GMO отказалась платить выкуп за украденные данные

Хакеры заявили, что уже разместили вредоносную программу на клиентских системах и запустят её 27 октября. После назначенного ими срока в сети появились данные, которые, по сообщению GMO, относятся к компании и её клиентам.

GMO посоветовала пользователям до полудня 27 октября сохранить резервные копии данных, отключить компьютеры от интернета, завершить работу и вынуть кабели. Предупреждение касалось клиентов Onamae Desktop Cloud — сервиса удалённых рабочих столов и виртуальных серверов, которым управляет входящая в группу GMO Internet. Компания проверяла клиентские системы со специалистами по кибербезопасности, в том числе из Trend Micro.

Примерно в 12:30 по местному времени злоумышленники опубликовали сведения, которые назвали данными клиентов. GMO подтвердила появление информации компании и её пользователей в сети, но на тот момент ещё проверяла подлинность материалов. По оценке компании, часть опубликованного может содержать ошибки. GMO намерена связаться с клиентами, чья утечка подтвердится, и рассматривает для них дополнительную компенсацию.

На момент сообщения GMO запуск шифровальщика на клиентских компьютерах не подтвердился. Компания исследовала переданные ей устройства: на проверенных к позднему утру компьютерах вредоносных программ не обнаружили, но этот результат не распространяется на все системы клиентов. GMO предупредила, что сайты с опубликованными данными могут собирать сведения о посетителях, и попросила не распространять утечку. Против тех, кто будет её распространять, компания готовит юридические меры.

Как развивалась атака на Onamae Desktop Cloud

GMO обнаружила проникновение 20 октября. По первоначальной оценке компании, вредоносное ПО могло оказаться на серверах 26 739 клиентов. Это число обозначает возможный масштаб воздействия, а не количество подтверждённых взломов. Компания отключила серверы, сократила доступность сервиса и начала расследование.

Позднее GMO сообщила о краже данных и требовании выкупа. Публикации называют разные суммы, поэтому установить размер выкупа по имеющимся сообщениям нельзя. Компания отказалась платить: по её объяснению, выплата не гарантировала бы удаления похищенной информации и не исключала бы её дальнейшего незаконного использования. 26 октября злоумышленники пригрозили опубликовать клиентские данные и запустить программу-вымогатель на затронутых системах.

GMO заявила, что платёжные сведения клиентов не были раскрыты. При этом могли пострадать учётные данные торговых платформ MetaTrader 4 и MetaTrader 5, а также сведения о торговых счетах. Компания попросила клиентов сменить пароли и завершить активные сеансы. Разработчик платформ MetaQuotes отдельно сообщил брокерам, что сами MT4 и MT5, а также задействованные торговые серверы не были взломаны. По его версии, атакующие получили доступ к арендованным системам с сохранёнными учётными данными.

Ограничения для трейдеров и компенсации

Министр финансов Японии Сацуки Катаяма сообщила о пострадавших пользователях пяти компаний, предоставляющих услуги маржинальной торговли валютой. В сообщениях также говорится о сделках без согласия владельцев счетов. Затронутые брокеры ввели ограничения для отдельных клиентов; по словам министра, сообщений о новых несанкционированных операциях ей не поступало.

Брокер FXTF закрыл вход с зарубежных IP-адресов для всех своих клиентов, включая тех, кто не пользовался сервисом GMO. Мера распространяется на доступ через MT4, MT5 и торговую платформу FXTF GX. Брокер также допустил приостановку торговли на счетах, к которым могли получить доступ через сервис GMO, и включение для них одноразовых паролей. OANDA Securities ограничила торговлю на затронутых счетах и планирует сделать обязательными ключи доступа.

GMO пообещала каждому клиенту выплату ¥5000 (около 2500 ₽) за неудобства. Для пользователей с подтверждёнными торговыми убытками компания готовит отдельный порядок возмещения и намерена рассказать о подаче заявок до 6 ноября. Если атака шифровальщика повредит клиентский компьютер, GMO предлагает заменить его сопоставимым устройством. Для клиентов, чьи сведения действительно оказались среди опубликованных, компания рассматривает дополнительные выплаты.