GMO Internet: breșă în Onamae Desktop Cloud, date publicate

Grupul japonez GMO Internet gestionează un incident grav la Onamae Desktop Cloud, serviciul de desktopuri virtuale al mărcii Onamae.com, folosit mai ales de cei care tranzacționează pe piața valutară (forex). După accesul neautorizat, atacatorii au cerut o răscumpărare de aproximativ 8 miliarde de yeni (circa 50 de milioane de dolari) și, potrivit ultimei actualizări a companiei, au publicat informații care par să privească GMO și clienții săi. Autenticitatea datelor este încă în curs de verificare.

Ce s-a întâmplat

Cele trei publicații care au urmărit cazul (TechCrunch, Infosecurity Magazine și DataBreaches.net) sunt de acord asupra succesiunii principale, reconstituite din anunțurile publicate de GMO:

• 20 octombrie: potrivit Infosecurity Magazine, GMO descoperă că în unele medii de server ale clienților au fost instalate „programe malițioase”;
• 21 octombrie: serviciul este suspendat și sosește emailul de extorcare, cu cererea de aproximativ 8 miliarde de yeni;
• 22 octombrie: plângere la poliția japoneză;
• 24 octombrie: GMO anunță despăgubiri și un serviciu alternativ pentru clienți și cere sprijinul agențiilor guvernamentale;
• 25–26 octombrie: compania începe să colecteze dispozitivele clienților pentru a căuta malware și a înțelege amploarea pagubelor;
• 27 octombrie: potrivit TechCrunch, GMO anunță că un presupus atacator a publicat informații care par legate de companie și de clienți.

Perimetrul este larg: GMO vorbește de până la 26.739 de servere posibil afectate (TechCrunch rotunjește la 27.000). TechCrunch relatează și că firma a primit semnalări de „operațiuni neautorizate” pe conturile de trading ale clienților și i-a rugat pe toți să își schimbe parolele.

Amenințarea cu ransomware și cererea de a opri PC-urile

Elementul cel mai neobișnuit îl relatează Infosecurity Magazine și DataBreaches.net. Potrivit Infosecurity Magazine, după ce GMO a refuzat să plătească, atacatorii au anunțat că vor lansa un ransomware la ora 12:00 pe 27 octombrie. GMO le-a cerut atunci clienților să facă o scanare antivirus completă, o copie de rezervă a tuturor datelor, să deconecteze PC-ul de la internet și să îl oprească; DataBreaches.net citează îndemnul literal de a scoate toate cablurile conectate la calculator.

În același anunț, citat de Infosecurity Magazine, GMO precizează că la ora 11:59 pe 27 octombrie nu fusese găsit niciun malware, inclusiv ransomware, pe dispozitivele deja analizate, dar că analiza nu s-a încheiat și urmează să mai sosească alte dispozitive. Sursele nu explică cum ar fi putut atacatorii să ajungă la PC-urile clienților pornind de la desktopurile virtuale.

Ce nu se știe încă

Sursele nu indică vectorul de acces inițial, nici CVE-uri, nici familii de malware, nici numele unui grup infracțional. Prin urmare, nu există indicatori de compromitere publici de căutat.

TechCrunch amintește că, cu circa o săptămână înainte, unitatea de securitate a GMO semnalase folosirea Artex, un instrument chinezesc de testare a penetrării bazat pe IA, în atacuri împotriva unor companii japoneze; potrivit unui raport CrowdStrike, același instrument a fost folosit în septembrie împotriva unor instituții financiare sud-coreene, exploatând mai ales controale slabe, cum ar fi lipsa autentificării multifactor. Totuși, GMO nu a legat public Artex de breșa Onamae: este context, nu o atribuire.

De ce contează și pentru companiile europene

Cazul arată riscul unui furnizor de desktopuri virtuale găzduite (DaaS/VDI): un singur punct compromis dă acces la mii de medii ale unor clienți diferiți și, în cazul traderilor, la sesiuni deja conectate la conturi și platforme financiare. Multe companii europene și italiene folosesc servicii asemănătoare pentru munca de la distanță, pentru consultanții externi sau pentru aplicațiile de gestiune.

Pentru entitățile supuse NIS2, securitatea lanțului de aprovizionare este una dintre măsurile cerute de articolul 21; pentru bănci, intermediari și alte entități financiare, regulamentul DORA impune gestionarea riscului TIC generat de terți și strategii de ieșire de la furnizorii critici. Un incident ca acesta este exact scenariul pe care acele planuri trebuie să îl prevadă: serviciu suspendat zile întregi, date posibil exfiltrate, dispozitive de colectat și analizat.

Ce să faci acum

Dacă folosești Onamae Desktop Cloud sau îl folosesc angajații tăi:

• urmează anunțurile GMO și schimbă parolele serviciului și ale tuturor conturilor accesate din desktopurile virtuale, în primul rând cele de trading;
• verifică tranzacțiile și accesările recente pe conturile legate și semnalează imediat brokerului orice operațiune pe care nu o recunoști;
• tratează PC-urile folosite pentru conectare ca posibil compromise până la încheierea analizei: scanare completă, copie de rezervă offline și nicio conexiune la rețeaua companiei până la verificare.

Pentru orice serviciu terț de desktop la distanță sau virtual:

• autentificare multifactor obligatorie pe toate accesările de la distanță și pe conturile accesibile din sesiuni;
• limitează canalele dintre desktopul găzduit și PC-ul local (clipboard, unități și imprimante partajate) la strictul necesar;
• verifică în jurnale accesările de la distanță în afara programului, din țări neobișnuite sau după rafale de încercări eșuate (tehnicile MITRE ATT&CK T1133 External Remote Services și T1078 Valid Accounts);
• verifică dacă în contracte există termene de notificare a incidentelor, drept de audit și o procedură de ieșire deja testată;
• păstrează copii de rezervă offline ale datelor care trec prin serviciu.

Cum ajută ARXDOME

ARX Sentry arată în paginile dedicate identităților accesările prin desktop la distanță, pe cele din timpul nopții și rafalele de încercări, astfel încât o folosire anormală a credențialelor iese repede la iveală. ARX Expose semnalează conturile companiei apărute în breșe de date, util dacă informațiile publicate ar conține credențiale. Dacă un PC folosit pentru conectarea la serviciu pare suspect, ARX Shield îți permite să îl izolezi de rețea până la analiză.

Ultima actualizare: 28 octombrie 2026