Server perdagangan otomatis valas GMO diretas; penyerang melakukan transaksi melalui akun pengguna dan memeras GMO
Layanan server cloud untuk perdagangan otomatis valas 「お名前.com デスクトップクラウド」 yang dikelola GMO Internet (kode TSE 4784), anak perusahaan GMO Internet Group di Jepang, diretas. Dalam laporan ke-4 yang diterbitkan pada 24 Oktober, GMO mengonfirmasi bahwa lingkungan layanan telah disusupi dan data pelanggan diambil. Sejumlah akun sekuritas dan valas pengguna juga mencatat transaksi yang tidak dilakukan oleh pemiliknya. Penyerang meminta uang kepada GMO dan mengancam akan terus mengoperasikan akun yang dibuka pengguna di lebih dari 70 perusahaan sekuritas dan penyedia layanan valas di dalam maupun luar Jepang. GMO menyatakan tidak akan membayar.
Sebanyak 26.739 server mungkin terdampak; semua paket layanan dihentikan
Layanan ini menyediakan desktop Windows berbasis cloud agar pengguna dapat menjalankan program perdagangan otomatis seperti MetaTrader 4 dan MetaTrader 5 (MT4 dan MT5) sepanjang waktu, tanpa harus membiarkan komputer mereka menyala terus. Menurut laporan pertama GMO pada 21 Oktober, pada 20 Oktober ditemukan program berbahaya yang dipasang oleh pihak ketiga di server milik sejumlah pengguna. Sebanyak 26.739 server mungkin terdampak, dan data yang tersimpan di dalamnya mungkin telah dibaca. Mulai pukul 04.00 pada 21 Oktober (waktu Jepang), GMO menghentikan server untuk semua paket layanan secara bertahap.
Kronologi dalam laporan ke-4 menyebutkan bahwa penyelidikan dimulai setelah GMO menerima pertanyaan dari pengguna pada 19 Oktober. Sejak 21 Oktober, pengguna mulai melaporkan transaksi yang tidak dikenal di akun mereka. Pada 22 Oktober, GMO melapor kepada polisi.
Tiga ancaman dari penyerang; GMO menolak membayar dan meminta pemerintah turun tangan
Laporan ke-4 merinci tiga ancaman dari penyerang: terus memasukkan pesanan yang tidak sah ke akun perdagangan pengguna hingga menguras saldo; memublikasikan informasi tentang layanan itu sendiri dan komputer pengguna yang terhubung, serta melancarkan serangan ransomware; dan memublikasikan informasi tentang sistem serta tata kelola operasional GMO. GMO menyatakan bahwa membayar tidak menjamin data yang dicuri akan dihapus ataupun mencegah penyalahgunaannya. GMO telah menyerahkan bukti, termasuk catatan komunikasi, kepada unit kejahatan siber kepolisian.
GMO juga telah meminta perusahaan sekuritas dan bursa utama untuk memblokir koneksi melalui layanan ini serta memutus paksa semua sesi yang masih terhubung. Selain itu, GMO meminta pemerintah Jepang menangani kasus ini sebagai 「第1号」 penerapan 「能動的サイバー防御」 (pertahanan siber aktif, yakni pelacakan dan pelumpuhan infrastruktur penyerang yang dipimpin negara).
Santunan 5.000 yen untuk setiap pengguna; kerugian dari transaksi tidak sah akan diganti secara terpisah
GMO akan memberikan santunan sebesar 5.000 yen kepada semua pengguna aktif, terlepas dari apakah mereka mengalami kerugian finansial. Untuk transaksi tidak sah yang menurut GMO disebabkan oleh penyusupan ini, kerugian transaksi yang telah direalisasikan dan biaya transaksi akan diganti secara terpisah. Namun, kerugian akibat fluktuasi pasar dan kerugian tidak langsung seperti potensi keuntungan yang seharusnya dapat diperoleh tidak termasuk. Jika perusahaan sekuritas telah memberikan pengembalian dana, GMO hanya akan membayar selisihnya. Cara pengajuan akan diumumkan paling lambat 6 November.
Sistem lama yang disusupi tidak akan dipulihkan seperti semula. Pengguna yang ingin terus memakai lingkungan desktop Windows dapat beralih ke layanan pengganti di cloud terpisah. Layanan pengganti ini gratis selama enam bulan pertama setelah peralihan.
