Síntesis
Un ataque al servicio Onamae.com Desktop Cloud, usado por inversionistas japoneses para operar en el mercado de divisas, derivó en robo de datos, operaciones no autorizadas y una extorsión de 8 mil millones de yenes (cerca de 50 millones de dólares). GMO se negó a pagar y pidió a sus clientes apagar sus computadores. El caso ya escaló al gobierno japonés.
- Hasta 26.739 servidores virtuales podrían haberse visto afectados por el ataque.
- Cinco operadoras de divisas sufrieron transacciones fraudulentas, según el ministro de Finanzas.
- Los atacantes comenzaron a publicar datos de clientes y amenazan con seguir haciéndolo.
- La primera ministra ordenó preparar un paquete de medidas de ciberseguridad.
Noticia
GMO Internet, uno de los mayores registradores de dominios de Japón, confirmó un ataque contra Onamae.com Desktop Cloud. El servicio ofrece escritorios Windows en la nube, usados principalmente por inversionistas minoristas que operan con software automatizado en el mercado de divisas.
La intrusión se detectó el pasado 20 de octubre, cuando la empresa encontró programas maliciosos en algunos servidores. Al día siguiente apagó todo el servicio, que suma hasta 26.739 servidores potencialmente expuestos.
GMO confirmó que los atacantes sacaron información de clientes, incluidas credenciales de las plataformas de inversión MetaTrader 4 y 5, aunque no datos de pago. Algunos usuarios reportaron operaciones que no reconocen, con pérdidas de casi 2 millones de yenes en ciertos casos.
El ministro de Finanzas del Japón, Satsuki Katayama, informó que cinco servicios de divisas vinculados a GMO fueron vulnerados con operaciones no autorizadas. Se trata de Goldenway Japan, Oanda, Ava Trade Japan, Gaitame Finest y Dukascopy Japan, que suspendieron las transacciones de las cuentas afectadas.
El 21 de octubre, la empresa recibió un correo que exigía unos 8.000 millones de yenes, cerca de 50 millones de dólares. GMO se negó a pagar y avisó a la policía, asegurando en un comunicado que “no accederemos a las exigencias de los atacantes”.
Los atacantes amenazaron con lanzar un ransomware el mediodía del 27 de octubre. Por eso, la empresa pidió a sus clientes respaldar su información, desconectarse de la red, apagar sus equipos y desenchufar los cables.
En paralelo, GMO recogió computadores de clientes en todo Japón para analizarlos, con apoyo de Trend Micro y empresas de IA. Según su noveno reporte, “no se ha detectado malware (incluido ransomware) en los dispositivos analizados”.
Ese mismo día, los atacantes publicaron información que dicen haber robado y prometieron seguir filtrando datos de clientes uno a uno hasta recibir el pago. GMO pidió no acceder ni difundir ese material, ya que el sitio captura datos de sus visitantes, y anunció acciones legales contra quienes lo propaguen.
Como compensación, la empresa señaló que pagará 5.000 yenes a cada cliente, cubrirá las pérdidas por operaciones fraudulentas y ofrecerá un servicio alternativo gratis por seis meses. También pidió al gobierno aplicar por primera vez la ley de ciberdefensa activa, mientras la primera ministra, Sanae Takaichi, ordenó preparar un paquete de medidas de ciberseguridad.
El CEO de GMO, Masatoshi Kumagai, reconoció que su equipo interno ya había advertido fallas en el servicio. Según explicó, “nuestra respuesta careció de la profundidad y rapidez suficientes, permitiendo a los atacantes explotar la vulnerabilidad”.
