Cyberatak GMO w Japonii: zniszczone konta handlowe, GMO Coin twierdzi, że jest oszczędzone

Roboty handlowe obrócone przeciwko swoim właścicielom. W Japonii GMO Internet potwierdza kradzież informacji o klientach z << Onamae.com Desktop Cloud >>, swojego serwisu wirtualnych serwerów wynajmowanego przez tysiące traderów forex do obsługi MT4 i MT5. Giełda GMO Coin nie zauważa żadnych oszukańczych operacji na swoich kontach.

Kluczowe punkty tego artykułu:

• GMO Internet potwierdziło kradzież informacji o klientach z jego serwisu << Onamae.com Desktop Cloud >>, wykorzystywanego przez tysiące traderów forex.
• GMO Coin, platforma wymiany kryptowalut grupy, została oszczędzona od oszukańczych operacji, ale zaleciła swoim użytkownikom podjęcie dodatkowych środków bezpieczeństwa.
• Po odkryciu złośliwego oprogramowania na niektórych serwerach, GMO odmówiło zapłacenia okupu i zwróciło się o interwencję państwa w celu zastosowania aktywnej cyberobrony.

GMO Coin oszczędzone, ale czujne

GMO Coin, platforma wymiany kryptowalut grupy, opublikowała ostrzeżenie 23 października. Wskazuje w nim, że na razie nie potwierdzono żadnych nieautoryzowanych operacji na kontach klientów.

Mimo to giełda prosi swoich użytkowników o sprawdzenie historii zleceń i sald, aktywację klucza dostępu oraz powiadomień o logowaniu. Przede wszystkim doradza im usunięcie nieużywanych lub nieznanych kluczy API. Klucz API to klucz, który pozwala zewnętrznemu oprogramowaniu, na przykład botowi, na składanie zleceń w twoim imieniu.

Stablecoiny grupy nie pojawiają się w żadnym z pięciu raportów opublikowanych przez GMO Internet. GYEN i ZUSD, emitowane przez GMO Trust w Nowym Jorku, są w każdym razie w trakcie likwidacji. Ich posiadacze mogą je odkupić po pary do 11 listopada 2026, bez znanego związku z atakiem.

Co się stało na serwerach GMO

Wszystko zaczyna się od wiadomości od klienta 19 października. Następnego dnia GMO Internet odkrywa złośliwe oprogramowanie zainstalowane na niektórych serwerach. 21 października o 4:00 dostawca usług wyłącza wszystkie oferty.

Liczba 26 739 serwerów krąży dużo na X. Jest to prawda, ale odnosi się do maszyn potencjalnie narażonych. GMO precyzuje, że nie jest to liczba serwerów faktycznie skompromitowanych.

Problem wynika z tego, co te maszyny zawierały. Traderzy zostawiali na nich swoje oprogramowanie MT4 i MT5 połączone na stałe z ich brokerami, w tym identyfikatory. Klienci później widzieli zlecenia, których nigdy nie składali. Japońska prasa cytuje osobę z Kanagawy, która miała stracić około 4 milionów jenów w ciągu dwóch sekund.

OANDA Japan, XMTrading, Titan FX, AXIORY i IronFX poprosiły swoich klientów o zmianę haseł. Już 22 października Agencja Usług Finansowych (FSA) poprosiła brokerów forex, za pośrednictwem ich stowarzyszenia zawodowego, o monitorowanie nietypowych transakcji.

Odrzucony okup i apel do państwa

Czwarty raport GMO, datowany na 24 października, potwierdza, że informacje o klientach zostały wykradzione. Firma nie mówi, które. Ujawniła również, że otrzymała żądanie okupu, którego kwota nie została ujawniona.

Zagrożenia są szczegółowo opisane w oficjalnym komunikacie GMO. Napastnik obiecuje kontynuowanie składania destrukcyjnych zleceń na kontach otwartych u ponad 70 japońskich i zagranicznych brokerów, publikację danych klientów oraz uruchomienie oprogramowania ransomware. Ta liczba 70 pochodzi więc od samego hakera. Żaden oficjalny bilans tego nie potwierdza.

GMO odmawia zapłacenia i przekazało swoje wymiany policji. Grupa zwróci straty poniesione na oszukańczych zleceniach i wypłaci 5 000 jenów każdemu klientowi, dotkniętemu lub nie. Usługa nie zostanie przywrócona.

【重要】「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第4報）

お客様には、多大なるご迷惑とご心配をおかけしておりますこと、心より深くお詫び申し上げます

以下の対応を決定しましたのでご報告します
①ご利用中の全てのお客様へ、お見舞金5,000円をお支払い...
--- GMOインターネットグループ (@GMOGroup) 24 października 2026

Co bardziej niezwykłe, GMO poprosiło rząd o zastosowanie aktywnej cyberobrony, która weszła w życie 1 października. Ta ustawa zezwala policji lub Siłom Samoobrony na zdalne neutralizowanie serwerów napastnika. Zapytany przez prasę, sekretarz generalny rządu Minoru Kihara odmówił skomentowania konkretnej sprawy. Według niego państwo oceni, czy neutralizacja jest uzasadniona, z lub bez prośby firmy.

Według Nikkei, rząd zbiera w poniedziałek wieczorem zainteresowanych ministrów, aby stawić czoła serii cyberataków.

Boty kryptowalutowe i VPS: ta sama pięta Achillesa

Zamień MT5 na bota do handlu siatkami, a brokera forex na Binance. Schemat pozostaje taki sam. Wiele traderów kryptowalut wynajmuje VPS, aby uruchamiać swoje skrypty dzień i noc, z kluczami API przechowywanymi w czystym tekście na maszynie.

Japonia zna cenę tych luk. W maju 2024 roku DMM Bitcoin stracił 4 502,9 BTC, co stanowi około 305 milionów dolarów. FBI i japońska policja przypisały kradzież północnokoreańskiej grupie TraderTraitor, będącej częścią Lazarusa. Giełda ogłosiła zamknięcie w grudniu 2024 roku.

Dla GMO nic nie pozwala zidentyfikować autora do tej pory. Metoda również się różni. Nikt nie opróżnił portfela. Haker wykorzystał dostęp ofiar, aby zniszczyć ich kapitał za pomocą przegranych zleceń.

Jeśli bot działa na wynajętym serwerze, jego klucze API nigdy nie powinny mieć prawa do wypłaty i powinny być ograniczone do adresu IP tego serwera. Klienci GMO otrzymają szczegóły dotyczące zwrotu do 6 listopada.