Auf den Wertpapier- und Devisenkonten einiger Nutzer wurden Aufträge festgestellt, die nicht von ihnen stammten. Die Angreifer forderten Geld von GMO und drohten damit, weiterhin auf Konten der Nutzer bei mehr als 70 in- und ausländischen Wertpapier- und Devisenhandelsunternehmen zuzugreifen. GMO erklärte, nicht zahlen zu wollen.
26.739 Server möglicherweise betroffen, alle Tarife eingestellt
Der Dienst stellt Windows-Desktops in der Cloud bereit, auf denen Nutzer automatisierte Handelsprogramme wie MetaTrader 4 und MetaTrader 5 (MT4 und MT5) rund um die Uhr ausführen können, ohne den eigenen Computer ständig eingeschaltet lassen zu müssen. Laut GMOs erstem Bericht vom 21. Oktober wurde am 20. Oktober auf den Servern einiger Nutzer Schadsoftware entdeckt, die von Dritten installiert worden war. Möglicherweise sind 26.739 Server betroffen; die darauf gespeicherten Daten könnten ausgelesen worden sein. Ab 4 Uhr morgens am 21. Oktober (japanischer Zeit) schaltete GMO die Server aller Tarife schrittweise ab.
Der im vierten Bericht aufgeführte Ablauf: Nach einer Anfrage eines Nutzers am 19. Oktober wurde eine Untersuchung eingeleitet. Ab dem 21. Oktober meldeten nach und nach Nutzer unbekannte Transaktionen auf ihren Konten. Am 22. Oktober erstattete GMO Anzeige bei der Polizei.
Drei Drohungen der Angreifer, GMO verweigert Zahlung und fordert staatliches Eingreifen
Im vierten Bericht führt GMO drei Drohungen der Angreifer auf: Sie würden weiterhin unrechtmäßige Handelsaufträge auf den Handelskonten der Nutzer platzieren und deren Guthaben aufbrauchen; Informationen über den Dienst selbst und die mit ihm verbundenen Computer der Nutzer veröffentlichen und einen Ransomware-Angriff starten; sowie Informationen über die Systeme und den Betrieb von GMO veröffentlichen. GMO erklärte, eine Zahlung könne weder garantieren, dass die entwendeten Daten gelöscht würden, noch deren missbräuchliche Verwendung verhindern. Beweise wie Kommunikationsprotokolle seien der Abteilung für Cyberkriminalität der Polizei übergeben worden.
GMO hat außerdem große Wertpapierhändler und Börsen aufgefordert, Verbindungen über diesen Dienst zu blockieren und alle bestehenden Sitzungen zwangsweise zu trennen. Darüber hinaus bat GMO die japanische Regierung, den Fall als „ersten Einsatz“ der „aktiven Cyberabwehr“ (vom Staat geleitete Verfolgung und Ausschaltung der Infrastruktur von Angreifern) zu behandeln.
5.000 Yen Entschädigung pro Person, zusätzliche Erstattung von Verlusten durch unrechtmäßige Transaktionen
GMO zahlt allen derzeitigen Nutzern unabhängig davon, ob ihnen ein finanzieller Verlust entstanden ist, eine Entschädigung von 5.000 Yen. Von GMO als Folge des Einbruchs eingestufte unrechtmäßige Transaktionen werden zusätzlich erstattet: realisierte Handelsverluste und Gebühren der Nutzer. Verluste durch Marktschwankungen sowie indirekte Schäden wie entgangene Gewinne sind jedoch ausgeschlossen. Hat ein Wertpapierhändler bereits eine Rückerstattung geleistet, gleicht GMO nur die Differenz aus. Informationen zur Antragstellung sollen bis zum 6. November veröffentlicht werden.
Das kompromittierte Altsystem wird nicht in seiner ursprünglichen Form wiederhergestellt. Nutzer, die weiterhin eine Windows-Desktopumgebung verwenden möchten, können zu einem Ersatzdienst auf einer separaten Cloud wechseln. Die ersten sechs Monate nach dem Wechsel sind kostenlos.
Angreifer behaupten, auch die privaten Computer der Nutzer gehackt zu haben; GMO fordert umfassende Virenscans
Am 24. Oktober aktualisierten die Angreifer ihre Website. Screenshots davon verbreitete der japanische Devisenhändler FXWOLF2 auf X. Die Angreifer behaupteten, das Servernetzwerk des Dienstes verwende eine Active-Directory-Architektur und verfüge über ein Konto mit Verwaltungsrechten für alle Server. Da in den von GMO bereitgestellten RDP-Konfigurationsdateien für den Fernzugriff standardmäßig die „Laufwerksumleitung“ aktiviert sei, hätten sie von den Servern aus auf die privaten Computer der Nutzer zugreifen, Daten entnehmen und Hintertüren installieren können. Die Angreifer drohten außerdem, den Browserverlauf der Nutzer sowie ihre MT4- und MT5-Kontodaten an deren Freunde, Verwandte und Geschäftspartner zu schicken. GMO hat bislang weder auf diese Behauptungen reagiert noch sie bestätigt.
Im vierten Bericht warnte GMO, dass die Angreifer künftig möglicherweise Daten veröffentlichen könnten, die sie als Daten von GMO oder den Nutzern ausgeben, und dass diese falsche Angaben enthalten könnten. Im ebenfalls am selben Tag veröffentlichten fünften Bericht forderte das Unternehmen die Nutzer auf, ihre Computer und Mobiltelefone vollständig auf Viren zu überprüfen und ihre Daten zu sichern. Die Untersuchung umfasse „auch die Auswirkungen auf Kundengeräte“. Nutzer von MT4 und MT5 sollten ihre Konto- und Handelssoftwarepasswörter von einem Gerät aus ändern, das nicht für den Handel verwendet wurde, alle bestehenden Sitzungen trennen und die Zwei-Faktor-Authentifizierung aktivieren.
GMO Coin: bislang keine unrechtmäßigen Zugriffe auf eigene Konten festgestellt
Die zum selben Konzern gehörende Kryptowährungsbörse GMO Coin veröffentlichte am 23. Oktober einen Hinweis auf mutmaßlich durch automatisierte Handelsprogramme verursachte unrechtmäßige Transaktionen bei mehreren Devisenhandelsunternehmen. Das Unternehmen erklärte, dass „zum jetzigen Zeitpunkt“ keine unrechtmäßigen Vorgänge auf den eigenen Konten festgestellt worden seien. GMO Coin forderte die Nutzer auf, ihre Handels- und Auftragsprotokolle zu überprüfen, einen Passkey einzurichten, Anmelde- und Ausführungsbenachrichtigungen zu aktivieren und nicht verwendete oder aus unbekannter Quelle stammende API-Schlüssel zu löschen.
Dieser Artikel über den Hack des GMO-Devisenhandelsservers, bei dem Angreifer im Namen von Nutzern Handelsaufträge aufgaben und GMO erpressten, erschien zuerst auf .