A GMO Internet Group, do Japão, oferece até US$ 1 milhão no total por denúncias que ajudem a identificar os atacantes que invadiram o serviço Onamae.com Desktop Cloud, depois de recusar uma exigência de extorsão.
O programa de recompensas começou em 28 de outubro e só paga se a denúncia levar a uma prisão ou a um alerta internacional de procurados. O serviço hospeda computadores com Windows usados em operações no mercado de câmbio (FX, sigla em inglês para câmbio), e uma corretora ligou negociações não autorizadas em contas de alguns clientes a logins vazados do serviço.
A GMO afirma que os atacantes obtiveram informações de clientes. Por volta de 21 de outubro, a empresa recebeu uma exigência de cerca de US$ 50 milhões (cerca de 8 bilhões de ienes) de pessoas que, segundo ela, realizaram o ataque. Os criminosos também ameaçaram as contas de negociação e os dados dos clientes.
Em 27 de outubro, os atacantes publicaram em seu site material que, segundo eles, são informações sobre a GMO e seus clientes. O domínio do site, incluindo seus espelhos, foi derrubado por volta das 4h, no horário do Japão, de 28 de outubro, e a GMO pretende agir contra qualquer novo site.
Como funciona a recompensa
A GMO Internet Group administra e financia o programa, chamado GMO Cybercrime Bounty. As denúncias são enviadas por e-mail para um endereço indicado em um site específico, em japonês, inglês ou chinês, e podem ser anônimas. O programa vale até que ocorra uma prisão, um alerta internacional de procurados ou 27 de outubro de 2027, o que vier primeiro.
A GMO busca informações que liguem pessoas, servidores, domínios, endereços IP (protocolo de internet), contas ou endereços de criptomoedas ao ataque, à extorsão ou à movimentação de dinheiro, além de provas de como os crimes foram cometidos. Suposições, acusações sem comprovação e reenvios de informações públicas, em geral, não se qualificam.
Uma denúncia só gera pagamento se levar a uma prisão, inclusive uma feita pela polícia fora do Japão, ou a um alerta internacional de procurados, como a difusão vermelha (Red Notice) da Interpol. A GMO decide o quanto cada denúncia contribuiu. Um único denunciante pode receber o valor total de US$ 1 milhão, ou a quantia pode ser dividida. Os denunciantes precisam comprovar sua identidade antes do pagamento e, se nenhuma denúncia se qualificar, nenhum pagamento será feito.
Algumas pessoas não podem receber, entre elas quem tenha participado do crime, quem tenha obtido informações de forma ilegal, como comprando dados vazados, e funcionários da GMO. A empresa orienta os denunciantes a não invadir sistemas, não negociar nem pagar aos atacantes e não enviar dados vazados, credenciais ou software malicioso (malware).
As denúncias são compartilhadas com a polícia e outras autoridades do Japão e do exterior, quando necessário. A GMO já entregou à polícia todas as suas provas sobre as ameaças, incluindo registros de comunicação.
A GMO nunca pedirá senhas, códigos de autenticação ou taxas aos denunciantes, e só escreve a partir de endereços que terminam em @cybercrimebounty.gmo.
A invasão e as contas de negociação
A GMO Internet, subsidiária que administra o serviço, descobriu em 20 de outubro que um terceiro havia instalado programas maliciosos em servidores de alguns clientes. A empresa desligou os servidores de todos os planos a partir de 21 de outubro. Ela considera que 26.739 servidores podem ter sido afetados, número que não corresponde a invasões ou roubos de dados confirmados.
Em 24 de outubro, a GMO afirmou ter confirmado um problema de segurança nos sistemas do serviço, acesso não autorizado ao serviço e a retirada de informações de clientes da empresa.
Tudo o que os clientes armazenavam nos servidores pode ter sido visto, incluindo credenciais de login salvas em softwares de negociação, como MetaTrader 4 e 5 (MT4/MT5), plataformas usadas para operar no mercado. A GMO afirma que não guarda dados de cartões de pagamento dos clientes nos servidores.
Os clientes começaram a relatar operações que não reconheciam em 21 de outubro. A corretora OANDA Japan confirmou que um terceiro acessou e negociou em algumas contas de seus clientes usando pares de identificação (ID) e senha que, segundo ela, vazaram dos servidores da GMO. A corretora restringiu as negociações em contas que podem ter sido afetadas e, até 26 de outubro, não havia encontrado invasão ou vazamento em seus sistemas principais.
