Hackean los servidores de trading automático de divisas de GMO; los atacantes operan cuentas de usuarios y extorsionan a GMO
「お名前.com デスクトップクラウド」, el servicio de servidores en la nube para trading automático de divisas operado por GMO Internet (código 4784 de la Bolsa de Tokio), filial del grupo japonés GMO Internet Group, fue hackeado. En el cuarto informe publicado por GMO el 24 de octubre se confirmó que el entorno del servicio fue vulnerado y que se robaron datos de clientes. Además, en algunas cuentas de valores y divisas de los usuarios aparecieron órdenes que no habían realizado ellos. Los atacantes exigieron dinero a GMO y amenazaron con seguir operando las cuentas que los usuarios tienen en más de 70 corredores de bolsa y proveedores de divisas, dentro y fuera de Japón. GMO declaró que no pagará.
Posible afectación de 26.739 servidores; se suspenden todos los planes
El servicio proporciona escritorios Windows en la nube para que los usuarios ejecuten las 24 horas programas de trading automático como MetaTrader 4 y MetaTrader 5 (MT4 y MT5), sin tener que dejar encendidos sus propios ordenadores. Según el primer informe de GMO, publicado el 21 de octubre, el 20 de octubre se detectó un programa malicioso instalado por terceros en los servidores de algunos usuarios. Es posible que se hayan visto afectados 26.739 servidores y que se hayan leído datos almacenados en ellos. A partir de las 4:00 del 21 de octubre (hora de Japón), GMO comenzó a apagar gradualmente los servidores de todos los planes.
La cronología que figura en el cuarto informe es la siguiente: la investigación comenzó el 19 de octubre, tras una consulta de un usuario; a partir del 21 de octubre, varios usuarios informaron de transacciones desconocidas en sus cuentas; y el 22 de octubre, GMO presentó una denuncia ante la policía.
Tres amenazas de los atacantes; GMO se niega a pagar y pide la intervención del Gobierno
El cuarto informe enumera tres amenazas de los atacantes: seguir introduciendo órdenes no autorizadas en las cuentas de trading de los usuarios y agotar sus saldos; divulgar información sobre el propio servicio y los ordenadores de los usuarios conectados, además de lanzar un ataque de ransomware; y divulgar información sobre los sistemas y la estructura operativa de GMO. GMO explicó que pagar no garantizaría que se borraran los datos robados ni impediría su uso indebido, y que ya entregó a la unidad de ciberdelincuencia de la policía pruebas como los registros de comunicaciones.
GMO también pidió a los principales corredores de bolsa y plataformas de trading que bloquearan las conexiones realizadas a través de este servicio y que desconectaran por la fuerza todas las sesiones activas. Además, solicitó al Gobierno japonés que tratara este caso como el «primer caso de activación» de la «能動的サイバー防御» (defensa cibernética proactiva, es decir, el rastreo y la neutralización de la infraestructura de los atacantes bajo la dirección del Estado).
5.000 yenes para cada usuario; compensación adicional por las pérdidas derivadas de operaciones no autorizadas
GMO entregará 5.000 yenes a todos los usuarios actuales, independientemente de que hayan sufrido pérdidas económicas. También compensará, por separado, las pérdidas ya materializadas en operaciones y las comisiones que GMO determine que fueron consecuencia de esta intrusión. No se cubrirán los daños indirectos, como las pérdidas debidas a las fluctuaciones del mercado o los beneficios que se podrían haber obtenido. Si el corredor de bolsa ya efectuó un reembolso, GMO solo cubrirá la diferencia. El procedimiento para presentar solicitudes se anunciará antes del 6 de noviembre.
El sistema antiguo que fue vulnerado no se restaurará tal cual. Los usuarios que quieran seguir usando un entorno de escritorio Windows podrán migrar a un servicio alternativo alojado en una nube independiente. Los primeros seis meses después de la migración serán gratuitos.
