Scaduto l’ultimatum, gli autori dell’attacco a GMO Internet sono passati alle minacce concrete. Poco dopo mezzogiorno di martedì 27 ottobre, ora di Tokyo (le 4 del mattino in Italia), il gruppo ha pubblicato sul proprio sito informazioni presentate come dati dei clienti di GMO Internet, in particolare i dati personali di una persona indicata come utente del servizio Onamae.com Desktop Cloud. GMO ha confermato di aver rilevato la pubblicazione e sta verificando il contenuto, che secondo l’azienda potrebbe contenere anche informazioni non vere.
Pubblicati i primi dati dei clienti di GMO Internet
Nel decimo aggiornamento, diffuso alle 13:55 ora giapponese, GMO spiega di aver accertato alle 12:30 la pubblicazione, da parte di chi si ritiene sia l’attaccante, di informazioni “che si dichiarano” relative all’azienda e ai suoi clienti. Secondo l’emittente TBS, il gruppo ha motivato la diffusione con il rifiuto di GMO di trattare e ha annunciato che continuerà a pubblicare dati personali ogni giorno alle 12. L’attaccante aveva chiesto oltre 150 milioni di yen, circa 1 milione di dollari, entro la scadenza di oggi, dopo una prima richiesta di 50 milioni di dollari ricevuta il 21 ottobre.
Interpellata da JNN, GMO ha detto di non voler commentare i singoli episodi e di proseguire con le indagini e la raccolta di informazioni. Se il controllo confermerà che tra i dati pubblicati ci sono quelli di propri clienti, l’azienda li contatterà individualmente e ha avviato una riunione d’urgenza per valutare un indennizzo aggiuntivo, separato dai 5.000 yen già promessi a tutti gli utenti del servizio.
Ransomware non rilevato, ma l’allerta resta
L’altra minaccia, un attacco ransomware contro i PC dei clienti, alle 13:55 ora di Tokyo non risultava confermata. GMO dice di restare in allerta e di continuare l’analisi dei computer consegnati volontariamente dagli utenti: sui dispositivi esaminati finora non è stato trovato malware, ma la verifica non riguarda ancora tutti i clienti. Come avevamo riportato nell’articolo sulla richiesta ai clienti di spegnere i PC, l’azienda fornirà un nuovo computer a chi dovesse subire danni dal ransomware e sta valutando le offerte di collaborazione arrivate da società di sicurezza come Trend Micro.
Non visitare il sito degli attaccanti
GMO chiede con forza di non accedere al sito in cui sono stati pubblicati i dati e di non diffonderne il contenuto: secondo l’azienda, le informazioni di chi visita la pagina vengono raccolte dall’attaccante. Il gruppo annuncia inoltre di preparare azioni legali, civili e penali, contro chi diffonde i dati in modo particolarmente dannoso, e ha chiesto ai media di evitare una copertura che possa causare danni ulteriori ai clienti. La società ribadisce che non pagherà, perché il pagamento non garantirebbe la cancellazione dei dati, e che collabora con la polizia.
Cosa fare: i consigli per clienti e utenti di VPS
- Non cercare né aprire i siti degli estorsori e non condividere screenshot o link ai dati pubblicati.
- Diffidare di email, SMS e telefonate che si presentano come GMO o come autorità: l’azienda avverte che circolano tentativi di truffa legati al caso e ricorda di non chiedere mai password, codici di verifica o denaro per “recuperare le perdite”.
- Controllare gli aggiornamenti direttamente sul sito ufficiale di GMO, senza aprire link o allegati ricevuti via messaggio.
- Eseguire una scansione antivirus completa, mantenere un backup scollegato dalla rete e cambiare le password dei conti di trading attivando l’autenticazione a due fattori.
La pubblicazione a rate dei dati è una tattica tipica della doppia estorsione, usata per aumentare la pressione sulle vittime che rifiutano di pagare. Per il contesto completo si può rileggere il nostro primo articolo sull’attacco a GMO Internet con furto di dati e operazioni non autorizzate e l’analisi sui quasi 900 TB di dati rubati dai gruppi ransomware.
Fonti: GMO Internet Group (decimo aggiornamento), GMO Internet Group (nono aggiornamento), TBS NEWS DIG, ITmedia, NHK, Kyodo News.
