GMO Internet, un fornitore di servizi Internet giapponese, ha avvertito i propri clienti di un grave compromesso della sicurezza del suo servizio di desktop virtuale, Onamae.com Desktop Cloud, utilizzato principalmente per il trading di valute. L’azienda ha recentemente riconosciuto che un attaccante è riuscito a installare programmi malevoli negli ambienti server di alcuni clienti, trovandosi così in una situazione particolarmente delicata poiché questi server offrono desktop Windows cloudizzati per l’hosting di applicazioni di trading.
In aggiornamenti successivi, GMO ha rivelato che alcuni clienti hanno segnalato operazioni non autorizzate sui loro conti di trading e ha consigliato di cambiare immediatamente le password, utilizzando dispositivi non impiegati per il trading. L’azienda ha confermato l’accesso non autorizzato ai sistemi del suo servizio di desktop virtuale, concedendo il prelievo di informazioni sensible.
Richiesta di riscatto da 50 milioni di dollari
Dopo il furto di dati, GMO ha dichiarato di aver ricevuto una richiesta di riscatto da parte dell’attaccante, il quale chiede 50 milioni di dollari per non pubblicare informazioni compromettenti riguardanti l’azienda e i suoi clienti. GMO ha deciso di non pagare, poiché non ritiene che tale conformità garantirebbe la cancellazione delle informazioni ottenute o la prevenzione del loro abuso.
Hanno contattato anche i principali servizi di trading, chiedendo loro di terminare forzosamente tutte le sessioni attive, monitorare eventuali transazioni non autorizzate e bloccare le richieste di trading provenienti dal servizio di desktop su cloud.
Vulnerabilità e risposta del CEO
GMO ha ammesso che il suo servizio Desktop Cloud presentava vulnerabilità di sicurezza e la risposta dell’azienda è stata giudicata insufficiente. Il CEO Masatoshi Kumagai ha pubblicato un post in cui ha descritto la somma di 5.000 yen (circa 32 dollari) offerta ai clienti come un “gesto di sincerità iniziale” per coloro che hanno subito disagi e preoccupazioni. Kumagai ha affermato che l’azienda dedicherà tutte le sue risorse per fornire un ambiente alternativo gratuito per sei mesi e per ristrutturare completamente l’infrastruttura di sistema.
Tuttavia, ha riconosciuto che l’azienda era consapevole del bisogno di migliorare la sicurezza. “I nostri esperti di sicurezza informatica avevano già evidenziato aree di miglioramento”, ha dichiarato, riconoscendo che, sebbene avessero preso queste osservazioni in considerazione, la loro risposta è stata lenta, permettendo agli attaccanti di sfruttare le vulnerabilità.
Kumagai ha anche sottolineato la necessità di una partnership pubblico-privata per migliorare la sicurezza informatica in Giappone, presentando una proposta al governo per “applicare una difesa cibernetica proattiva”.
Nel frattempo, l’azienda sta continuando le indagini sull’incidente, con il timore che fino a 26.739 server VDI possano essere stati compromessi e con la raccomandazione ai clienti di controllare le loro applicazioni di trading per eventuali sessioni attive anche dopo il cambio delle password.
