GMO Internet: violato il servizio Onamae.com Desktop Cloud, richiesti 50 milioni di dollari

• Violato il servizio Onamae.com Desktop Cloud di GMO Internet, usato per il trading forex
• Possibili fino a 26.739 server VDI colpiti; operazioni non autorizzate sui conti di trading
• L'attaccante chiede 50 milioni di dollari; GMO non intende pagare
• Utenti: cambiare le password da un altro dispositivo e disconnettere tutte le sessioni attive

L’ISP giapponese GMO Internet ha avvisato i clienti che il suo servizio Onamae.com Desktop Cloud è stato compromesso da un attaccante. La società ha ammesso di essere stata lenta nel rafforzarne la sicurezza. L’annuncio risale alla scorsa settimana ed è stato seguito da aggiornamenti successivi.

Che cosa è successo

Il servizio offre desktop Windows nel cloud, che GMO consiglia come ambiente per le applicazioni di trading sul mercato dei cambi (forex). Secondo la prima comunicazione, una terza parte ha installato programmi malevoli negli ambienti server di alcuni clienti.

Negli aggiornamenti successivi l’azienda ha precisato che alcuni clienti hanno segnalato operazioni non autorizzate sui conti di trading. Ha inoltre indicato che le password dei servizi di trading sono state probabilmente viste da terzi. GMO ha poi riconosciuto che i sistemi presentavano vulnerabilità, che l’ambiente è stato violato e che dati dei clienti sono usciti dal perimetro aziendale.

Le verifiche proseguono. GMO indica che fino a 26.739 server VDI (virtual desktop infrastructure) potrebbero essere stati colpiti. Anche i dispositivi personali degli utenti potrebbero essere a rischio.

La richiesta di riscatto

GMO ha ricevuto una richiesta di denaro da una persona ritenuta l’attaccante. In caso di rifiuto, la minaccia è di pubblicare informazioni sull’azienda e sui clienti. La cifra richiesta è di 50 milioni di dollari. L’azienda non pagherà: a suo giudizio cedere non garantirebbe la cancellazione dei dati né impedirebbe un loro uso illecito.

Le misure per i clienti

• GMO ha chiesto ai principali servizi di trading di terminare forzatamente tutte le sessioni attive, monitorare le transazioni anomale e bloccare le richieste provenienti da Onamae.com Desktop Cloud.
• Agli utenti ha consigliato di cambiare subito le password dei conti di trading, usando un dispositivo diverso da quello usato per operare.
• Alcune app di trading potrebbero mantenere attive le sessioni anche dopo il cambio password. Per questo i clienti devono disconnettere tutte le sessioni attive o chiedere al supporto del broker di farlo.
• Ogni utente riceverà un indennizzo di 5.000 yen (circa 32 dollari). GMO promette inoltre di coprire le eventuali perdite di trading causate dall’attacco.

Le ammissioni del CEO

Il CEO Masatoshi Kumagai ha promesso sei mesi di ambiente alternativo gratuito, una revisione profonda dell’infrastruttura e un’indagine con esperti esterni. Ha ammesso che gli white-hat hacker interni avevano già segnalato aree da migliorare. Il team stava lavorando alle contromisure. Tuttavia, tenendo conto dell’impatto sulla disponibilità del servizio e di altre priorità, la risposta è stata troppo lenta e poco approfondita.

Kumagai ha anche sostenuto che i modelli AI open-weight, combinabili in molti strumenti di attacco, abbiano reso gli attacchi accessibili a chiunque. Secondo lui, il team di cybersecurity di GMO Group ha verificato che all’origine di accessi non autorizzati contro circa 20 aziende giapponesi c’era l’uso improprio di ARTEX, uno strumento autonomo di penetration testing basato su AI, nato per la difesa. La fonte non dice se ARTEX sia legato all’attacco a Onamae.com.

Il CEO ha infine presentato al governo giapponese una proposta di «proactive cyber defense». Ha precisato di non voler scaricare le colpe né chiedere un salvataggio. Ritiene però che senza difese a livello nazionale simili incidenti siano inevitabili.

Fonte: theregister · Foto: theregister