Servidores de negociação automática de forex da GMO são invadidos; atacante opera contas de usuários para fazer ordens e extorque a GMO
A GMO Internet, empresa do grupo japonês GMO Internet Group (código 4784 na Bolsa de Tóquio), opera o serviço de hospedagem em nuvem para negociação automática de forex 「お名前.com デスクトップクラウド」, que foi invadido. No quarto comunicado, publicado em 24 de outubro, a GMO confirmou que o ambiente do serviço foi comprometido e que dados de clientes foram levados. Em algumas contas de valores mobiliários e forex de usuários, foram realizadas ordens que não partiram dos próprios titulares. O atacante exigiu dinheiro da GMO e ameaçou continuar operando contas abertas pelos usuários em mais de 70 corretoras e empresas de forex no Japão e no exterior. A GMO afirmou que não pagará. 26.739 servidores podem ter sido afetados; todos os planos suspensos
O serviço oferece desktops Windows na nuvem, permitindo que os usuários executem programas de negociação automática, como MetaTrader 4 e MetaTrader 5 (MT4 e MT5), 24 horas por dia, sem precisar manter o próprio computador ligado o tempo todo. Segundo o primeiro comunicado da GMO, de 21 de outubro, em 20 de outubro foi detectado um programa malicioso instalado por terceiros nos servidores de alguns usuários. Até 26.739 servidores podem ter sido afetados, e os dados armazenados neles podem ter sido acessados. A partir das 4h de 21 de outubro (horário do Japão), a GMO começou a desligar, em sequência, os servidores de todos os planos.
A cronologia apresentada no quarto comunicado é a seguinte: a investigação começou após uma consulta de um usuário em 19 de outubro; a partir de 21 de outubro, usuários começaram a relatar transações desconhecidas em suas contas; e, em 22 de outubro, a empresa apresentou uma denúncia à polícia.
Três ameaças do atacante; GMO se recusa a pagar e pede intervenção do governo
O quarto comunicado enumera três ameaças do atacante: continuar fazendo ordens indevidas nas contas de negociação dos usuários e reduzir seus saldos; divulgar informações sobre o próprio serviço e os computadores dos usuários conectados a ele, além de lançar um ataque de ransomware; e divulgar informações sobre os sistemas e a estrutura operacional da GMO. A GMO afirmou que pagar não garantiria a eliminação dos dados roubados nem impediria seu uso indevido, e que já entregou à divisão de crimes cibernéticos da polícia provas como registros de comunicações.
A GMO também pediu às principais corretoras e bolsas que bloqueassem as conexões feitas por meio do serviço e encerrassem à força todas as sessões ativas. Além disso, solicitou ao governo japonês que tratasse o caso como o “caso nº 1 de ativação” da 「能動的サイバー防御」 (defesa cibernética ativa, isto é, o rastreamento e a neutralização, liderados pelo Estado, da infraestrutura dos atacantes).
Pagamento de 5.000 ienes a cada usuário; perdas com transações indevidas serão compensadas à parte
A GMO pagará 5.000 ienes a todos os usuários atuais como valor de compensação, independentemente de terem sofrido perdas financeiras. Para transações indevidas que a GMO considerar decorrentes desta invasão, a empresa também compensará as perdas realizadas nas negociações e as taxas. Porém, prejuízos causados por oscilações do mercado e danos indiretos, como lucros que poderiam ter sido obtidos, não serão cobertos. Se a corretora já tiver reembolsado o usuário, a GMO pagará apenas a diferença. O procedimento para solicitar a compensação será anunciado até 6 de novembro.
O sistema antigo invadido não será restaurado tal como era. Usuários que desejem continuar usando um ambiente de desktop Windows poderão migrar para um serviço alternativo em outra infraestrutura de nuvem independente, com os primeiros seis meses gratuitos após a migração.