Los atacantes afirman que también se infiltraron en los ordenadores personales de los usuarios; GMO pide análisis antivirus exhaustivos
El 24 de octubre, el sitio web creado por los atacantes publicó una actualización que se difundió en X mediante capturas de pantalla de FXWOLF2, un operador japonés de divisas. Los atacantes afirmaron que la red de servidores del servicio utiliza una arquitectura de Active Directory y que existe una cuenta con privilegios administrativos sobre todos los servidores. También aseguraron que, como los perfiles de conexión remota RDP proporcionados por GMO tienen activada de forma predeterminada la «redirección de unidades», podían conectarse desde los servidores a los ordenadores personales de los usuarios, extraer datos e instalar puertas traseras. Los atacantes amenazaron además con enviar el historial de navegación de los usuarios y los datos de sus cuentas de MT4 y MT5 a sus familiares y contactos comerciales. GMO no ha respondido ni confirmado estas afirmaciones.
En el cuarto informe, GMO advirtió que los atacantes podrían divulgar posteriormente datos que afirmaran pertenecer a GMO o a los usuarios, y que parte de esa información podría ser falsa. En el quinto informe, publicado el mismo día, pidió a los usuarios que realizaran análisis antivirus completos en sus ordenadores y teléfonos y que hicieran copias de seguridad de sus datos. También indicó que la investigación «incluye los efectos en los dispositivos de los clientes». A los usuarios de MT4 y MT5 les recomendó cambiar las contraseñas de sus cuentas y herramientas de trading desde un dispositivo que no utilicen para operar, cerrar todas las sesiones activas y activar la verificación en dos pasos.
GMO Coin: todavía no se han detectado operaciones no autorizadas en sus propias cuentas
El 23 de octubre, GMO Coin, la plataforma de intercambio de criptomonedas del mismo grupo, publicó un aviso en el que señalaba que varios proveedores de divisas habían registrado operaciones no autorizadas que parecían estar relacionadas con herramientas de trading automático. La empresa indicó que «por el momento no ha confirmado» operaciones no autorizadas en sus propias cuentas. GMO Coin pidió a los usuarios que revisaran el historial de operaciones y órdenes, configuraran una clave de acceso (passkey), activaran las notificaciones de inicio de sesión y de operaciones ejecutadas, y eliminaran las claves API que no utilizaran o cuyo origen desconocieran.
Este artículo, «Hackean los servidores de trading automático de divisas de GMO; los atacantes operan cuentas de usuarios y extorsionan a GMO», apareció originalmente en .
「お名前.com デスクトップクラウド」, el servicio de servidores en la nube para trading automático de divisas operado por GMO Internet (código 4784 de la Bolsa de Tokio), filial del grupo japonés GMO Internet Group, fue hackeado. En el cuarto informe publicado por GMO el 24 de octubre se confirmó que el entorno del servicio fue vulnerado y que se robaron datos de clientes. Además, en algunas cuentas de valores y divisas de los usuarios aparecieron órdenes que no habían realizado ellos. Los atacantes exigieron dinero a GMO y amenazaron con seguir operando las cuentas que los usuarios tienen en más de 70 corredores de bolsa y proveedores de divisas, dentro y fuera de Japón. GMO declaró que no pagará.
Posible afectación de 26.739 servidores; se suspenden todos los planes
El servicio proporciona escritorios Windows en la nube para que los usuarios ejecuten las 24 horas programas de trading automático como MetaTrader 4 y MetaTrader 5 (MT4 y MT5), sin tener que dejar encendidos sus propios ordenadores. Según el primer informe de GMO, publicado el 21 de octubre, el 20 de octubre se detectó un programa malicioso instalado por terceros en los servidores de algunos usuarios. Es posible que se hayan visto afectados 26.739 servidores y que se hayan leído datos almacenados en ellos. A partir de las 4:00 del 21 de octubre (hora de Japón), GMO comenzó a apagar gradualmente los servidores de todos los planes.
La cronología que figura en el cuarto informe es la siguiente: la investigación comenzó el 19 de octubre, tras una consulta de un usuario; a partir del 21 de octubre, varios usuarios informaron de transacciones desconocidas en sus cuentas; y el 22 de octubre, GMO presentó una denuncia ante la policía.
Tres amenazas de los atacantes; GMO se niega a pagar y pide la intervención del Gobierno
El cuarto informe enumera tres amenazas de los atacantes: seguir introduciendo órdenes no autorizadas en las cuentas de trading de los usuarios y agotar sus saldos; divulgar información sobre el propio servicio y los ordenadores de los usuarios conectados, además de lanzar un ataque de ransomware; y divulgar información sobre los sistemas y la estructura operativa de GMO. GMO explicó que pagar no garantizaría que se borraran los datos robados ni impediría su uso indebido, y que ya entregó a la unidad de ciberdelincuencia de la policía pruebas como los registros de comunicaciones.
