Incidenti i sigurisë në Onamae.com Desktop Cloud vë në rrezik të dhënat e hyrjes në FX
Incidenti i sigurisë në Onamae.com Desktop Cloud ka vënë në rrezik kredencialet e tregtimit valutor, pasi në disa serverë të klientëve u gjetën programe keqdashëse. Shërbimi i hostuar në cloud ofron desktopë Windows në distancë që përdoren për tregtimin FX, domethënë tregtimin valutor. GMO Internet, filiali që administron shërbimin, i zbuloi programet më 20 tetor dhe, duke filluar nga 21 tetori, çaktivizoi serverët e të gjitha planeve. Kompania rendit 26.739 serverë si potencialisht të prekur, por kjo shifër nuk përfaqëson raste të konfirmuara komprometimi ose vjedhjeje të të dhënave.
Më 24 tetor, GMO tha se kishte verifikuar një dështim sigurie në shërbim, hyrje të paautorizuar dhe nxjerrjen e informacioneve të klientëve nga sistemet e kompanisë. Gjithçka që klientët kishin ruajtur në desktopët e tyre në distancë mund të jetë parë, përfshirë kredencialet e ruajtura në MetaTrader 4 dhe 5 (MT4/MT5), aplikacione tregtimi të përdorura gjerësisht. Informacionet e kartave të pagesës nuk ruheshin në këta serverë. Deri më 28 tetor, kompania nuk e kishte bërë të ditur metodën e përdorur nga sulmuesit për të depërtuar.
Klientët filluan të raportonin më 21 tetor tregtime që nuk i njihnin. OANDA Japan konfirmoi se një palë e paautorizuar kishte hyrë dhe kishte kryer tregtime përmes disa llogarive të klientëve duke përdorur kombinime ID-je dhe fjalëkalimi, të cilat brokeri beson se vinin nga serverët e cenuar. Kompania kufizoi tregtimin në llogaritë që mund të ishin prekur. Deri më 26 tetor, OANDA Japan nuk kishte gjetur depërtim ose rrjedhje informacioni në sistemet e veta kryesore.
FXTF publikoi një paralajmërim të ngjashëm më 22 tetor. Kompania tha se kredencialet e disa klientëve që përdorin virtual private servers, ose sisteme VPS që ofrojnë kompjuterë në distancë të hostuar diku tjetër, mund të jenë vjedhur gjatë një sulmi ndaj infrastrukturës së një kompanie tjetër. Këto kredenciale mund të jenë përdorur më pas për të hyrë në llogari dhe për të kryer tregtime. FXTF këshilloi klientët që ishin lidhur përmes Desktop Cloud t'i ndryshonin fjalëkalimet nga një pajisje që nuk e kishte përdorur kurrë shërbimin.
Më 21 tetor, sulmuesit kërkuan rreth 50 milionë dollarë, shumë e përshkruar si afërsisht 8 miliardë jen. GMO refuzoi të paguante. Sipas kompanisë, grupi kërcënoi se do të ndërhynte në llogaritë e klientëve të më shumë se 70 bizneseve të letrave me vlerë dhe FX, do të publikonte informacione për shërbimin dhe kompjuterët e klientëve, do të instalonte ransomware në kompjuterët e klientëve dhe do të zbulonte hollësi për sistemet e GMO. Ransomware është software keqdashës i krijuar për t'i bërë skedarët ose pajisjet të papërdorshme, zakonisht i shoqëruar me një kërkesë për pagesë.
Afati për publikimin e informacioneve të klientëve dhe fillimin e sulmit me ransomware ishte caktuar për mesditën e 27 tetorit. Deri në orën 13:55 sipas kohës së Japonisë atë ditë, nuk ishte konfirmuar asnjë instalim i ransomware. Megjithatë, sipas raportimit të ITmedia NEWS, sulmuesit publikuan materiale që i përshkruan si informacionet personale të një klienti, ndonëse GMO po i verifikonte ende. Kompania tha se faqja e sulmuesve mblidhte informacione për vizitorët dhe u bëri thirrje njerëzve që të mos e hapnin, të mos shpërndanin lidhjet e saj dhe të mos ripublikonin përmbajtjen e saj. Domain dhe mirror sites të saj dolën jashtë funksionit rreth orës 04:00 sipas kohës së Japonisë më 28 tetor dhe GMO tha se do të vepronte kundër faqeve zëvendësuese. Çdokush që e kishte vizituar faqen u këshillua të kryente një skanim të plotë antivirus.