Atacante afirma também ter invadido os computadores pessoais dos usuários; GMO pede verificação completa contra vírus
O conteúdo publicado em 24 de outubro no site criado pelo atacante circulou no X após ser capturado em tela pelo operador japonês de forex FXWOLF2. O atacante alegou que a rede de servidores do serviço usa uma estrutura Active Directory e contém uma conta com privilégios administrativos em todos os servidores. Também afirmou que, como os perfis de conexão remota RDP fornecidos pela GMO têm a opção “redirecionamento de disco” ativada por padrão, seria possível acessar os computadores pessoais dos usuários a partir dos servidores, extrair dados e instalar backdoors. O atacante também ameaçou enviar o histórico de navegação dos usuários e os dados de suas contas MT4 e MT5 a amigos, familiares e contatos comerciais. A GMO ainda não respondeu nem confirmou essas alegações.
No quarto comunicado, a GMO alertou que o atacante poderá divulgar posteriormente dados que afirma pertencerem à GMO ou aos usuários, os quais podem conter informações falsas. No quinto comunicado, publicado no mesmo dia, a empresa pediu aos usuários que fizessem uma verificação antivírus completa em seus computadores e celulares e criassem cópias de segurança dos dados, afirmando que o escopo da investigação “inclui impactos nos dispositivos dos clientes”. Usuários de MT4 e MT5 devem alterar as senhas das contas e das ferramentas de negociação usando um dispositivo que não seja utilizado para negociar, encerrar todas as sessões ativas e ativar a verificação em duas etapas.
GMO Coin: nenhuma operação indevida detectada nas próprias contas até o momento
Em 23 de outubro, a GMO Coin, corretora de criptomoedas do mesmo grupo, publicou um alerta informando que várias empresas de forex haviam registrado transações indevidas possivelmente causadas por ferramentas de negociação automática. A empresa disse que, “neste momento, não confirmou” operações indevidas em suas próprias contas. A GMO Coin pediu aos usuários que verificassem os registros de negociações e ordens, configurassem uma chave de acesso (passkey), ativassem as notificações de login e de execução de ordens e excluíssem chaves de API não utilizadas ou de origem desconhecida.
Este artigo, “Servidores de negociação automática de forex da GMO são invadidos; atacante opera contas de usuários para fazer ordens e extorque a GMO”, apareceu originalmente em .
A GMO Internet, empresa do grupo japonês GMO Internet Group (código 4784 na Bolsa de Tóquio), opera o serviço de hospedagem em nuvem para negociação automática de forex 「お名前.com デスクトップクラウド」, que foi invadido. No quarto comunicado, publicado em 24 de outubro, a GMO confirmou que o ambiente do serviço foi comprometido e que dados de clientes foram levados. Em algumas contas de valores mobiliários e forex de usuários, foram realizadas ordens que não partiram dos próprios titulares. O atacante exigiu dinheiro da GMO e ameaçou continuar operando contas abertas pelos usuários em mais de 70 corretoras e empresas de forex no Japão e no exterior. A GMO afirmou que não pagará. 26.739 servidores podem ter sido afetados; todos os planos suspensos
O serviço oferece desktops Windows na nuvem, permitindo que os usuários executem programas de negociação automática, como MetaTrader 4 e MetaTrader 5 (MT4 e MT5), 24 horas por dia, sem precisar manter o próprio computador ligado o tempo todo. Segundo o primeiro comunicado da GMO, de 21 de outubro, em 20 de outubro foi detectado um programa malicioso instalado por terceiros nos servidores de alguns usuários. Até 26.739 servidores podem ter sido afetados, e os dados armazenados neles podem ter sido acessados. A partir das 4h de 21 de outubro (horário do Japão), a GMO começou a desligar, em sequência, os servidores de todos os planos.
A cronologia apresentada no quarto comunicado é a seguinte: a investigação começou após uma consulta de um usuário em 19 de outubro; a partir de 21 de outubro, usuários começaram a relatar transações desconhecidas em suas contas; e, em 22 de outubro, a empresa apresentou uma denúncia à polícia.
