Взломан облачный сервер GMO для автоматической торговли на форексе: злоумышленники совершали сделки с аккаунтов пользователей и вымогали деньги у GMO
Облачный сервис автоматической торговли на форексе «お名前.com デスクトップクラウド», который предоставляет GMO Internet (код на Токийской фондовой бирже — 4784), входящая в японскую группу GMO Internet Group, подвергся взлому. В опубликованном 24 октября четвёртом отчёте GMO подтвердила, что злоумышленники проникли в среду сервиса и похитили данные клиентов, а на счетах некоторых пользователей в брокерских компаниях и на форексе появились сделки, совершённые не ими. Злоумышленники потребовали у GMO деньги и пригрозили продолжить операции с аккаунтами пользователей, открытыми более чем в 70 японских и зарубежных брокерских и валютных компаниях. GMO заявила, что платить не будет.
Под угрозой могли оказаться 26 739 серверов; остановлены все тарифные планы
Сервис предоставляет облачный рабочий стол Windows, позволяя пользователям круглосуточно запускать программы для автоматической торговли, например MetaTrader 4 и MetaTrader 5 (MT4 и MT5), без необходимости постоянно держать включённым собственный компьютер. Согласно первому отчёту GMO от 21 октября, 20 октября на серверах некоторых пользователей обнаружили вредоносные программы, установленные третьей стороной. Под угрозой могли оказаться 26 739 серверов, а хранящиеся на них данные могли быть прочитаны. Начиная с 4:00 21 октября по японскому времени GMO поэтапно отключила серверы всех тарифных планов.
В четвёртом отчёте приводится следующая хронология: 19 октября компания начала расследование после обращения пользователя; с 21 октября пользователи стали сообщать о неизвестных сделках на своих счетах; 22 октября GMO обратилась в полицию.
Три угрозы злоумышленников: GMO отказалась платить и призвала власти вмешаться
В четвёртом отчёте перечислены три угрозы злоумышленников: продолжать размещать неправомерные заявки на торговых счетах пользователей и уменьшать остатки средств; раскрыть сведения о самом сервисе и компьютерах пользователей, подключённых к нему, а также провести атаку с использованием программ-вымогателей; раскрыть информацию о системах и операционной деятельности GMO. Компания заявила, что выплата денег не гарантирует удаления похищенных данных и не предотвратит их неправомерное использование. GMO передала полиции, в подразделение по борьбе с киберпреступностью, доказательства, включая журналы переписки.
GMO также попросила ведущие брокерские компании и биржи заблокировать подключения через этот сервис и принудительно завершить все активные сеансы. Кроме того, компания обратилась к правительству Японии с просьбой рассматривать этот случай как «первый случай применения» «активной киберзащиты» — подхода, при котором государство отслеживает злоумышленников и выводит из строя их инфраструктуру.
Компенсация в размере 5 000 иен каждому; убытки от неправомерных сделок возместят отдельно
GMO выплатит компенсацию в размере 5 000 иен всем действующим пользователям независимо от того, понесли ли они денежные потери. Компания также отдельно возместит реализованные убытки по сделкам и комиссии, если признает, что неправомерные сделки были совершены вследствие этого взлома. Убытки из-за колебаний рынка и косвенный ущерб, например упущенная прибыль, возмещаться не будут. Если брокерская компания уже вернула деньги, GMO выплатит только разницу. Порядок подачи заявок будет опубликован до 6 ноября.
Скомпрометированная старая система не будет восстановлена в прежнем виде. Пользователи, желающие и дальше работать в среде Windows, смогут перейти на альтернативный сервис в отдельном облаке; первые шесть месяцев после перехода будут бесплатными.
