#交易所 #Meta #X #SouthKoreaDelaysCryptoIncomeTax
Сервис «お名前.com デスクトップクラウド» — облачный хостинг для автоматической торговли на рынке Форекс, которым управляет GMO Internet (код на Токийской фондовой бирже: 4784), входящая в японскую группу GMO Internet, — подвергся взлому. В четвёртом отчёте, опубликованном GMO 24 октября, подтверждается, что злоумышленники проникли в среду сервиса и похитили данные клиентов; на счетах некоторых пользователей для торговли ценными бумагами и на рынке Форекс появились ордера, которые они не размещали. Злоумышленники потребовали у GMO деньги и пригрозили продолжить совершать операции по счетам пользователей, открытым более чем у 70 брокерских и форекс-компаний в Японии и за рубежом. GMO заявила, что не будет платить.
Под угрозой могли оказаться 26 739 серверов; работа всех тарифных планов приостановлена
Сервис предоставляет облачный рабочий стол Windows, позволяющий пользователям круглосуточно запускать автоматизированные торговые программы, такие как MetaTrader 4 и MetaTrader 5 (MT4 и MT5), без необходимости постоянно держать включённым собственный компьютер. Согласно первому сообщению GMO от 21 октября, 20 октября на серверах некоторых пользователей обнаружили установленное третьей стороной вредоносное ПО. Под угрозой могли оказаться 26 739 серверов; данные, хранившиеся на них, могли быть прочитаны. Начиная с 4:00 утра 21 октября по японскому времени GMO поэтапно отключает серверы всех тарифных планов.
В четвёртом сообщении описана следующая хронология: 19 октября после обращения пользователя началось расследование, с 21 октября пользователи стали сообщать о неизвестных сделках в своих аккаунтах, а 22 октября компания обратилась в полицию.
Три угрозы злоумышленников: GMO отказалась платить и попросила вмешаться правительство
В четвёртом сообщении перечислены три угрозы злоумышленников: продолжать размещать несанкционированные заявки на торговых счетах пользователей и истощать их балансы; обнародовать сведения о самом сервисе и компьютерах пользователей, подключавшихся к нему, а также провести атаку с использованием программ-вымогателей; раскрыть информацию о системах и операционной деятельности GMO. GMO заявила, что выплата денег не гарантирует удаления похищенных данных и не предотвратит их злоупотребительное использование. Компания передала полиции, в подразделение по борьбе с киберпреступностью, доказательства, включая журналы переписки.
GMO также попросила ведущих брокеров и биржи заблокировать подключения через этот сервис и принудительно завершить все активные сеансы. Кроме того, компания обратилась к правительству Японии с просьбой рассматривать это дело как первый случай применения «активной киберзащиты» (меры под руководством государства по отслеживанию и нейтрализации инфраструктуры злоумышленников).
Компенсация в размере 5 000 иен каждому; убытки от несанкционированных сделок возместят отдельно
GMO выплатит компенсацию в размере 5 000 иен всем действующим пользователям — независимо от того, понесли ли они денежные потери. Если GMO установит, что несанкционированные сделки стали результатом этого взлома, компания отдельно возместит фактически понесённые пользователями убытки по сделкам и комиссионные. Однако убытки из-за колебаний рынка и косвенный ущерб, например упущенная прибыль, компенсации не подлежат. Если брокер уже вернул деньги, GMO возместит только разницу. Информацию о порядке подачи заявок опубликуют до 6 ноября.
Старая взломанная система не будет восстановлена в прежнем виде. Пользователи, желающие продолжить работу в среде Windows Desktop, могут перейти на альтернативный сервис в отдельном облаке. Первые шесть месяцев после перехода будут бесплатными.
Злоумышленники утверждают, что взломали и личные компьютеры пользователей; GMO призывает провести полную проверку на вирусы
Обновление от 24 октября на сайте, созданном злоумышленниками, распространилось в X после того, как японский форекс-трейдер FXWOLF2 сделал снимок экрана. По утверждению злоумышленников, в сети серверов этого сервиса используется архитектура Active Directory, в которой есть учётная запись с правами администратора на всех серверах. Профиль удалённого подключения RDP, предоставляемый GMO, по умолчанию включает «перенаправление дисков», что позволяет подключаться с сервера к личным компьютерам пользователей, извлекать данные и устанавливать бэкдор. Злоумышленники также угрожают отправить историю браузера пользователей и данные аккаунтов MT4 и MT5 их родственникам, друзьям и деловым партнёрам. GMO пока не прокомментировала и не подтвердила эти заявления.
