Японская группа GMO Internet предлагает до 1 миллиона долларов США за информацию, которая поможет поймать злоумышленников, взломавших ее сервис Onamae.com Desktop Cloud, отказавшись платить выкуп.
Программа вознаграждений стартовала 28 октября и предусматривает выплаты только в том случае, если информация приведет к аресту или объявлению в международный розыск. Сервис предоставляет виртуальные рабочие столы Windows, используемые для торговли на рынке Форекс, и один из брокеров связал несанкционированные сделки по счетам некоторых клиентов с утечкой данных для входа в систему.
GMO сообщает, что злоумышленники получили доступ к информации клиентов. 21 октября компания получила требование о выплате около 50 миллионов долларов США (примерно 8 миллиардов иен) от лиц, предположительно совершивших атаку. Они также угрожали торговым счетам и данным клиентов.
27 октября злоумышленники опубликовали на своем сайте материалы, которые, по их утверждению, содержат информацию о GMO и ее клиентах. Домен сайта, включая зеркала, был заблокирован около 4 часов утра по японскому времени 28 октября, и GMO планирует принимать меры против любых новых сайтов.
Программа, получившая название **GMO Cybercrime Bounty**, организована и финансируется группой GMO Internet. Информация направляется по электронной почте на адрес, указанный на специальном веб-сайте, на японском, английском или китайском языках, и может быть анонимной. Программа действует до момента ареста, объявления в международный розыск или до 27 октября 2027 года, в зависимости от того, что наступит раньше.
GMO ищет информацию, связывающую людей, серверы, домены, IP-адреса, учетные записи или криптовалютные адреса с атакой, вымогательством или перемещением денежных средств, а также доказательства способов совершения преступлений. Предположения, необоснованные обвинения и перепубликация общедоступной информации, как правило, не учитываются.
Вознаграждение выплачивается только в случае ареста (в том числе по запросу полиции за пределами Японии) или объявления в международный розыск, например, через Интерпол. GMO определяет размер вознаграждения в зависимости от ценности информации, и один заявитель может получить всю сумму в 1 миллион долларов США или же сумма может быть разделена между несколькими лицами. Заявители должны подтвердить свою личность перед выплатой, и если ни одна информация не будет признана ценной, выплаты не производятся.
Некоторые лица не могут получить вознаграждение, включая всех, кто причастен к преступлению, тех, кто получил информацию незаконным путем (например, купив украденные данные), а также сотрудников GMO. GMO просит заявителей не пытаться взломать системы, не вступать в переговоры с вымогателями и не платить им, а также не отправлять украденные данные, учетные данные или вредоносное ПО.
Информация передается полиции и другим правоохранительным органам в Японии и за рубежом по мере необходимости. GMO уже предоставила полиции все имеющиеся у нее доказательства угроз, включая записи коммуникаций.
GMO никогда не будет запрашивать у заявителей пароли, коды аутентификации или платежи, и будет связываться с ними только с адресов, заканчивающихся на @cybercrimebounty.gmo.
GMO Internet, дочерняя компания, управляющая сервисом, 20 октября обнаружила, что третья сторона установила вредоносные программы на некоторых клиентских серверах. Серверы были отключены во всех тарифных планах с 21 октября. Компания насчитала 26 739 серверов как потенциально затронутые, что не является числом подтвержденных взломов или краж данных.
24 октября GMO сообщила о подтверждении проблемы безопасности в системах сервиса, несанкционированного доступа к сервису и утечки информации о клиентах из компании.
Все, что клиенты хранили на серверах, могло быть просмотрено, включая учетные данные, сохраненные в торговом программном обеспечении, таком как *MetaTrader 4 и 5 (MT4/MT5). GMO не хранит платежные данные клиентов на серверах.