Sipas ITmedia NEWS, sulmuesit pretenduan gjithashtu se një llogari administratori përdorej bashkërisht në të gjithë serverët, se disqet e kompjuterëve të klientëve ishin të dukshme si parazgjedhje gjatë lidhjeve dhe se një dobësi e shërbimit lejonte hyrjen në vetë kompjuterët e klientëve. GMO nuk i kishte konfirmuar këto pretendime. Drejtuesi i grupit pranoi veçmas se white-hat hackers të brendshëm, specialistë sigurie të autorizuar për të gjetur dobësi, e kishin paralajmëruar më parë ekipin e shërbimit dhe tha se reagimi nuk kishte qenë mjaftueshëm i shpejtë ose i plotë. Deri më 26 tetor, kompjuterët e klientëve ishin mbledhur për analizë. Në pajisjet e ekzaminuara deri në orën 11:59 sipas kohës së Japonisë më 27 tetor, hetuesit nuk kishin gjetur malware, përfshirë ransomware, por testimi vazhdonte dhe nuk vërtetonte se çdo pajisje ishte e sigurt.
GMO hapi programin GMO Cybercrime Bounty më 28 tetor, duke ofruar në total deri në 1 milion dollarë për informacione që çojnë në një arrestim ose në një international wanted notice. Informacionet mund të dorëzohen në mënyrë anonime në japonisht, anglisht ose kinezisht. Programi përfundon kur të ndodhë një arrestim ose të lëshohet një international wanted notice, ose më 27 tetor 2027, cilado që të ndodhë e para. Një informator i vetëm që plotëson kushtet mund ta marrë të gjithë shumën, ose fondi mund të ndahet sipas vlerësimit të GMO për kontributin e secilit material të dorëzuar. Para pagesës kërkohet verifikimi i identitetit dhe nuk do të jepet shpërblim nëse asnjë informacion nuk i plotëson kushtet.
Programi kërkon prova që lidhin persona, serverë, domains, adresa IP, llogari online ose adresa kriptomonedhash me depërtimin, zhvatjen ose lëvizjen e parave. Akuzat e pambështetura, hamendësimet dhe informacionet publike të ripublikuara në përgjithësi nuk pranohen. Nuk kualifikohen personat e përfshirë në krim, personat që i kanë marrë informacionet në mënyrë të paligjshme, përfshirë përmes blerjes së të dhënave të rrjedhura, dhe punonjësit e GMO. Informatorëve u thuhet shprehimisht që të mos hyjnë pa leje në sisteme, të mos kontaktojnë ose paguajnë sulmuesit dhe të mos dorëzojnë kredenciale, informacione të rrjedhura ose malware. Informacionet përkatëse mund t'u jepen autoriteteve në Japoni dhe jashtë saj, ndërsa provat dhe komunikimet që GMO kishte tashmë në zotërim i janë dorëzuar policisë. Korrespondenca e vërtetë do të vijë vetëm nga një adresë që përfundon me @cybercrimebounty.gmo dhe informatorëve nuk do t'u kërkohen fjalëkalime, kode autentikimi ose tarifa.
GMO i ka këshilluar klientët që t'i ndryshojnë fjalëkalimet e tregtimit dhe të software-it të tregtimit nga një pajisje tjetër, t'i mbyllin të gjitha sesionet aktive, të kontrollojnë gjendjen dhe historikun e tregtimeve dhe t'ia raportojnë fillimisht brokerit çdo aktivitet të panjohur. Klientët duhet të aktivizojnë two-factor authentication, që kërkon një konfirmim të dytë përveç fjalëkalimit, aty ku është i disponueshëm. Ata duhet gjithashtu të zëvendësojnë fjalëkalimet e ripërdorura, të skanojnë pajisjet që ishin lidhur me shërbimin, të krijojnë kopje rezervë dhe të shmangin mesazhet, lidhjet ose skedarët që pretendojnë se vijnë nga sulmuesit. Ofertat për rikuperimin e humbjeve kundrejt një tarife duhet të trajtohen si mashtrime.
Çdo përdorues aktual do të marrë 5.000 jen. GMO thotë gjithashtu se do të mbulojë humbjet reale dhe tarifat nga tregtimet që konfirmon se ishin të paautorizuara dhe të shkaktuara nga incidenti. Klientët, informacionet e të cilëve konfirmohet se janë publikuar, do të marrin nga 10.000 deri në 25.000 jen për secilën kategori informacioni të ekspozuar. Deri më 28 tetor, kompania nuk kishte përcaktuar sa klientë do të merrnin pagesa, sa informacion ishte publikuar ose cilat tregtime i plotësonin kushtet. Ajo nuk kishte identifikuar ndonjë ndikim në shërbimet e tjera të saj.
Sistemet e cenuara nuk do të rindizen në formën e tyre ekzistuese. Klientëve që duan një desktop tjetër Windows do t'u ofrohet, me pëlqimin e tyre, kalimi pa pagesë për gjashtë muaj në një shërbim të veçantë, ndërsa hollësitë pritet të jepen deri më 30 tetor. Për organizatat që po rivlerësojnë sistemet në distancë dhe mënyrën e administrimit të kredencialeve pas incidenteve të tilla, AEU-I ofron shërbime IT, infrastrukture dhe konsulence me sigurinë si përparësi.