В четвёртом сообщении GMO предупредила, что впоследствии злоумышленники могут опубликовать данные, которые, по их словам, принадлежат GMO или пользователям, причём часть информации может быть ложной. В пятом сообщении, опубликованном в тот же день, компания попросила пользователей тщательно проверить компьютеры и телефоны на вирусы и создать резервные копии данных. По словам GMO, расследование «включает оценку воздействия на устройства клиентов». Пользователям MT4 и MT5 следует с устройства, которое не использовалось для торговли, сменить пароли от аккаунтов и торговых инструментов, завершить все активные сеансы и включить двухэтапную проверку.
GMO Coin: признаков несанкционированных операций с собственными аккаунтами пока не выявлено
23 октября криптовалютная биржа GMO Coin, входящая в ту же группу, выпустила предупреждение. В нём говорилось, что у нескольких форекс-компаний были выявлены подозрительные сделки, предположительно совершённые с помощью автоматизированных торговых инструментов, однако «на данный момент» компания не выявила несанкционированных операций со своими аккаунтами. GMO Coin попросила пользователей проверить историю сделок и заявок, настроить ключ доступа (passkey), включить уведомления о входе и исполнении сделок, а также удалить неиспользуемые или полученные из неизвестных источников API-ключи.
Эта статья «Взломаны серверы GMO для автоматизированной торговли на форексе: злоумышленники размещают заявки с аккаунтов пользователей и вымогают деньги у GMO» впервые появилась на 。
【Дополнительный анализ】
【Мой дополнительный комментарий】
Этот инцидент наглядно демонстрирует высокие риски централизации инфраструктуры облачной автоматизированной торговли (VPS). Используя уязвимости в системе управления одного поставщика услуг и недочёты в настройках удалённого рабочего стола, злоумышленники получили контроль над торговыми аккаунтами большого числа конечных пользователей. Это тревожный сигнал для современной финансовой экосистемы, в значительной степени зависящей от алгоритмической торговли. Когда облачные серверы становятся плацдармом для атак, достаточно одного разрыва в цепочке защиты, чтобы эффект домино распространился на аккаунты с различными активами в разных странах и на разных платформах.
【Влияние на рынки】
На рынке криптовалют, хотя у GMO Coin, входящей в ту же группу, пока не выявлено аномалий, доверие инвесторов к централизованным биржам (CEX) и сторонним инструментам API может в краткосрочной перспективе пострадать. Часть средств может временно перейти в децентрализованные протоколы ончейн-финансов (DeFi) или на самостоятельное хранение в холодных кошельках, что может оказать умеренно негативное или нейтральное влияние на настроения на криптовалютном рынке в целом. Что касается рынков акций США и Тайваня, то розничные и институциональные инвесторы редко размещают ордера напрямую через подобные специализированные японские облачные серверы для торговли на форексе, поэтому прямое влияние на основные фондовые рынки будет ограниченным. Однако акции компаний в сфере кибербезопасности могут привлечь краткосрочный интерес инвесторов на фоне увеличения расходов предприятий на защиту.
【За чем следить далее】
В дальнейшем следует внимательно следить за тем, признает ли правительство Японии это дело первым официальным случаем применения «активной киберзащиты», а также за ходом международного расследования, направленного на установление личности злоумышленников. Важными показателями повышения уровня финансовой кибербезопасности в целом станут то, будут ли брокеры и криптовалютные биржи повсеместно ужесточать правила удалённого подключения, а также вводить более строгий контроль разрешений API и двухфакторную аутентификацию (2FA).
【Предупреждение о рисках】
Если впоследствии злоумышленники опубликуют украденные, как они утверждают, учётные данные для входа пользователей или данные о сделках, это может спровоцировать волну захвата аккаунтов. Инвесторам, использующим автоматизированные торговые инструменты, необходимо немедленно сменить все пароли, связанные с торговыми платформами, и тщательно проверить личные устройства на вирусы. Не пренебрегайте последним рубежом защиты информационной безопасности.