Клиенты начали сообщать о неизвестных им сделках 21 октября. Брокер OANDA Japan подтвердил, что третья сторона входила в некоторые клиентские счета и совершала сделки, используя пары логин/пароль, которые, по мнению компании, были утекшими с серверов GMO. Компания ограничила торговлю по затронутым счетам и по состоянию на 26 октября не обнаружила взломов или утечек в собственных основных системах.
Другой брокер, FXTF, предупредил 22 октября, что третьи лица могли похитить учетные данные некоторых клиентов, использующих VPS-серверы, в результате атаки, которая, по мнению компании, затронула VPS-серверы другой организации. Они также могли использовать эти данные для входа и совершения сделок. Клиентам, подключавшимся к Desktop Cloud, было рекомендовано сменить пароли FXTF с устройства, которое никогда не подключалось к сервису.
GMO Internet Group в отчете для фондовой биржи от 28 октября сообщила, что еще не определила, сколько клиентов будет охвачено выплатами, какой объем информации был опубликован и какие сделки подлежат компенсации. Компания также не подтвердила никакого влияния взлома на другие свои сервисы.
GMO заявляет, что злоумышленники угрожали продолжать манипулировать клиентскими счетами в более чем 70 компаниях, занимающихся ценными бумагами и Форекс, публиковать информацию о сервисе и ПК клиентов, атаковать эти ПК с помощью программ-вымогателей и публиковать детали систем GMO.
Они установили крайний срок — полдень 27 октября — для публикации информации о клиентах и запуска атаки с использованием программ-вымогателей. Атака с использованием программ-вымогателей не была подтверждена по состоянию на 13:55 по японскому времени в тот день.
Материалы, опубликованные 27 октября, представляли собой то, что злоумышленники назвали персональными данными одного из клиентов, как сообщил ITmedia NEWS во второй половине дня. GMO проверяла их в тот день.
По данным GMO, злоумышленники собирали информацию о всех, кто посещал их сайт. Компания рекомендует посетителям запустить полную антивирусную проверку. Она просит не посещать сайт или любые новые ресурсы, а также не перепубликовывать или ссылаться на материалы.
По состоянию на 28 октября GMO не сообщала, как именно злоумышленники получили доступ.
Масатоши Кумагай, глава GMO Internet Group, написал в своем блоге от 25 октября, что собственные “белые шляпы” (специалисты по кибербезопасности) группы заранее предупреждали команду, управляющую сервисом, о проблемах.
Он отметил, что реакция была недостаточно быстрой и тщательной, и злоумышленники воспользовались этим.
На своем сайте злоумышленники утверждали, что одна учетная запись администратора использовалась на всех серверах, и что диски ПК клиентов были видны с серверов по умолчанию при подключении, как сообщил ITmedia NEWS.
Они также заявили, что использовали уязвимость в сервисе для доступа к ПК клиентов. GMO публично не подтвердила эти заявления.
К 26 октября GMO собрала ПК у клиентов, предоставивших их для анализа. По состоянию на 11:59 по японскому времени 27 октября компания не обнаружила вредоносного ПО, включая программы-вымогатели, на проверенных ПК. Это не означает, что все устройства клиентов безопасны, и анализ продолжается.
GMO рекомендовала клиентам Desktop Cloud предпринять следующие шаги:
GMO Internet выплатит каждому текущему пользователю 5000 иен и покроет фактические торговые убытки и комиссии по сделкам, которые будут подтверждены как несанкционированные и вызванные взломом. Клиенты, чья информация, как будет подтверждено, была опубликована, также получат от 10 000 до 25 000 иен за каждый тип раскрытой информации.
GMO не будет перезапускать сервис на скомпрометированных системах. Клиентам, которым нужен рабочий стол Windows, будет предложен переход на отдельный сервис бесплатно на шесть месяцев и только с их согласия. Детали будут предоставлены к 30 октября.
*Facebook, *Instagram и *WhatsApp принадлежат компании *Meta Platforms Inc., деятельность которой признана экстремистской и запрещена на территории Российской Федерации.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
