Sicherheitsverletzung bei Onamae.com Desktop Cloud gefährdet FX-Logins
Die Sicherheitsverletzung bei Onamae.com Desktop Cloud hat Zugangsdaten für den Devisenhandel gefährdet, nachdem auf einigen Kundenservern Schadprogramme gefunden worden waren. Der in der Cloud gehostete Dienst stellt Remote-Windows-Desktops bereit, die für FX, also den Devisenhandel, genutzt werden. GMO Internet, die den Dienst betreibende Tochtergesellschaft, entdeckte die Programme am 20. Oktober und schaltete ab dem 21. Oktober die Server sämtlicher Tarife ab. Das Unternehmen führt 26.739 Server als potenziell betroffen auf, doch diese Zahl steht weder für bestätigte Kompromittierungen noch für bestätigten Datendiebstahl.
Am 24. Oktober teilte GMO mit, eine Sicherheitsverletzung im Dienst, unbefugten Zugriff und das Entwenden von Kundeninformationen aus Unternehmenssystemen bestätigt zu haben. Alles, was Kunden auf ihren Remote-Desktops gespeichert hatten, könnte eingesehen worden sein, darunter in MetaTrader 4 und 5 (MT4/MT5), weitverbreiteten Trading-Anwendungen, gespeicherte Zugangsdaten. Zahlungskartendaten wurden auf diesen Servern nicht gespeichert. Bis zum 28. Oktober hatte das Unternehmen nicht offengelegt, auf welchem Weg die Angreifer eingedrungen waren.
Ab dem 21. Oktober meldeten Kunden Trades, die sie nicht wiedererkannten. OANDA Japan bestätigte, dass sich eine unbefugte Partei mit Kombinationen aus ID und Passwort, die nach Einschätzung des Brokers von den betroffenen Servern stammten, bei einigen Kundenkonten angemeldet und darüber gehandelt hatte. Der Broker schränkte den Handel auf möglicherweise betroffenen Konten ein. Bis zum 26. Oktober hatte OANDA Japan weder ein Eindringen noch ein Informationsleck in den eigenen Kernsystemen festgestellt.
FXTF veröffentlichte am 22. Oktober eine ähnliche Warnung. Das Unternehmen erklärte, dass bei einem Angriff auf die Infrastruktur eines anderen Unternehmens möglicherweise die Zugangsdaten einiger Kunden gestohlen worden seien, die virtuelle private Server beziehungsweise VPS-Systeme nutzen, über die andernorts gehostete Computer aus der Ferne bereitgestellt werden. Die Zugangsdaten könnten anschließend verwendet worden sein, um auf Konten zuzugreifen und Trades auszuführen. FXTF riet Kunden, die sich über Desktop Cloud verbunden hatten, ihre Passwörter von einem Gerät aus zu ändern, das noch nie auf den Dienst zugegriffen hatte.
Die Angreifer forderten am 21. Oktober rund 50 Millionen US-Dollar, was mit ungefähr 8 Milliarden Yen angegeben wurde. GMO lehnte die Zahlung ab. Nach Angaben des Unternehmens drohte die Gruppe damit, Kundenkonten bei mehr als 70 Wertpapier- und FX-Unternehmen zu beeinträchtigen, Informationen über den Dienst und Kunden-PCs offenzulegen, ransomware gegen Kundencomputer einzusetzen und Details zu den Systemen von GMO zu veröffentlichen. ransomware ist Schadsoftware, die Dateien oder Geräte unbrauchbar machen soll und üblicherweise mit einer Zahlungsforderung verbunden ist.
Als Frist für die Veröffentlichung von Kundeninformationen und den Beginn des ransomware-Angriffs wurde der 27. Oktober um 12 Uhr mittags festgelegt. Bis 13:55 Uhr japanischer Zeit an diesem Tag war kein Einsatz von ransomware bestätigt worden. Laut ITmedia NEWS veröffentlichten die Angreifer jedoch Material, das sie als personenbezogene Daten eines Kunden bezeichneten, wobei GMO dies noch überprüfte. Das Unternehmen erklärte, dass die Website der Angreifer Informationen über Besucher erfasse, und forderte die Öffentlichkeit auf, die Seite nicht zu öffnen, keine Links darauf zu teilen und ihre Inhalte nicht erneut zu veröffentlichen. Die Domain und ihre Mirror-Sites wurden am 28. Oktober gegen 4 Uhr japanischer Zeit offline genommen, und GMO kündigte an, auch gegen Ersatzangebote vorzugehen. Allen Personen, die die Website besucht hatten, wurde geraten, einen vollständigen Antivirenscan durchzuführen.