Penyerang mengaku juga menyusupi komputer pribadi pengguna; GMO meminta pemindaian virus secara menyeluruh
Situs yang dibuat penyerang diperbarui pada 24 Oktober. Isinya beredar di X setelah diambil tangkapan layarnya oleh FXWOLF2, seorang trader valas Jepang. Penyerang mengklaim bahwa jaringan server layanan ini menggunakan arsitektur Active Directory dan memiliki satu akun dengan hak administrator untuk semua server. Menurut mereka, profil konfigurasi koneksi jarak jauh RDP yang disediakan GMO secara default mengaktifkan 「pengalihan disk」, sehingga mereka dapat masuk dari server ke komputer pribadi pengguna, mengambil data, dan memasang backdoor. Penyerang juga mengancam akan mengirim riwayat penelusuran pengguna serta data akun MT4 dan MT5 kepada keluarga, teman, dan mitra bisnis mereka. GMO belum menanggapi atau mengonfirmasi klaim tersebut.
Dalam laporan ke-4, GMO mengingatkan bahwa penyerang mungkin akan memublikasikan data yang diklaim berasal dari GMO atau pengguna, dan data tersebut mungkin berisi informasi yang tidak benar. Laporan ke-5 yang diterbitkan pada hari yang sama meminta pengguna melakukan pemindaian virus secara menyeluruh pada komputer dan ponsel, serta mencadangkan data mereka. GMO menyatakan bahwa cakupan penyelidikan 「mencakup dampak terhadap perangkat klien」. Pengguna MT4 dan MT5 diminta mengganti kata sandi akun dan alat perdagangan dari perangkat yang tidak digunakan untuk bertransaksi, memutus semua sesi yang masih terhubung, dan mengaktifkan verifikasi dua langkah.
GMO Coin: Belum ditemukan akun mereka sendiri yang dioperasikan secara tidak sah
Pada 23 Oktober, GMO Coin, bursa mata uang kripto dari grup yang sama, menerbitkan imbauan yang menyebutkan bahwa sejumlah perusahaan valas menemukan transaksi tidak sah yang diduga disebabkan oleh alat perdagangan otomatis. Perusahaan tersebut menyatakan bahwa 「hingga saat ini belum mengonfirmasi」 adanya operasi tidak sah pada akun mereka sendiri. GMO Coin meminta pengguna memeriksa catatan transaksi dan pesanan, mengatur kunci sandi (passkey), mengaktifkan notifikasi login dan transaksi, serta menghapus kunci API yang tidak digunakan atau tidak diketahui asalnya.
Artikel ini, Server perdagangan otomatis valas GMO diretas; penyerang melakukan transaksi melalui akun pengguna dan memeras GMO, pertama kali diterbitkan di .
Layanan server cloud untuk perdagangan otomatis valas 「お名前.com デスクトップクラウド」 yang dikelola GMO Internet (kode TSE 4784), anak perusahaan GMO Internet Group di Jepang, diretas. Dalam laporan ke-4 yang diterbitkan pada 24 Oktober, GMO mengonfirmasi bahwa lingkungan layanan telah disusupi dan data pelanggan diambil. Sejumlah akun sekuritas dan valas pengguna juga mencatat transaksi yang tidak dilakukan oleh pemiliknya. Penyerang meminta uang kepada GMO dan mengancam akan terus mengoperasikan akun yang dibuka pengguna di lebih dari 70 perusahaan sekuritas dan penyedia layanan valas di dalam maupun luar Jepang. GMO menyatakan tidak akan membayar.
Sebanyak 26.739 server mungkin terdampak; semua paket layanan dihentikan
Layanan ini menyediakan desktop Windows berbasis cloud agar pengguna dapat menjalankan program perdagangan otomatis seperti MetaTrader 4 dan MetaTrader 5 (MT4 dan MT5) sepanjang waktu, tanpa harus membiarkan komputer mereka menyala terus. Menurut laporan pertama GMO pada 21 Oktober, pada 20 Oktober ditemukan program berbahaya yang dipasang oleh pihak ketiga di server milik sejumlah pengguna. Sebanyak 26.739 server mungkin terdampak, dan data yang tersimpan di dalamnya mungkin telah dibaca. Mulai pukul 04.00 pada 21 Oktober (waktu Jepang), GMO menghentikan server untuk semua paket layanan secara bertahap.
Kronologi dalam laporan ke-4 menyebutkan bahwa penyelidikan dimulai setelah GMO menerima pertanyaan dari pengguna pada 19 Oktober. Sejak 21 Oktober, pengguna mulai melaporkan transaksi yang tidak dikenal di akun mereka. Pada 22 Oktober, GMO melapor kepada polisi.
