Máy chủ giao dịch ngoại hối tự động của GMO bị tấn công, kẻ tấn công đặt lệnh bằng tài khoản người dùng và tống tiền GMO
Dịch vụ máy chủ đám mây giao dịch ngoại hối tự động «お名前.com デスクトップクラウド» do GMO Internet (mã chứng khoán trên Sở Giao dịch Chứng khoán Tokyo: 4784), thuộc Tập đoàn Internet GMO của Nhật Bản, vận hành đã bị tấn công. Trong báo cáo lần thứ 4 công bố ngày 24 tháng 10, GMO xác nhận môi trường dịch vụ đã bị xâm nhập, dữ liệu khách hàng bị lấy cắp và một số tài khoản chứng khoán, ngoại hối của người dùng xuất hiện lệnh không phải do chính họ đặt. Kẻ tấn công đòi tiền GMO, đồng thời đe dọa sẽ tiếp tục thao túng các tài khoản người dùng mở tại hơn 70 công ty chứng khoán và đơn vị kinh doanh ngoại hối trong và ngoài nước. GMO tuyên bố sẽ không trả tiền.
Có thể 26.739 máy chủ bị ảnh hưởng, ngừng hoạt động tất cả các gói dịch vụ
Dịch vụ này cung cấp máy tính để bàn Windows trên đám mây, giúp người dùng chạy các chương trình giao dịch tự động như MetaTrader 4 và MetaTrader 5 (MT4, MT5) suốt ngày đêm mà không cần bật máy tính cá nhân liên tục. Theo báo cáo lần thứ 1 của GMO ngày 21 tháng 10, ngày 20 tháng 10, công ty phát hiện phần mềm độc hại do bên thứ ba cài đặt trên máy chủ của một số người dùng. Có thể 26.739 máy chủ bị ảnh hưởng và dữ liệu lưu trên máy chủ có thể đã bị đọc. Từ 4 giờ sáng ngày 21 tháng 10 (giờ Nhật Bản), GMO lần lượt ngừng hoạt động máy chủ của tất cả các gói dịch vụ.
Diễn biến được nêu trong báo cáo lần thứ 4: GMO bắt đầu điều tra sau khi nhận được thắc mắc của người dùng vào ngày 19 tháng 10; từ ngày 21 tháng 10, một số người dùng lần lượt báo cáo tài khoản xuất hiện giao dịch không rõ nguồn gốc; ngày 22 tháng 10, GMO trình báo cảnh sát.
Kẻ tấn công đưa ra ba lời đe dọa; GMO từ chối trả tiền và đề nghị chính phủ can thiệp
Báo cáo lần thứ 4 liệt kê ba lời đe dọa của kẻ tấn công: tiếp tục đặt lệnh trái phép trong các tài khoản giao dịch của người dùng và làm hao hụt số dư tài khoản; công khai thông tin về chính dịch vụ và máy tính của người dùng kết nối với dịch vụ, đồng thời phát động tấn công bằng mã độc tống tiền; công khai thông tin về hệ thống và cơ cấu vận hành của GMO. GMO cho biết trả tiền không thể bảo đảm dữ liệu bị lấy cắp sẽ được xóa, cũng không thể ngăn dữ liệu bị sử dụng sai mục đích. Công ty đã giao nhật ký liên lạc và các bằng chứng khác cho bộ phận phòng chống tội phạm mạng của cảnh sát.
GMO cũng đã yêu cầu các công ty chứng khoán và sàn giao dịch lớn chặn kết nối thông qua dịch vụ này, đồng thời buộc ngắt tất cả các phiên đang kết nối. Ngoài ra, GMO đề nghị Chính phủ Nhật Bản xử lý vụ việc như «trường hợp khởi động số 1» trong khuôn khổ «能動的サイバー防御» (phòng thủ mạng chủ động, tức nhà nước chủ trì truy tìm và vô hiệu hóa hạ tầng của kẻ tấn công).
