ТехволнаОблачный сервис GMO взломан: хакеры добрались до брокерских счетов клиентов
Первые сигналы о неладном поступили от пользователей 19 октября. Клиенты облачного сервиса Onamae.com Desktop Cloud заметили сделки на своих брокерских и валютных счетах, которых они не совершали. На следующий день GMO Internet обнаружила вредоносные программы в отдельных серверных средах и признала, что защита платформы была нарушена.
Потенциально под угрозой оказались 26 739 серверов — эта цифра обозначает возможный масштаб инцидента, а не число доказанных взломов. Уже 21 октября провайдер начал принудительно останавливать серверы на всех тарифах. Особую тревогу вызвали торговые терминалы MetaTrader 4 и MetaTrader 5, которые клиенты запускали в облаке для работы на финансовых рынках.
В этих программах могли храниться пароли и другие учётные данные для доступа к счетам. В GMO допускают, что злоумышленники похитили эти сведения и использовали их для незаконных операций. Точное число пострадавших счетов и сумма ущерба пока неизвестны.
После новых жалоб компания подтвердила факт вывода пользовательской информации за пределы облака, но не раскрыла состав похищенных файлов. Параллельно GMO получила ультиматум: преступники угрожали продолжить несанкционированные сделки через счета в более чем 70 брокерских и валютных компаниях, опубликовать данные клиентов и атаковать устройства вымогательским ПО. Это не означает, что все перечисленные действия уже совершены.
24 октября GMO объявила о компенсациях. Каждому действующему клиенту сервиса выплатят по 5000 иен вне зависимости от наличия финансовых потерь. Кроме того, провайдер пообещал возместить подтверждённые убытки от сделок, проведённых без согласия владельцев, включая комиссии.
Упущенную прибыль и потери из-за обычных колебаний рынка компенсировать не станут. Возвращать скомпрометированную платформу в прежнем виде GMO не намерена. Вместо этого клиентам предложат перейти на отдельную облачную инфраструктуру с Windows, которая первые шесть месяцев будет бесплатной.
Условия перехода и порядок выплат компания обещала разъяснить до 30 октября, а правила подачи требований по незаконным сделкам — до 6 ноября. Срок возобновления сервиса пока не установлен. Провайдер призвал пользователей сменить пароли от торговых счетов с другого устройства и принудительно завершить все активные сеансы.
Однако в компании предупредили: смена пароля может не остановить посторонние операции, если брокер сохраняет открытое соединение. Клиентам также рекомендовали проверить историю операций, включить двухфакторную аутентификацию, просканировать устройства антивирусом и сделать резервные копии данных. GMO передала информацию о взломе в полицию и обсуждает с государственными органами дополнительные меры защиты.
Параллельно в Японии расследуют другую атаку — на облачную платформу IDCF Cloud, от которой пострадали 495 организаций. Подтверждений связи между двумя инцидентами нет. Расследование продолжается: компания выясняет способ проникновения и точное число затронутых клиентов.
Доступ к Desktop Cloud остаётся закрытым. Случившееся в очередной раз напоминает, что запуск торговых терминалов в общей облачной среде сопряжён с риском утечки критически важных учётных данных.