GMO también pidió a los principales corredores de bolsa y plataformas de trading que bloquearan las conexiones realizadas a través de este servicio y que desconectaran por la fuerza todas las sesiones activas. Además, solicitó al Gobierno japonés que tratara este caso como el «primer caso de activación» de la «能動的サイバー防御» (defensa cibernética proactiva, es decir, el rastreo y la neutralización de la infraestructura de los atacantes bajo la dirección del Estado).
5.000 yenes para cada usuario; compensación adicional por las pérdidas derivadas de operaciones no autorizadas
GMO entregará 5.000 yenes a todos los usuarios actuales, independientemente de que hayan sufrido pérdidas económicas. También compensará, por separado, las pérdidas ya materializadas en operaciones y las comisiones que GMO determine que fueron consecuencia de esta intrusión. No se cubrirán los daños indirectos, como las pérdidas debidas a las fluctuaciones del mercado o los beneficios que se podrían haber obtenido. Si el corredor de bolsa ya efectuó un reembolso, GMO solo cubrirá la diferencia. El procedimiento para presentar solicitudes se anunciará antes del 6 de noviembre.
El sistema antiguo que fue vulnerado no se restaurará tal cual. Los usuarios que quieran seguir usando un entorno de escritorio Windows podrán migrar a un servicio alternativo alojado en una nube independiente. Los primeros seis meses después de la migración serán gratuitos.
Los atacantes afirman que también se infiltraron en los ordenadores personales de los usuarios; GMO pide análisis antivirus exhaustivos
El 24 de octubre, el sitio web creado por los atacantes publicó una actualización que se difundió en X mediante capturas de pantalla de FXWOLF2, un operador japonés de divisas. Los atacantes afirmaron que la red de servidores del servicio utiliza una arquitectura de Active Directory y que existe una cuenta con privilegios administrativos sobre todos los servidores. También aseguraron que, como los perfiles de conexión remota RDP proporcionados por GMO tienen activada de forma predeterminada la «redirección de unidades», podían conectarse desde los servidores a los ordenadores personales de los usuarios, extraer datos e instalar puertas traseras. Los atacantes amenazaron además con enviar el historial de navegación de los usuarios y los datos de sus cuentas de MT4 y MT5 a sus familiares y contactos comerciales. GMO no ha respondido ni confirmado estas afirmaciones.
En el cuarto informe, GMO advirtió que los atacantes podrían divulgar posteriormente datos que afirmaran pertenecer a GMO o a los usuarios, y que parte de esa información podría ser falsa. En el quinto informe, publicado el mismo día, pidió a los usuarios que realizaran análisis antivirus completos en sus ordenadores y teléfonos y que hicieran copias de seguridad de sus datos. También indicó que la investigación «incluye los efectos en los dispositivos de los clientes». A los usuarios de MT4 y MT5 les recomendó cambiar las contraseñas de sus cuentas y herramientas de trading desde un dispositivo que no utilicen para operar, cerrar todas las sesiones activas y activar la verificación en dos pasos.
GMO Coin: todavía no se han detectado operaciones no autorizadas en sus propias cuentas
El 23 de octubre, GMO Coin, la plataforma de intercambio de criptomonedas del mismo grupo, publicó un aviso en el que señalaba que varios proveedores de divisas habían registrado operaciones no autorizadas que parecían estar relacionadas con herramientas de trading automático. La empresa indicó que «por el momento no ha confirmado» operaciones no autorizadas en sus propias cuentas. GMO Coin pidió a los usuarios que revisaran el historial de operaciones y órdenes, configuraran una clave de acceso (passkey), activaran las notificaciones de inicio de sesión y de operaciones ejecutadas, y eliminaran las claves API que no utilizaran o cuyo origen desconocieran.
Este artículo, «Hackean los servidores de trading automático de divisas de GMO; los atacantes operan cuentas de usuarios y extorsionan a GMO», apareció originalmente en .