Mỗi người dùng nhận 5.000 yên tiền thăm hỏi; bồi thường riêng thiệt hại do giao dịch trái phép
GMO sẽ gửi 5.000 yên tiền thăm hỏi cho tất cả người dùng hiện tại, bất kể họ có bị thiệt hại tài chính hay không. Với các giao dịch trái phép được GMO xác định là do vụ xâm nhập lần này gây ra, công ty sẽ bồi thường riêng khoản lỗ giao dịch đã thực hiện và phí giao dịch mà người dùng phải chịu. Tuy nhiên, thiệt hại do biến động thị trường và các thiệt hại gián tiếp như khoản lợi nhuận lẽ ra có thể kiếm được sẽ không thuộc phạm vi bồi thường. Nếu công ty chứng khoán đã hoàn tiền, GMO chỉ bù phần chênh lệch. Cách thức đăng ký sẽ được công bố trước ngày 6 tháng 11.
Hệ thống cũ bị xâm nhập sẽ không được khôi phục nguyên trạng. Người dùng muốn tiếp tục sử dụng môi trường máy tính để bàn Windows có thể chuyển sang dịch vụ thay thế trên một nền tảng đám mây độc lập khác; dịch vụ này miễn phí trong 6 tháng đầu sau khi chuyển đổi.
Kẻ tấn công tự nhận đã xâm nhập cả máy tính cá nhân của người dùng; GMO yêu cầu quét toàn diện để tìm virus
Nội dung trên trang web do kẻ tấn công dựng lên được cập nhật ngày 24 tháng 10 và lan truyền trên X qua ảnh chụp màn hình do FXWOLF2, một nhà giao dịch ngoại hối Nhật Bản, đăng tải. Kẻ tấn công tự nhận rằng mạng máy chủ của dịch vụ sử dụng cấu trúc Active Directory và có một tài khoản sở hữu quyền quản trị trên tất cả máy chủ; hồ sơ cấu hình kết nối từ xa RDP do GMO cung cấp mặc định bật «chuyển hướng ổ đĩa», vì vậy kẻ tấn công có thể kết nối ngược từ máy chủ vào máy tính cá nhân của người dùng, lấy dữ liệu và cài cửa hậu. Kẻ tấn công còn đe dọa gửi lịch sử duyệt web, thông tin tài khoản MT4 và MT5 của người dùng cho bạn bè, người thân và đối tác kinh doanh của họ. Hiện GMO chưa phản hồi hay xác nhận những tuyên bố này.
Trong báo cáo lần thứ 4, GMO lưu ý rằng sau này kẻ tấn công có thể công khai dữ liệu mà chúng tự nhận là của GMO hoặc người dùng, trong đó có thể có thông tin không chính xác. Báo cáo lần thứ 5 được công bố cùng ngày yêu cầu người dùng quét virus toàn diện trên máy tính và điện thoại, đồng thời sao lưu dữ liệu; công ty cho biết phạm vi điều tra «bao gồm ảnh hưởng đối với thiết bị đầu cuối của khách hàng». Người dùng MT4 và MT5 cần đổi mật khẩu tài khoản và công cụ giao dịch bằng thiết bị chưa từng dùng để giao dịch, ngắt tất cả các phiên đang kết nối và bật xác thực hai bước.
GMO Coin: Chưa phát hiện tài khoản của công ty bị thao túng trái phép
Ngày 23 tháng 10, sàn giao dịch tiền mã hóa GMO Coin thuộc cùng tập đoàn đăng thông báo, cho biết nhiều công ty ngoại hối ghi nhận các giao dịch trái phép nghi do công cụ giao dịch tự động gây ra; công ty «hiện chưa xác nhận» có thao túng trái phép đối với tài khoản của mình. GMO Coin yêu cầu người dùng kiểm tra lịch sử giao dịch và lệnh, thiết lập khóa truy cập (passkey), bật thông báo đăng nhập và khớp lệnh, đồng thời xóa các khóa API không sử dụng hoặc không rõ nguồn gốc.
Bài viết này, «Máy chủ giao dịch ngoại hối tự động của GMO bị tấn công, kẻ tấn công đặt lệnh bằng tài khoản người dùng và tống tiền GMO», xuất hiện lần đầu trên .
