#交易所 #Meta #X #SouthKoreaDelaysCryptoIncomeTax
O serviço de hospedagem em nuvem para negociação automatizada de câmbio «お名前.com デスクトップクラウド», operado pela GMO Internet (código 4784 na Bolsa de Tóquio), do grupo japonês GMO Internet, foi invadido. Em seu quarto comunicado, publicado em 24 de outubro, a GMO confirmou que o ambiente do serviço foi comprometido e dados de clientes foram roubados. Alguns usuários tiveram ordens de compra e venda executadas sem seu conhecimento em contas de ações e de câmbio. Os invasores exigiram dinheiro da GMO e ameaçaram continuar operando contas abertas pelos usuários em mais de 70 corretoras e empresas de câmbio no Japão e no exterior. A GMO declarou que não pagará.
26.739 servidores podem ter sido afetados; todos os planos foram desligados
Este serviço oferece desktops Windows na nuvem, permitindo que os usuários executem programas de negociação automatizada, como MetaTrader 4 e MetaTrader 5 (MT4 e MT5), 24 horas por dia, sem precisar manter seus próprios computadores ligados. De acordo com o primeiro comunicado da GMO, publicado em 21 de outubro, um programa malicioso instalado por terceiros foi detectado em 20 de outubro nos servidores de alguns usuários. Até 26.739 servidores podem ter sido afetados, e os dados armazenados neles podem ter sido acessados. A partir das 4h de 21 de outubro (horário do Japão), a GMO começou a desligar gradualmente os servidores de todos os planos.
A cronologia apresentada no quarto comunicado é a seguinte: a investigação começou em 19 de outubro, após uma consulta de um usuário; a partir de 21 de outubro, usuários começaram a relatar transações desconhecidas em suas contas; e, em 22 de outubro, o caso foi denunciado à polícia.
Três ameaças dos atacantes; GMO se recusa a pagar e pede intervenção do governo
O quarto comunicado enumera três ameaças dos atacantes: continuar realizando ordens não autorizadas nas contas de negociação dos usuários e esgotar seus saldos; divulgar informações sobre o próprio serviço e os computadores dos usuários conectados a ele, além de realizar um ataque de ransomware; e divulgar informações sobre os sistemas e a estrutura operacional da GMO. A GMO afirma que o pagamento não garantiria a eliminação dos dados roubados nem impediria seu uso indevido. A empresa entregou à unidade de crimes cibernéticos da polícia provas, incluindo registros de comunicações.
A GMO também solicitou às principais corretoras e bolsas que bloqueassem as conexões por meio deste serviço e encerrassem à força todas as sessões ativas. Além disso, a GMO pediu ao governo japonês que tratasse este caso como o “Caso nº 1 de ativação” da “defesa cibernética ativa” (uma abordagem liderada pelo Estado para rastrear e neutralizar a infraestrutura dos atacantes).
Compensação de 5.000 ienes por pessoa; perdas com transações não autorizadas serão reembolsadas à parte
A GMO pagará uma compensação de 5.000 ienes a todos os usuários atuais, independentemente de terem sofrido perdas financeiras. As perdas realizadas em negociações e as taxas serão reembolsadas à parte quando a GMO determinar que as transações não autorizadas foram causadas por esta invasão. No entanto, perdas decorrentes de flutuações do mercado e danos indiretos, como lucros que poderiam ter sido obtidos, não estão cobertos. Se a corretora já tiver feito um reembolso, a GMO pagará apenas a diferença. O procedimento para solicitar a compensação será anunciado até 6 de novembro.
O sistema antigo que foi invadido não será restaurado como estava. Os usuários que quiserem continuar usando um ambiente de desktop Windows poderão migrar para um serviço alternativo em uma infraestrutura de nuvem independente. Os primeiros 6 meses após a migração serão gratuitos.
Atacantes afirmam ter invadido também os computadores pessoais dos usuários; GMO pede verificação completa de vírus
Uma atualização publicada em 24 de outubro no site criado pelos atacantes circulou no X depois de ser capturada em uma captura de tela pelo trader japonês de câmbio FXWOLF2. Os atacantes afirmam que a rede de servidores do serviço usa uma arquitetura Active Directory e possui uma conta com privilégios administrativos em todos os servidores. Como os perfis de conexão remota RDP fornecidos pela GMO têm a opção “redirecionamento de disco” ativada por padrão, seria possível acessar os computadores pessoais dos usuários a partir dos servidores, extrair dados e instalar backdoors. Os atacantes também ameaçaram enviar o histórico de navegação dos usuários e os dados de suas contas MT4 e MT5 a amigos, familiares e contatos comerciais. Até o momento, a GMO não respondeu a essas alegações nem as confirmou.