Três ameaças do atacante; GMO se recusa a pagar e pede intervenção do governo
O quarto comunicado enumera três ameaças do atacante: continuar fazendo ordens indevidas nas contas de negociação dos usuários e reduzir seus saldos; divulgar informações sobre o próprio serviço e os computadores dos usuários conectados a ele, além de lançar um ataque de ransomware; e divulgar informações sobre os sistemas e a estrutura operacional da GMO. A GMO afirmou que pagar não garantiria a eliminação dos dados roubados nem impediria seu uso indevido, e que já entregou à divisão de crimes cibernéticos da polícia provas como registros de comunicações.
A GMO também pediu às principais corretoras e bolsas que bloqueassem as conexões feitas por meio do serviço e encerrassem à força todas as sessões ativas. Além disso, solicitou ao governo japonês que tratasse o caso como o “caso nº 1 de ativação” da 「能動的サイバー防御」 (defesa cibernética ativa, isto é, o rastreamento e a neutralização, liderados pelo Estado, da infraestrutura dos atacantes).
Pagamento de 5.000 ienes a cada usuário; perdas com transações indevidas serão compensadas à parte
A GMO pagará 5.000 ienes a todos os usuários atuais como valor de compensação, independentemente de terem sofrido perdas financeiras. Para transações indevidas que a GMO considerar decorrentes desta invasão, a empresa também compensará as perdas realizadas nas negociações e as taxas. Porém, prejuízos causados por oscilações do mercado e danos indiretos, como lucros que poderiam ter sido obtidos, não serão cobertos. Se a corretora já tiver reembolsado o usuário, a GMO pagará apenas a diferença. O procedimento para solicitar a compensação será anunciado até 6 de novembro.
O sistema antigo invadido não será restaurado tal como era. Usuários que desejem continuar usando um ambiente de desktop Windows poderão migrar para um serviço alternativo em outra infraestrutura de nuvem independente, com os primeiros seis meses gratuitos após a migração.
Atacante afirma também ter invadido os computadores pessoais dos usuários; GMO pede verificação completa contra vírus
O conteúdo publicado em 24 de outubro no site criado pelo atacante circulou no X após ser capturado em tela pelo operador japonês de forex FXWOLF2. O atacante alegou que a rede de servidores do serviço usa uma estrutura Active Directory e contém uma conta com privilégios administrativos em todos os servidores. Também afirmou que, como os perfis de conexão remota RDP fornecidos pela GMO têm a opção “redirecionamento de disco” ativada por padrão, seria possível acessar os computadores pessoais dos usuários a partir dos servidores, extrair dados e instalar backdoors. O atacante também ameaçou enviar o histórico de navegação dos usuários e os dados de suas contas MT4 e MT5 a amigos, familiares e contatos comerciais. A GMO ainda não respondeu nem confirmou essas alegações.
No quarto comunicado, a GMO alertou que o atacante poderá divulgar posteriormente dados que afirma pertencerem à GMO ou aos usuários, os quais podem conter informações falsas. No quinto comunicado, publicado no mesmo dia, a empresa pediu aos usuários que fizessem uma verificação antivírus completa em seus computadores e celulares e criassem cópias de segurança dos dados, afirmando que o escopo da investigação “inclui impactos nos dispositivos dos clientes”. Usuários de MT4 e MT5 devem alterar as senhas das contas e das ferramentas de negociação usando um dispositivo que não seja utilizado para negociar, encerrar todas as sessões ativas e ativar a verificação em duas etapas.
GMO Coin: nenhuma operação indevida detectada nas próprias contas até o momento
Em 23 de outubro, a GMO Coin, corretora de criptomoedas do mesmo grupo, publicou um alerta informando que várias empresas de forex haviam registrado transações indevidas possivelmente causadas por ferramentas de negociação automática. A empresa disse que, “neste momento, não confirmou” operações indevidas em suas próprias contas. A GMO Coin pediu aos usuários que verificassem os registros de negociações e ordens, configurassem uma chave de acesso (passkey), ativassem as notificações de login e de execução de ordens e excluíssem chaves de API não utilizadas ou de origem desconhecida.
Este artigo, “Servidores de negociação automática de forex da GMO são invadidos; atacante opera contas de usuários para fazer ordens e extorque a GMO”, apareceu originalmente em .