Il Giappone fa i conti con uno dei cyberattacchi più gravi degli ultimi anni. L’attacco a GMO Internet, società di infrastrutture internet del gruppo GMO Internet, ha colpito Onamae.com Desktop Cloud, un servizio di server virtuali con desktop Windows remoto usato da molti trader per far girare software di trading automatico sul Forex. Secondo l’azienda, dai server sono stati sottratti dati dei clienti e alcuni utenti hanno segnalato operazioni non autorizzate sui propri conti di trading. Gli attaccanti hanno chiesto un riscatto, che GMO ha rifiutato di pagare, mentre lunedì 26 ottobre il governo giapponese ha riunito i ministri per discutere le contromisure.
Attacco a GMO Internet, cosa è successo
Secondo la ricostruzione pubblicata da GMO Internet, l’indagine è partita il 19 ottobre dopo la segnalazione di un cliente. Il 20 ottobre l’azienda ha accertato che un programma malevolo era stato installato da terzi negli ambienti server di alcuni clienti; ha quindi sospeso le nuove attivazioni e l’accesso al pannello di controllo e, dal giorno successivo, ha iniziato a spegnere tutti i server del servizio per limitare i danni. Dal 21 ottobre sono arrivate le prime segnalazioni di operazioni sospette sui conti di trading e il 22 ottobre la società si è rivolta alla polizia.
I server potenzialmente coinvolti sono 26.739: l’azienda precisa però che si tratta del numero di server che potrebbero essere stati colpiti, non dei casi di accesso o furto di dati accertati. A rischio sono le informazioni salvate dagli stessi clienti sui server, comprese le credenziali dei conti di trading memorizzate in strumenti come MT4 e MT5. GMO afferma di non conservare sui server del servizio i dati di pagamento, come quelli delle carte di credito. Secondo il fondatore e amministratore delegato del gruppo, Masatoshi Kumagai, le operazioni non autorizzate hanno riguardato conti aperti presso oltre 70 società di intermediazione e Forex, in Giappone e all’estero.
Riscatto rifiutato e risarcimenti ai clienti
GMO ha reso noto di aver ricevuto una richiesta di denaro da chi si ritiene sia dietro l’attacco, con la minaccia di diffondere informazioni dell’azienda e dei clienti. Secondo quanto riportato da Euronews, Kumagai ha scritto sul suo blog che la richiesta ammonta a 50 milioni di dollari in criptovalute. L’azienda ha scelto di non pagare: anche cedendo, ha spiegato, non ci sarebbe alcuna garanzia che i dati vengano cancellati o che non siano usati in modo illecito. Kumagai si è inoltre scusato per la gestione dell’incidente, ammettendo che alcuni problemi di sicurezza erano già stati individuati dagli specialisti interni, ma che la risposta non era stata sufficiente.
Per i clienti la società ha annunciato il rimborso delle perdite effettive causate dalle operazioni non autorizzate e un indennizzo forfettario di 5.000 yen (circa 28 euro) a tutti gli attuali utenti del servizio, anche a chi non ha subito perdite. Chi vuole continuare a usare un desktop Windows remoto potrà passare a un servizio alternativo su un’infrastruttura cloud separata, gratis per sei mesi. Secondo Euronews, lunedì il titolo GMO ha perso quasi il 16% in Borsa.
Il governo giapponese valuta la difesa cyber attiva
Il caso ha avuto anche un risvolto politico. GMO ha chiesto al governo di applicare all’incidente la legge sulla difesa cyber attiva, entrata in vigore all’inizio di ottobre, che consente a polizia e Forze di autodifesa di intervenire sui sistemi degli attaccanti per neutralizzare le minacce. Secondo The Japan Times, lunedì sera la premier Sanae Takaichi ha partecipato a una riunione ministeriale sulla cybersicurezza insieme al capo di gabinetto Minoru Kihara, al ministro del Digitale e ai ministri delle Finanze e della Difesa. Kihara ha definito i cyberattacchi “una situazione grave che minaccia la vita sicura e serena dei cittadini”, precisando però che eventuali misure di neutralizzazione saranno decise dal governo secondo i requisiti previsti, come riporta Asahi Shimbun.
L’attacco arriva in un periodo di forte allarme per la sicurezza dei server, dopo la scoperta delle falle PHP2Shell, per le quali l’ACN ha stimato che in Italia sia potenzialmente vulnerabile l’81,9% dei servizi PHP identificati. GMO, però, non ha confermato alcun legame tra queste vulnerabilità e l’attacco al suo servizio cloud, e il punto di ingresso usato dagli attaccanti è ancora oggetto di indagine.
Cosa fare se si usano server remoti per il trading
Le indicazioni diffuse da GMO ai propri clienti valgono, in generale, per chiunque usi un server virtuale o un desktop remoto per il trading automatico:
- Cambiare subito le password dei conti e degli strumenti di trading, facendolo da un dispositivo diverso da quello usato per operare, per esempio dallo smartphone.
- Chiudere tutte le sessioni attive, anche contattando il broker: a seconda dei sistemi, una sessione già aperta può restare valida per un certo tempo anche dopo il cambio della password.
- Controllare lo storico delle operazioni e il saldo e, in caso di movimenti sconosciuti, avvisare subito l’intermediario.
- Attivare l’autenticazione a due fattori dove disponibile e cambiare le credenziali salvate sul server o nel browser, oltre alle password riutilizzate su altri servizi.
- Non aprire link o allegati e non rispondere a messaggi di chi si presenta come autore dell’attacco; eseguire una scansione antivirus completa dei propri dispositivi e fare un backup dei dati.
Il caso conferma una tendenza già vista in altri attacchi recenti, in cui il furto di dati si accompagna alla minaccia di pubblicarli: ne abbiamo parlato raccontando i quasi 900 TB di dati rubati dai gruppi ransomware. E le conseguenze economiche per le aziende possono essere pesanti, come mostrano le stime sulle perdite causate dal rischio cyber alle imprese italiane.
Fonti: GMO Internet (terzo aggiornamento), GMO Internet (quarto aggiornamento), GMO Internet, comunicato agli investitori, Euronews, The Japan Times, Asahi Shimbun.