Die Angreifer behaupteten laut ITmedia NEWS außerdem, dass ein einziges Administratorkonto für alle Server verwendet worden sei, die Laufwerke der Kunden-PCs bei Verbindungen standardmäßig sichtbar gewesen seien und eine Schwachstelle des Dienstes den Zugriff auf die eigenen Computer der Kunden ermöglicht habe. GMO hatte diese Behauptungen nicht bestätigt. Der Konzernchef räumte unabhängig davon ein, dass interne white-hat hackers, also zur Suche nach Schwachstellen autorisierte Sicherheitsspezialisten, das Serviceteam zuvor gewarnt hätten und die Reaktion weder schnell noch gründlich genug gewesen sei. Bis zum 26. Oktober waren Kunden-PCs zur Analyse eingesammelt worden. Auf den Geräten, die bis zum 27. Oktober um 11:59 Uhr japanischer Zeit untersucht worden waren, hatten die Ermittler keine malware einschließlich ransomware gefunden. Die Prüfungen dauerten jedoch noch an und belegten nicht, dass jedes Gerät sicher war.
GMO startete am 28. Oktober das Programm GMO Cybercrime Bounty und setzte insgesamt bis zu 1 Million US-Dollar für Informationen aus, die zu einer Festnahme oder einer international wanted notice führen. Hinweise können anonym auf Japanisch, Englisch oder Chinesisch eingereicht werden. Das Programm endet entweder mit einer Festnahme beziehungsweise einer international wanted notice oder am 27. Oktober 2027, je nachdem, was zuerst eintritt. Eine einzelne Person mit einem qualifizierten Hinweis könnte den gesamten Betrag erhalten; alternativ kann die Summe entsprechend der Einschätzung von GMO dazu aufgeteilt werden, wie viel die jeweiligen Einsendungen beigetragen haben. Vor der Auszahlung ist eine Identitätsprüfung erforderlich. Falls kein Hinweis die Voraussetzungen erfüllt, wird keine Belohnung ausgezahlt.
Das Programm sucht nach Beweisen, die Personen, Server, Domains, IP-Adressen, Onlinekonten oder Kryptowährungsadressen mit dem Eindringen, der Erpressung oder Geldbewegungen in Verbindung bringen. Unbelegte Anschuldigungen, Vermutungen und erneut veröffentlichte, öffentlich zugängliche Informationen erfüllen die Voraussetzungen im Allgemeinen nicht. Von der Teilnahme ausgeschlossen sind alle am Verbrechen beteiligten Personen, alle, die Informationen illegal erlangt haben – einschließlich durch den Kauf geleakter Daten – sowie Beschäftigte von GMO. Hinweisgeber werden ausdrücklich aufgefordert, nicht ohne Erlaubnis in Systeme einzudringen, keinen Kontakt zu den Angreifern aufzunehmen, sie nicht zu bezahlen und keine Zugangsdaten, geleakten Informationen oder malware einzureichen. Relevante Informationen können an Behörden in Japan und im Ausland weitergegeben werden; Beweismittel und Kommunikation, die GMO bereits vorlagen, wurden der Polizei übergeben. Echte Korrespondenz wird ausschließlich von einer Adresse mit der Endung @cybercrimebounty.gmo versendet, und Hinweisgeber werden niemals nach Passwörtern, Authentifizierungscodes oder Gebühren gefragt.
GMO hat Kunden geraten, ihre Passwörter für den Handel und die Trading-Software von einem anderen Gerät aus zu ändern, alle aktiven Sessions zu beenden, Kontostände und Trading-Verläufe zu überprüfen und unbekannte Aktivitäten zuerst ihrem Broker zu melden. Kunden sollten, sofern verfügbar, two-factor authentication aktivieren, die zusätzlich zum Passwort eine zweite Bestätigung verlangt. Außerdem sollten sie mehrfach verwendete Passwörter ersetzen, verbundene Geräte überprüfen, Backups anlegen und Nachrichten, Links oder Dateien meiden, die angeblich von den Angreifern stammen. Angebote, Verluste gegen eine Gebühr zurückzuholen, sollten als Betrugsversuche behandelt werden.
Jeder derzeitige Nutzer soll 5.000 Yen erhalten. GMO erklärt außerdem, tatsächliche Verluste und Gebühren aus Trades zu übernehmen, bei denen bestätigt wird, dass sie unbefugt waren und durch die Sicherheitsverletzung verursacht wurden. Kunden, deren Informationen nachweislich veröffentlicht wurden, sollen für jede Kategorie offengelegter Informationen zwischen 10.000 und 25.000 Yen erhalten. Bis zum 28. Oktober hatte das Unternehmen weder festgestellt, wie viele Kunden Zahlungen erhalten würden, noch wie viele Informationen veröffentlicht worden waren oder welche Trades die Voraussetzungen erfüllten. Auswirkungen auf seine anderen Dienste hatte es nicht festgestellt.
Die betroffenen Systeme werden nicht in ihrer bisherigen Form neu gestartet. Kunden, die einen anderen Windows-Desktop wünschen, soll mit ihrer Zustimmung ein kostenloser Wechsel für sechs Monate zu einem separaten Dienst angeboten werden; Einzelheiten sollten bis zum 30. Oktober bekannt gegeben werden. Für Organisationen, die nach Vorfällen wie diesem ihre Remote-Systeme und den Umgang mit Zugangsdaten neu bewerten, bietet AEU-I sicherheitsorientierte IT, Infrastruktur und Beratung an.