การโจมตีทางไซเบอร์ต่อ GMO ในญี่ปุ่น: บัญชีการซื้อขายถูกบุกรุก, GMO Coin ยืนยันว่าไม่ได้รับผลกระทบ

บอทการซื้อขายหันไปทำร้ายเจ้าของของพวกเขา. ในญี่ปุ่น, GMO Internet ได้ยืนยันการขโมยข้อมูลลูกค้าจาก "Onamae.com Desktop Cloud," บริการเซิร์ฟเวอร์เสมือนที่เช่าจากผู้ค้า forex หลายพันคนเพื่อรัน MT4 และ MT5. แพลตฟอร์มแลกเปลี่ยนในเครือ GMO Coin รายงานว่าไม่มีการทำธุรกรรมที่ฉ้อโกงในบัญชีของตนเอง.

จุดสำคัญของบทความนี้:

• GMO Internet ได้ยืนยันการขโมยข้อมูลลูกค้าจากบริการ "Onamae.com Desktop Cloud" ซึ่งถูกใช้โดยผู้ค้า forex หลายพันคน.
• GMO Coin, แพลตฟอร์มแลกเปลี่ยนสกุลเงินดิจิทัลของกลุ่ม, ได้รับการปกป้องจากการดำเนินการฉ้อโกงแต่ได้แนะนำให้ผู้ใช้ของตนดำเนินการด้านความปลอดภัยเพิ่มเติม.
• หลังจากค้นพบมัลแวร์ในเซิร์ฟเวอร์บางตัว, GMO ปฏิเสธที่จะจ่ายค่าไถ่และขอให้รัฐเข้ามาช่วยเหลือในการป้องกันทางไซเบอร์.

GMO Coin ได้รับการปกป้องแต่ยังคงระมัดระวัง

GMO Coin, แพลตฟอร์มแลกเปลี่ยนสกุลเงินดิจิทัลของกลุ่ม, ได้ออกคำเตือนเมื่อ 23 ตุลาคม. มันระบุว่าไม่มีธุรกรรมที่ไม่ได้รับอนุญาตได้รับการยืนยันในขั้นตอนนี้ในบัญชีลูกค้าของตน.

อย่างไรก็ตาม, แพลตฟอร์มแลกเปลี่ยนขอให้ผู้ใช้ตรวจสอบประวัติการสั่งซื้อและยอดคงเหลือของพวกเขา, เปิดใช้งานรหัสผ่านและการแจ้งเตือนการเชื่อมต่อ. ที่สำคัญที่สุด, มันแนะนำให้พวกเขา ลบคีย์ API ที่ไม่ได้ใช้งานหรือไม่รู้จัก. คีย์ API คือคีย์ที่อนุญาตให้ซอฟต์แวร์ของบุคคลที่สาม, เช่นบอท, ทำการสั่งซื้อในนามของคุณ.

สเตเบิลคอยน์ของกลุ่มไม่ปรากฏในรายงานห้าฉบับที่เผยแพร่โดย GMO Internet. GYEN และ ZUSD, ที่ออกโดย GMO Trust ใน New York, กำลังอยู่ในกระบวนการชำระบัญชีอยู่แล้ว. ผู้ถือสามารถแลกเปลี่ยนได้ในราคาเท่ากันจนถึง 11 พฤศจิกายน 2026, โดยไม่มีการเชื่อมโยงที่ทราบกับการโจมตี.

เกิดอะไรขึ้นกับเซิร์ฟเวอร์ของ GMO

ทุกอย่างเริ่มต้นด้วยข้อความจากลูกค้าเมื่อ 19 ตุลาคม. ในวันถัดไป, GMO Internet ค้นพบมัลแวร์ที่ติดตั้งอยู่ในเซิร์ฟเวอร์บางตัว. เมื่อ 21 ตุลาคม เวลา 4 โมงเช้า, โฮสต์ได้ปิดบริการทั้งหมด.

ตัวเลข 26,739 เซิร์ฟเวอร์ กำลังแพร่กระจายอย่างกว้างขวางใน X. มันถูกต้อง, แต่หมายถึงเครื่องที่อาจถูกเปิดเผย. GMO ชี้แจงว่านี่ไม่ใช่จำนวนเซิร์ฟเวอร์ที่ถูกบุกรุกจริงๆ.

ปัญหาอยู่ที่สิ่งที่เครื่องเหล่านี้มีอยู่. ผู้ค้าได้ทิ้งซอฟต์แวร์ MT4 และ MT5 ของพวกเขาให้ทำงาน, เชื่อมต่อกับโบรกเกอร์ของพวกเขาอย่างต่อเนื่อง, รวมถึงข้อมูลประจำตัวของพวกเขา. ลูกค้าบางรายเห็นคำสั่งที่พวกเขาไม่เคยวาง. สื่อญี่ปุ่นอ้างถึงบุคคลจากคานากาวะที่ reportedly สูญเสียประมาณ 4 ล้านเยน ในเวลาเพียงสองวินาที.

OANDA Japan, XMTrading, Titan FX, AXIORY, และ IronFX ได้ขอให้ลูกค้าของพวกเขาเปลี่ยนรหัสผ่าน. ตั้งแต่ 22 ตุลาคม, สำนักงานบริการทางการเงิน (FSA) ได้ขอให้โบรกเกอร์ forex, ผ่านสมาคมวิชาชีพของพวกเขา, ตรวจสอบการทำธุรกรรมที่ผิดปกติ.

