Continua l’emergenza per l’attacco a GMO Internet. Il gruppo giapponese ha chiesto ai clienti del servizio Onamae.com Desktop Cloud di fare un backup, scollegare i PC dalla rete, spegnerli e staccare i cavi prima delle 12 di martedì 27 ottobre, ora di Tokyo (le 4 del mattino in Italia). Il motivo è una minaccia di GMO Internet ransomware: chi si ritiene sia l’autore dell’intrusione ha annunciato per quell’ora la pubblicazione dei dati dei clienti e un attacco ransomware. GMO ribadisce che non pagherà.
La minaccia di GMO Internet ransomware e la richiesta ai clienti
Nel settimo aggiornamento, pubblicato la sera del 26 ottobre, GMO ha reso noto di aver ricevuto dal presunto attaccante l’avviso di un’azione fissata per mezzogiorno del 27: diffusione delle informazioni dei clienti e attacco ransomware. Nell’ottavo aggiornamento, delle 9:58 ora giapponese, l’azienda ha aggiunto una richiesta senza precedenti per i propri utenti: eseguire una scansione antivirus completa, salvare i dati e, prima delle 12, disconnettere la rete, spegnere il computer e staccare i cavi collegati.
Secondo quanto riportato da Reuters e ITmedia, che citano il quotidiano Yomiuri, l’attaccante ha chiesto su un sito in giapponese un pagamento di 1 milione di dollari entro la stessa scadenza. Si aggiunge alla richiesta di 50 milioni di dollari in criptovalute ricevuta il 21 ottobre e resa pubblica dal fondatore del gruppo, Masatoshi Kumagai. La linea dell’azienda non cambia: anche pagando, spiega GMO, non ci sarebbe alcuna garanzia che i dati vengano cancellati o non usati in modo illecito. Il caso è seguito dalla polizia.
Cosa dice il nono aggiornamento di GMO
Un minuto prima della scadenza, alle 11:59 ora di Tokyo, GMO ha pubblicato il nono aggiornamento. Il team interno di analisti sta esaminando i computer che i clienti hanno consegnato volontariamente all’azienda, ritirati a domicilio dal personale del gruppo in tutto il Giappone. Finora sui dispositivi già analizzati non è stato trovato malware, ransomware compreso; GMO precisa però che l’analisi è ancora in corso e che non è stata accertata la sicurezza di tutti i dispositivi dei clienti.
L’azienda ha annunciato che ai clienti eventualmente colpiti dal ransomware fornirà un nuovo PC con prestazioni equivalenti a quello danneggiato, dopo aver verificato il danno. Ha inoltre ricevuto offerte di aiuto da società di sicurezza e di intelligenza artificiale, tra cui Trend Micro, e sta definendo i dettagli della collaborazione. Al momento in cui scriviamo, sul sito di GMO non compaiono aggiornamenti successivi al nono che dicano cosa sia accaduto dopo la scadenza.
Il contesto: oltre 26 mila server coinvolti
L’intrusione, scoperta il 20 ottobre, ha colpito il servizio di server virtuali con desktop Windows remoto usato da molti trader per il trading automatico sul Forex. Come avevamo raccontato nel primo articolo sull’attacco a GMO Internet con furto di dati e operazioni non autorizzate, i server potenzialmente coinvolti sono 26.739 e tra i dati a rischio ci sono le credenziali degli strumenti di trading come MT4 e MT5. Secondo l’agenzia Kyodo, ripresa da The Mainichi, la ministra delle Finanze Satsuki Katayama ha detto che il governo sta sollecitando gli istituti finanziari a rafforzare le difese, perché diverse società Forex che usano il servizio, tra cui OANDA Japan, sono state colpite.
Cosa fare se si è clienti o si usano desktop remoti
Le indicazioni di GMO valgono per i suoi clienti, ma sono utili a chiunque usi server remoti o VPS per il trading:
- Seguire le istruzioni ufficiali pubblicate sul sito di GMO e controllare le email inviate dall’azienda, diffidando di messaggi che chiedono password, codici di verifica o denaro per “recuperare le perdite”: GMO precisa che non li chiede mai.
- Eseguire una scansione antivirus completa dei PC usati per collegarsi al servizio e tenere un backup aggiornato, possibilmente su un supporto scollegato dalla rete.
- Cambiare le password dei conti di trading da un dispositivo diverso, attivare l’autenticazione a due fattori e controllare lo storico delle operazioni.
- In caso di file cifrati o richieste di riscatto, non pagare e contattare il supporto dell’azienda e le autorità.
Il caso mostra come la doppia estorsione, furto di dati più minaccia di pubblicarli, sia ormai la regola: ne abbiamo parlato anche raccontando i quasi 900 TB di dati rubati dai gruppi ransomware.
Fonti: GMO Internet (nono aggiornamento), GMO Internet (ottavo aggiornamento), GMO Internet (settimo aggiornamento), ITmedia, Reuters, The Mainichi, The Japan Times.