Злоумышленники утверждают, что проникли и в личные компьютеры пользователей; GMO призывает провести полную проверку на вирусы
Снимки экрана с обновлённой 24 октября страницей сайта, созданного злоумышленниками, распространил в X японский трейдер на валютном рынке FXWOLF2. Злоумышленники утверждают, что серверная сеть сервиса построена на Active Directory и в ней есть учётная запись с правами администратора на всех серверах. По их словам, в предоставляемом GMO профиле удалённого подключения RDP по умолчанию включена функция перенаправления дисков, что позволяло подключаться с серверов к личным компьютерам пользователей, извлекать данные и устанавливать бэкдоры. Злоумышленники также пригрозили отправить историю браузера пользователей и данные их аккаунтов MT4 и MT5 друзьям и родственникам, а также деловым партнёрам. GMO пока не прокомментировала и не подтвердила эти заявления.
В четвёртом отчёте GMO предупредила, что злоумышленники могут впоследствии опубликовать данные, выдавая их за информацию о GMO или пользователях; часть этих сведений может оказаться ложной. В пятом отчёте, опубликованном в тот же день, пользователей попросили провести полную проверку компьютеров и смартфонов на вирусы и создать резервные копии данных. Компания заявила, что расследование «включает оценку воздействия на устройства клиентов». Пользователям MT4 и MT5 следует с устройства, которое не используется для торговли, сменить пароли аккаунтов и торговых инструментов, завершить все активные сеансы и включить двухэтапную проверку.
GMO Coin: признаков неправомерных операций с собственными аккаунтами пока не обнаружено
Криптовалютная биржа GMO Coin, также входящая в группу, 23 октября опубликовала предупреждение: в нескольких валютных компаниях были выявлены подозрительные неправомерные сделки, предположительно совершённые с помощью инструментов автоматической торговли. Компания сообщила, что «на данный момент не выявила» неправомерных операций с собственными аккаунтами. GMO Coin попросила пользователей проверить историю сделок и заявок, настроить ключ доступа (passkey), включить уведомления о входе и исполнении сделок, а также удалить неиспользуемые или неизвестные API-ключи.
Эта статья «Взломан облачный сервер GMO для автоматической торговли на форексе: злоумышленники совершали сделки с аккаунтов пользователей и вымогали деньги у GMO» впервые появилась на .
Облачный сервис автоматической торговли на форексе «お名前.com デスクトップクラウド», который предоставляет GMO Internet (код на Токийской фондовой бирже — 4784), входящая в японскую группу GMO Internet Group, подвергся взлому. В опубликованном 24 октября четвёртом отчёте GMO подтвердила, что злоумышленники проникли в среду сервиса и похитили данные клиентов, а на счетах некоторых пользователей в брокерских компаниях и на форексе появились сделки, совершённые не ими. Злоумышленники потребовали у GMO деньги и пригрозили продолжить операции с аккаунтами пользователей, открытыми более чем в 70 японских и зарубежных брокерских и валютных компаниях. GMO заявила, что платить не будет.
Под угрозой могли оказаться 26 739 серверов; остановлены все тарифные планы
Сервис предоставляет облачный рабочий стол Windows, позволяя пользователям круглосуточно запускать программы для автоматической торговли, например MetaTrader 4 и MetaTrader 5 (MT4 и MT5), без необходимости постоянно держать включённым собственный компьютер. Согласно первому отчёту GMO от 21 октября, 20 октября на серверах некоторых пользователей обнаружили вредоносные программы, установленные третьей стороной. Под угрозой могли оказаться 26 739 серверов, а хранящиеся на них данные могли быть прочитаны. Начиная с 4:00 21 октября по японскому времени GMO поэтапно отключила серверы всех тарифных планов.
В четвёртом отчёте приводится следующая хронология: 19 октября компания начала расследование после обращения пользователя; с 21 октября пользователи стали сообщать о неизвестных сделках на своих счетах; 22 октября GMO обратилась в полицию.