Tiga ancaman dari penyerang; GMO menolak membayar dan meminta pemerintah turun tangan
Laporan ke-4 merinci tiga ancaman dari penyerang: terus memasukkan pesanan yang tidak sah ke akun perdagangan pengguna hingga menguras saldo; memublikasikan informasi tentang layanan itu sendiri dan komputer pengguna yang terhubung, serta melancarkan serangan ransomware; dan memublikasikan informasi tentang sistem serta tata kelola operasional GMO. GMO menyatakan bahwa membayar tidak menjamin data yang dicuri akan dihapus ataupun mencegah penyalahgunaannya. GMO telah menyerahkan bukti, termasuk catatan komunikasi, kepada unit kejahatan siber kepolisian.
GMO juga telah meminta perusahaan sekuritas dan bursa utama untuk memblokir koneksi melalui layanan ini serta memutus paksa semua sesi yang masih terhubung. Selain itu, GMO meminta pemerintah Jepang menangani kasus ini sebagai 「第1号」 penerapan 「能動的サイバー防御」 (pertahanan siber aktif, yakni pelacakan dan pelumpuhan infrastruktur penyerang yang dipimpin negara).
Santunan 5.000 yen untuk setiap pengguna; kerugian dari transaksi tidak sah akan diganti secara terpisah
GMO akan memberikan santunan sebesar 5.000 yen kepada semua pengguna aktif, terlepas dari apakah mereka mengalami kerugian finansial. Untuk transaksi tidak sah yang menurut GMO disebabkan oleh penyusupan ini, kerugian transaksi yang telah direalisasikan dan biaya transaksi akan diganti secara terpisah. Namun, kerugian akibat fluktuasi pasar dan kerugian tidak langsung seperti potensi keuntungan yang seharusnya dapat diperoleh tidak termasuk. Jika perusahaan sekuritas telah memberikan pengembalian dana, GMO hanya akan membayar selisihnya. Cara pengajuan akan diumumkan paling lambat 6 November.
Sistem lama yang disusupi tidak akan dipulihkan seperti semula. Pengguna yang ingin terus memakai lingkungan desktop Windows dapat beralih ke layanan pengganti di cloud terpisah. Layanan pengganti ini gratis selama enam bulan pertama setelah peralihan.
Penyerang mengaku juga menyusupi komputer pribadi pengguna; GMO meminta pemindaian virus secara menyeluruh
Situs yang dibuat penyerang diperbarui pada 24 Oktober. Isinya beredar di X setelah diambil tangkapan layarnya oleh FXWOLF2, seorang trader valas Jepang. Penyerang mengklaim bahwa jaringan server layanan ini menggunakan arsitektur Active Directory dan memiliki satu akun dengan hak administrator untuk semua server. Menurut mereka, profil konfigurasi koneksi jarak jauh RDP yang disediakan GMO secara default mengaktifkan 「pengalihan disk」, sehingga mereka dapat masuk dari server ke komputer pribadi pengguna, mengambil data, dan memasang backdoor. Penyerang juga mengancam akan mengirim riwayat penelusuran pengguna serta data akun MT4 dan MT5 kepada keluarga, teman, dan mitra bisnis mereka. GMO belum menanggapi atau mengonfirmasi klaim tersebut.
Dalam laporan ke-4, GMO mengingatkan bahwa penyerang mungkin akan memublikasikan data yang diklaim berasal dari GMO atau pengguna, dan data tersebut mungkin berisi informasi yang tidak benar. Laporan ke-5 yang diterbitkan pada hari yang sama meminta pengguna melakukan pemindaian virus secara menyeluruh pada komputer dan ponsel, serta mencadangkan data mereka. GMO menyatakan bahwa cakupan penyelidikan 「mencakup dampak terhadap perangkat klien」. Pengguna MT4 dan MT5 diminta mengganti kata sandi akun dan alat perdagangan dari perangkat yang tidak digunakan untuk bertransaksi, memutus semua sesi yang masih terhubung, dan mengaktifkan verifikasi dua langkah.
GMO Coin: Belum ditemukan akun mereka sendiri yang dioperasikan secara tidak sah
Pada 23 Oktober, GMO Coin, bursa mata uang kripto dari grup yang sama, menerbitkan imbauan yang menyebutkan bahwa sejumlah perusahaan valas menemukan transaksi tidak sah yang diduga disebabkan oleh alat perdagangan otomatis. Perusahaan tersebut menyatakan bahwa 「hingga saat ini belum mengonfirmasi」 adanya operasi tidak sah pada akun mereka sendiri. GMO Coin meminta pengguna memeriksa catatan transaksi dan pesanan, mengatur kunci sandi (passkey), mengaktifkan notifikasi login dan transaksi, serta menghapus kunci API yang tidak digunakan atau tidak diketahui asalnya.
Artikel ini, Server perdagangan otomatis valas GMO diretas; penyerang melakukan transaksi melalui akun pengguna dan memeras GMO, pertama kali diterbitkan di .