No quarto comunicado, a GMO alertou que os atacantes poderão divulgar posteriormente dados que afirmem pertencer à GMO ou aos usuários, os quais podem conter informações falsas. Já no quinto comunicado, publicado no mesmo dia, a empresa pediu aos usuários que realizassem uma verificação completa de vírus em seus computadores e celulares e fizessem cópias de segurança dos dados. A GMO afirmou que o escopo da investigação “inclui os impactos nos dispositivos dos clientes”. Os usuários de MT4 e MT5 devem alterar as senhas das contas e das ferramentas de negociação usando um dispositivo que não seja utilizado para negociar, encerrar todas as sessões ativas e ativar a verificação em duas etapas.
GMO Coin: nenhuma operação não autorizada detectada nas contas da própria plataforma
Em 23 de outubro, a GMO Coin, corretora de criptomoedas do mesmo grupo, publicou um alerta informando que várias empresas de câmbio haviam registrado transações não autorizadas possivelmente causadas por ferramentas de negociação automatizada. A empresa declarou que, “neste momento, não confirmou” operações não autorizadas em suas próprias contas. A GMO Coin pediu aos usuários que verificassem o histórico de negociações e ordens, configurassem uma chave de acesso (passkey), ativassem as notificações de login e de execução de ordens e excluíssem chaves de API não utilizadas ou de origem desconhecida.
Este artigo, “Servidores de negociação automatizada de câmbio da GMO são invadidos; atacantes operam contas de usuários e extorquem a GMO”, apareceu originalmente em .
【Análise complementar】
【Minha análise complementar】
Este incidente evidencia os riscos da elevada centralização da infraestrutura de negociação automatizada na nuvem (VPS). Ao explorar falhas de administração de um único prestador de serviços e vulnerabilidades nas configurações de desktop remoto, os atacantes conseguiram controlar as contas de negociação de numerosos usuários finais, acendendo um sinal de alerta para o ecossistema financeiro moderno, altamente dependente de negociações algorítmicas. Quando os servidores na nuvem se tornam um trampolim para ataques, basta uma falha em qualquer elo da cadeia de segurança cibernética para desencadear um efeito dominó que pode atingir contas de diversos ativos, plataformas e países.
【Impacto no mercado】
No mercado de criptomoedas, embora a GMO Coin, do mesmo grupo, ainda não tenha detectado irregularidades, a confiança dos investidores em corretoras centralizadas (CEX) e ferramentas de API de terceiros poderá ser afetada no curto prazo. Parte dos fundos poderá migrar temporariamente para protocolos descentralizados on-chain (DeFi) ou para a custódia própria em carteiras frias, o que pode ter um impacto baixista ou neutro no sentimento geral do mercado de criptomoedas. Já nos mercados de ações dos Estados Unidos e de Taiwan, a maioria dos investidores de varejo e institucionais não opera diretamente por meio de servidores em nuvem de câmbio japoneses tão específicos. Portanto, o impacto direto nas principais bolsas de valores deverá ser limitado, embora ações de empresas de segurança cibernética possam atrair a atenção dos investidores no curto prazo, à medida que as empresas aumentem seus orçamentos de defesa.
【O que acompanhar】
Será importante acompanhar de perto se o governo japonês classificará formalmente este caso como o primeiro exemplo de “defesa cibernética ativa” e os avanços das autoridades policiais internacionais na identificação dos atacantes. Além disso, a adoção generalizada, pelas principais corretoras e bolsas de criptomoedas, de controles mais rígidos para conexões por desktop remoto, de regras mais estritas para permissões de API e da autenticação de dois fatores (2FA) será um indicador importante para avaliar o avanço geral da segurança cibernética no setor financeiro.
【Alerta de risco】
Se, posteriormente, os atacantes divulgarem credenciais de login ou dados de transações que afirmam ter roubado, isso poderá desencadear uma onda de invasões de contas. Os investidores que utilizam ferramentas de negociação automatizada devem alterar imediatamente todas as senhas relacionadas às plataformas de negociação e realizar uma verificação completa de vírus nos seus dispositivos pessoais. Não ignorem a última linha de defesa da segurança cibernética.