ปฏิเสธค่าไถ่และเรียกร้องให้รัฐ

รายงานที่สี่ของ GMO, ลงวันที่ 24 ตุลาคม, ยืนยันว่าข้อมูลลูกค้าได้ถูก ขโมย จริงๆ. บริษัทไม่ได้ระบุว่าข้อมูลใด. มันยังเปิดเผยว่ามันได้รับคำขอค่าไถ่, จำนวนเงินที่ไม่ได้เปิดเผย.

การข่มขู่ถูกระบุในแถลงการณ์อย่างเป็นทางการของ GMO. ผู้โจมตีสัญญาว่าจะดำเนินการสั่งซื้อที่ทำลายล้างในบัญชีที่เปิดกับ โบรกเกอร์ญี่ปุ่นและต่างประเทศมากกว่า 70 แห่ง, จะเผยแพร่ข้อมูลลูกค้า, และจะเปิดตัวแรนซัมแวร์. ตัวเลข 70 มาจากแฮ็กเกอร์เอง. ไม่มีการประเมินอย่างเป็นทางการยืนยันเรื่องนี้.

GMO ปฏิเสธที่จะจ่ายและได้ส่งต่อการสื่อสารของตนไปยังตำรวจ. กลุ่มจะชดเชยความสูญเสียที่เกิดจากคำสั่งที่ฉ้อโกงและจะจ่าย 5,000 เยน ให้กับลูกค้าที่ได้รับผลกระทบหรือไม่ได้รับผลกระทบ. บริการจะไม่ถูกฟื้นฟู.

【สำคัญ】คำขอโทษและการแจ้งเตือนเกี่ยวกับการเข้าถึงที่ไม่ได้รับอนุญาตไปยัง "Onamae.com Desktop Cloud" (รายงาน 4)

เราขออภัยอย่างจริงใจต่อความไม่สะดวกและความกังวลที่เกิดขึ้นกับลูกค้าของเรา.

เราขอรายงานว่าเราได้ตัดสินใจในมาตรการต่อไปนี้:
① เราจะจ่ายเงินชดเชยให้กับลูกค้าทุกคนจำนวน 5,000 เยน...
--- กลุ่ม GMO Internet (@GMOGroup) 24 ตุลาคม 2026

อย่างไม่ปกติ, GMO ได้ขอให้รัฐบาลดำเนินการ ป้องกันทางไซเบอร์อย่างกระตือรือร้น, ซึ่งมีผลบังคับใช้ตั้งแต่วันที่ 1 ตุลาคม. กฎหมายนี้อนุญาตให้ตำรวจหรือกองกำลังป้องกันตนเองทำการทำลายเซิร์ฟเวอร์ของผู้โจมตีจากระยะไกล. เมื่อถูกถามโดยสื่อ, เลขาธิการของรัฐบาล Minoru Kihara ปฏิเสธที่จะให้ความเห็นเกี่ยวกับกรณีเฉพาะ. ตามที่เขากล่าว, รัฐจะประเมินความเหมาะสมของการทำลายล้างโดยมีหรือไม่มีคำขอจากบริษัท.

ตามรายงานของ Nikkei, รัฐบาลกำลังรวบรวมรัฐมนตรีที่เกี่ยวข้องในคืนวันจันทร์นี้เพื่อจัดการกับการโจมตีทางไซเบอร์ที่เกิดขึ้น.

บอทคริปโตและ VPS: จุดอ่อนเดียวกัน

แทนที่ MT5 ด้วยบอทการซื้อขายแบบกริดและโบรกเกอร์ forex ด้วย Binance. แผนยังคงเหมือนเดิม. ผู้ค้าคริปโตหลายคนเช่า VPS เพื่อรันสคริปต์ของพวกเขาตลอดทั้งวันทั้งคืน, โดยมีคีย์ API เก็บไว้ในรูปแบบข้อความธรรมดาบนเครื่อง.

ญี่ปุ่นรู้ถึงค่าใช้จ่ายของช่องโหว่เหล่านี้. ในเดือนพฤษภาคม 2024, DMM Bitcoin สูญเสีย 4,502.9 BTC, มูลค่าประมาณ 305 ล้านดอลลาร์. FBI และตำรวจญี่ปุ่นระบุว่าการโจรกรรมนี้เป็นของกลุ่มเกาหลีเหนือ TraderTraitor, ซึ่งเป็นสาขาของ Lazarus. แพลตฟอร์มแลกเปลี่ยนประกาศปิดตัวในเดือนธันวาคม 2024.

สำหรับ GMO, ขณะนี้ไม่มีอะไรที่สามารถระบุผู้กระทำผิดได้. วิธีการก็แตกต่างกัน. ไม่มีใครทำให้กระเป๋าเงินว่างเปล่า. แฮ็กเกอร์ใช้การเข้าถึงของเหยื่อเพื่อ ทำลายทุนของพวกเขา ด้วยคำสั่งที่ขาดทุน.

หากบอททำงานบนเซิร์ฟเวอร์ที่เช่า, คีย์ API ของมันไม่ควรมีสิทธิ์ในการถอนเงินและควรจำกัดอยู่ที่ที่อยู่ IP ของเซิร์ฟเวอร์นั้น. ลูกค้า GMO จะได้รับรายละเอียดการชดเชยภายในวันที่ 6 พฤศจิกายน.