Dịch vụ máy chủ đám mây giao dịch ngoại hối tự động «お名前.com デスクトップクラウド» do GMO Internet (mã chứng khoán trên Sở Giao dịch Chứng khoán Tokyo: 4784), thuộc Tập đoàn Internet GMO của Nhật Bản, vận hành đã bị tấn công. Trong báo cáo lần thứ 4 công bố ngày 24 tháng 10, GMO xác nhận môi trường dịch vụ đã bị xâm nhập, dữ liệu khách hàng bị lấy cắp và một số tài khoản chứng khoán, ngoại hối của người dùng xuất hiện lệnh không phải do chính họ đặt. Kẻ tấn công đòi tiền GMO, đồng thời đe dọa sẽ tiếp tục thao túng các tài khoản người dùng mở tại hơn 70 công ty chứng khoán và đơn vị kinh doanh ngoại hối trong và ngoài nước. GMO tuyên bố sẽ không trả tiền.
Có thể 26.739 máy chủ bị ảnh hưởng, ngừng hoạt động tất cả các gói dịch vụ
Dịch vụ này cung cấp máy tính để bàn Windows trên đám mây, giúp người dùng chạy các chương trình giao dịch tự động như MetaTrader 4 và MetaTrader 5 (MT4, MT5) suốt ngày đêm mà không cần bật máy tính cá nhân liên tục. Theo báo cáo lần thứ 1 của GMO ngày 21 tháng 10, ngày 20 tháng 10, công ty phát hiện phần mềm độc hại do bên thứ ba cài đặt trên máy chủ của một số người dùng. Có thể 26.739 máy chủ bị ảnh hưởng và dữ liệu lưu trên máy chủ có thể đã bị đọc. Từ 4 giờ sáng ngày 21 tháng 10 (giờ Nhật Bản), GMO lần lượt ngừng hoạt động máy chủ của tất cả các gói dịch vụ.
Diễn biến được nêu trong báo cáo lần thứ 4: GMO bắt đầu điều tra sau khi nhận được thắc mắc của người dùng vào ngày 19 tháng 10; từ ngày 21 tháng 10, một số người dùng lần lượt báo cáo tài khoản xuất hiện giao dịch không rõ nguồn gốc; ngày 22 tháng 10, GMO trình báo cảnh sát.
Kẻ tấn công đưa ra ba lời đe dọa; GMO từ chối trả tiền và đề nghị chính phủ can thiệp
Báo cáo lần thứ 4 liệt kê ba lời đe dọa của kẻ tấn công: tiếp tục đặt lệnh trái phép trong các tài khoản giao dịch của người dùng và làm hao hụt số dư tài khoản; công khai thông tin về chính dịch vụ và máy tính của người dùng kết nối với dịch vụ, đồng thời phát động tấn công bằng mã độc tống tiền; công khai thông tin về hệ thống và cơ cấu vận hành của GMO. GMO cho biết trả tiền không thể bảo đảm dữ liệu bị lấy cắp sẽ được xóa, cũng không thể ngăn dữ liệu bị sử dụng sai mục đích. Công ty đã giao nhật ký liên lạc và các bằng chứng khác cho bộ phận phòng chống tội phạm mạng của cảnh sát.
GMO cũng đã yêu cầu các công ty chứng khoán và sàn giao dịch lớn chặn kết nối thông qua dịch vụ này, đồng thời buộc ngắt tất cả các phiên đang kết nối. Ngoài ra, GMO đề nghị Chính phủ Nhật Bản xử lý vụ việc như «trường hợp khởi động số 1» trong khuôn khổ «能動的サイバー防御» (phòng thủ mạng chủ động, tức nhà nước chủ trì truy tìm và vô hiệu hóa hạ tầng của kẻ tấn công).