Три угрозы злоумышленников: GMO отказалась платить и призвала власти вмешаться
В четвёртом отчёте перечислены три угрозы злоумышленников: продолжать размещать неправомерные заявки на торговых счетах пользователей и уменьшать остатки средств; раскрыть сведения о самом сервисе и компьютерах пользователей, подключённых к нему, а также провести атаку с использованием программ-вымогателей; раскрыть информацию о системах и операционной деятельности GMO. Компания заявила, что выплата денег не гарантирует удаления похищенных данных и не предотвратит их неправомерное использование. GMO передала полиции, в подразделение по борьбе с киберпреступностью, доказательства, включая журналы переписки.
GMO также попросила ведущие брокерские компании и биржи заблокировать подключения через этот сервис и принудительно завершить все активные сеансы. Кроме того, компания обратилась к правительству Японии с просьбой рассматривать этот случай как «первый случай применения» «активной киберзащиты» — подхода, при котором государство отслеживает злоумышленников и выводит из строя их инфраструктуру.
Компенсация в размере 5 000 иен каждому; убытки от неправомерных сделок возместят отдельно
GMO выплатит компенсацию в размере 5 000 иен всем действующим пользователям независимо от того, понесли ли они денежные потери. Компания также отдельно возместит реализованные убытки по сделкам и комиссии, если признает, что неправомерные сделки были совершены вследствие этого взлома. Убытки из-за колебаний рынка и косвенный ущерб, например упущенная прибыль, возмещаться не будут. Если брокерская компания уже вернула деньги, GMO выплатит только разницу. Порядок подачи заявок будет опубликован до 6 ноября.
Скомпрометированная старая система не будет восстановлена в прежнем виде. Пользователи, желающие и дальше работать в среде Windows, смогут перейти на альтернативный сервис в отдельном облаке; первые шесть месяцев после перехода будут бесплатными.
Злоумышленники утверждают, что проникли и в личные компьютеры пользователей; GMO призывает провести полную проверку на вирусы
Снимки экрана с обновлённой 24 октября страницей сайта, созданного злоумышленниками, распространил в X японский трейдер на валютном рынке FXWOLF2. Злоумышленники утверждают, что серверная сеть сервиса построена на Active Directory и в ней есть учётная запись с правами администратора на всех серверах. По их словам, в предоставляемом GMO профиле удалённого подключения RDP по умолчанию включена функция перенаправления дисков, что позволяло подключаться с серверов к личным компьютерам пользователей, извлекать данные и устанавливать бэкдоры. Злоумышленники также пригрозили отправить историю браузера пользователей и данные их аккаунтов MT4 и MT5 друзьям и родственникам, а также деловым партнёрам. GMO пока не прокомментировала и не подтвердила эти заявления.
В четвёртом отчёте GMO предупредила, что злоумышленники могут впоследствии опубликовать данные, выдавая их за информацию о GMO или пользователях; часть этих сведений может оказаться ложной. В пятом отчёте, опубликованном в тот же день, пользователей попросили провести полную проверку компьютеров и смартфонов на вирусы и создать резервные копии данных. Компания заявила, что расследование «включает оценку воздействия на устройства клиентов». Пользователям MT4 и MT5 следует с устройства, которое не используется для торговли, сменить пароли аккаунтов и торговых инструментов, завершить все активные сеансы и включить двухэтапную проверку.
GMO Coin: признаков неправомерных операций с собственными аккаунтами пока не обнаружено
Криптовалютная биржа GMO Coin, также входящая в группу, 23 октября опубликовала предупреждение: в нескольких валютных компаниях были выявлены подозрительные неправомерные сделки, предположительно совершённые с помощью инструментов автоматической торговли. Компания сообщила, что «на данный момент не выявила» неправомерных операций с собственными аккаунтами. GMO Coin попросила пользователей проверить историю сделок и заявок, настроить ключ доступа (passkey), включить уведомления о входе и исполнении сделок, а также удалить неиспользуемые или неизвестные API-ключи.
Эта статья «Взломан облачный сервер GMO для автоматической торговли на форексе: злоумышленники совершали сделки с аккаунтов пользователей и вымогали деньги у GMO» впервые появилась на .