Outra corretora, a FXTF, alertou em 22 de outubro que terceiros podem ter roubado os logins de alguns clientes que usam servidores virtuais privados (VPS), em um ataque que, segundo ela, atingiu os VPS de outra empresa. Esses terceiros também podem ter usado os logins para acessar e negociar. A FXTF orientou os clientes que se conectaram ao Desktop Cloud a trocar suas senhas da FXTF a partir de um dispositivo que nunca tivesse se conectado ao serviço.
Em comunicado à bolsa de valores, divulgado em 28 de outubro, o GMO Internet Group afirmou que ainda não confirmou quantos clientes serão cobertos pelos pagamentos, quanta informação foi publicada ou quais negociações se qualificam para indenização. A empresa também não confirmou qualquer impacto da invasão em seus outros serviços.
As ameaças e o vazamento
Segundo a GMO, os atacantes ameaçaram continuar manipulando as contas de clientes em mais de 70 empresas de valores mobiliários e câmbio, divulgar informações sobre o serviço e sobre os computadores pessoais (PCs) dos clientes, atacar esses computadores com sequestro de dados (ransomware) e publicar detalhes dos sistemas da GMO.
Eles estabeleceram o meio-dia de 27 de outubro como prazo para divulgar as informações dos clientes e lançar o ataque de ransomware. Nenhum ataque de ransomware havia sido confirmado até as 13h55, no horário do Japão, daquele dia.
O material publicado em 27 de outubro foi o que os atacantes chamaram de informações pessoais de um cliente, segundo reportagem do ITmedia NEWS naquela tarde. A GMO estava verificando o conteúdo naquele dia.
De acordo com a GMO, os atacantes coletaram informações de quem visitou o site deles. A empresa orienta os visitantes a fazer uma verificação completa com antivírus. Também pede que as pessoas não acessem o site nem qualquer novo endereço e não reenviem nem façam links para o material.
Como os atacantes entraram
Até 28 de outubro, a GMO não havia informado como os atacantes conseguiram entrar.
Masatoshi Kumagai, presidente do GMO Internet Group, escreveu em post em seu blog de 25 de outubro que os hackers de chapéu branco do próprio grupo, especialistas em segurança que atuam de forma ética, haviam alertado antecipadamente a equipe responsável pelo serviço sobre problemas.
A resposta, segundo ele, não foi nem rápida nem completa o suficiente, e os atacantes aproveitaram a brecha.
Em seu site, os atacantes afirmaram que uma conta de administrador era compartilhada por todos os servidores e que as unidades de disco dos computadores dos clientes ficavam visíveis a partir dos servidores, por padrão, quando eles se conectavam, segundo reportagem do ITmedia NEWS.
Eles também afirmaram que usaram uma falha no serviço para acessar os computadores pessoais dos clientes. A GMO também não confirmou publicamente essas alegações.
Até 26 de outubro, a GMO havia recolhido computadores de clientes que os ofereceram para análise. Até as 11h59, no horário do Japão, de 27 de outubro, a empresa não encontrou nenhum software malicioso, incluindo ransomware, nos computadores já analisados. Isso não confirma que todos os dispositivos dos clientes estejam seguros, pois a análise ainda está em andamento.
O que os clientes devem fazer
A GMO orientou os clientes do Desktop Cloud a seguir estes passos:
- Trocar as senhas da conta de negociação e do software de negociação a partir de um dispositivo que não seja usado para operar no câmbio, como um celular.
- Encerrar todas as sessões abertas, se necessário pela corretora, mesmo depois de trocar a senha.
- Verificar o histórico de operações e os saldos, e comunicar primeiro à corretora as negociações não reconhecidas.
- Ativar a autenticação em dois fatores, quando a corretora oferecer.
- Trocar as senhas reutilizadas em outros serviços ou salvas no navegador.
- Fazer uma verificação completa com antivírus nos dispositivos usados para se conectar e fazer backup dos dados.
- Não responder a mensagens de quem se diz responsável pelo ataque, nem abrir seus links ou arquivos.
- Ignorar ofertas de recuperação de dinheiro perdido mediante pagamento de taxa. A GMO nunca pedirá senha ou código de autenticação.
A GMO Internet pagará a todos os usuários atuais 5.000 ienes e cobrirá perdas reais em negociações e taxas decorrentes de operações que confirmar como não autorizadas e causadas pela invasão. Clientes cujas informações forem confirmadas como publicadas também receberão de 10.000 a 25.000 ienes por cada tipo de informação exposta.
A GMO não vai restabelecer o serviço nos sistemas invadidos da forma como estão. Os clientes que quiserem um computador com Windows receberão a oferta de migrar para um serviço separado, gratuito por seis meses e somente com seu consentimento, com detalhes previstos para até 30 de outubro.