Mỗi người dùng nhận 5.000 yên tiền thăm hỏi; bồi thường riêng thiệt hại do giao dịch trái phép
GMO sẽ gửi 5.000 yên tiền thăm hỏi cho tất cả người dùng hiện tại, bất kể họ có bị thiệt hại tài chính hay không. Với các giao dịch trái phép được GMO xác định là do vụ xâm nhập lần này gây ra, công ty sẽ bồi thường riêng khoản lỗ giao dịch đã thực hiện và phí giao dịch mà người dùng phải chịu. Tuy nhiên, thiệt hại do biến động thị trường và các thiệt hại gián tiếp như khoản lợi nhuận lẽ ra có thể kiếm được sẽ không thuộc phạm vi bồi thường. Nếu công ty chứng khoán đã hoàn tiền, GMO chỉ bù phần chênh lệch. Cách thức đăng ký sẽ được công bố trước ngày 6 tháng 11.
Hệ thống cũ bị xâm nhập sẽ không được khôi phục nguyên trạng. Người dùng muốn tiếp tục sử dụng môi trường máy tính để bàn Windows có thể chuyển sang dịch vụ thay thế trên một nền tảng đám mây độc lập khác; dịch vụ này miễn phí trong 6 tháng đầu sau khi chuyển đổi.
Kẻ tấn công tự nhận đã xâm nhập cả máy tính cá nhân của người dùng; GMO yêu cầu quét toàn diện để tìm virus
Nội dung trên trang web do kẻ tấn công dựng lên được cập nhật ngày 24 tháng 10 và lan truyền trên X qua ảnh chụp màn hình do FXWOLF2, một nhà giao dịch ngoại hối Nhật Bản, đăng tải. Kẻ tấn công tự nhận rằng mạng máy chủ của dịch vụ sử dụng cấu trúc Active Directory và có một tài khoản sở hữu quyền quản trị trên tất cả máy chủ; hồ sơ cấu hình kết nối từ xa RDP do GMO cung cấp mặc định bật «chuyển hướng ổ đĩa», vì vậy kẻ tấn công có thể kết nối ngược từ máy chủ vào máy tính cá nhân của người dùng, lấy dữ liệu và cài cửa hậu. Kẻ tấn công còn đe dọa gửi lịch sử duyệt web, thông tin tài khoản MT4 và MT5 của người dùng cho bạn bè, người thân và đối tác kinh doanh của họ. Hiện GMO chưa phản hồi hay xác nhận những tuyên bố này.
Trong báo cáo lần thứ 4, GMO lưu ý rằng sau này kẻ tấn công có thể công khai dữ liệu mà chúng tự nhận là của GMO hoặc người dùng, trong đó có thể có thông tin không chính xác. Báo cáo lần thứ 5 được công bố cùng ngày yêu cầu người dùng quét virus toàn diện trên máy tính và điện thoại, đồng thời sao lưu dữ liệu; công ty cho biết phạm vi điều tra «bao gồm ảnh hưởng đối với thiết bị đầu cuối của khách hàng». Người dùng MT4 và MT5 cần đổi mật khẩu tài khoản và công cụ giao dịch bằng thiết bị chưa từng dùng để giao dịch, ngắt tất cả các phiên đang kết nối và bật xác thực hai bước.
GMO Coin: Chưa phát hiện tài khoản của công ty bị thao túng trái phép
Ngày 23 tháng 10, sàn giao dịch tiền mã hóa GMO Coin thuộc cùng tập đoàn đăng thông báo, cho biết nhiều công ty ngoại hối ghi nhận các giao dịch trái phép nghi do công cụ giao dịch tự động gây ra; công ty «hiện chưa xác nhận» có thao túng trái phép đối với tài khoản của mình. GMO Coin yêu cầu người dùng kiểm tra lịch sử giao dịch và lệnh, thiết lập khóa truy cập (passkey), bật thông báo đăng nhập và khớp lệnh, đồng thời xóa các khóa API không sử dụng hoặc không rõ nguồn gốc.
Bài viết này, «Máy chủ giao dịch ngoại hối tự động của GMO bị tấn công, kẻ tấn công đặt lệnh bằng tài khoản người dùng và tống tiền GMO», xuất hiện lần đầu trên .