Хакеры требуют от японской GMO $50 млн: утечка данных задела рабочие столы трейдеров

Onamae Desktop Cloud устроен как облачный рабочий стол: компьютер работает на сервере компании, а трейдер подключается к нему из дома, как к удалённому офису. По данным TechCrunch, GMO Internet считает, что злоумышленник выложил сведения, предположительно связанные с клиентами и бизнесом компании. Подлинность этих данных ещё проверяют, полный масштаб инцидента не известен.

Что известно о взломе на 27 октября?

• 21 октября GMO Internet отключила Onamae Desktop Cloud, когда обнаружила посторонний доступ к своим системам. В тот же день пришло письмо от хакеров с требованием выкупа около 8 млрд иен.
• 22 октября компания сообщила о взломе в японскую полицию и выпустила ещё одно публичное обновление.
• 24 октября GMO пообещала клиентам компенсацию и замену сервиса и обратилась за помощью к государственным ведомствам.
• 25 и 26 октября компания начала собирать устройства клиентов, чтобы искать вредоносные программы и оценить ущерб.
• 27 октября GMO сообщила, что предполагаемый злоумышленник опубликовал данные, похожие на сведения о компании и её клиентах.

Клиентам GMO посоветовала сменить пароли. Представитель компании на запрос TechCrunch не ответил, поэтому дословных комментариев в материале нет.

Причём здесь ИИ-инструмент Artex?

Примерно за неделю до взлома подразделение GMO по кибербезопасности сообщило, что нашло следы Artex в атаках на компании по всей Японии. Artex описывают как китайский инструмент для тестирования на проникновение с элементами ИИ. Так называют проверку защиты глазами взломщика, которую обычно заказывает сам владелец системы.

При этом GMO публично не связала Artex с атакой на Onamae. Я бы не ставил здесь знак равенства: совпадение по времени есть, а доказательств пока нет.

По отчёту CrowdStrike, американской компании по кибербезопасности, в сентябре Artex использовали для взлома финансовых организаций в Южной Корее. Атаки в основном били по слабой базовой защите, например по отсутствию многофакторной аутентификации. Это вход, где кроме пароля нужен ещё код из СМС или приложения.

По данным Reuters, после того как Artex связали с атаками на банки, китайский разработчик прекратил публичные обновления и закрыл исходный код инструмента.

Японское Агентство финансовых услуг (FSA, главный финансовый регулятор страны) сообщило TechCrunch, что ещё в мае выпустило рекомендации банкам. В них регулятор призвал готовиться к росту числа уязвимостей и укреплять базовую защиту. Он также советовал использовать ИИ и другие инструменты безопасности.

Как закрыть дыру, через которую взломали корейские банки?

1. Включите вход с подтверждением кодом (двухфакторный вход) в почте, банковском приложении и кабинете Дзена.
2. Смените пароли, которые повторяются на разных сайтах. GMO своим клиентам советует то же самое.
3. Проверьте историю операций в банке и на брокерском счёте. О незнакомых действиях сразу сообщайте в поддержку.
4. Удалите неиспользуемые доступы: старые устройства, подключённые сервисы, бывших помощников в кабинетах.

Есть ли у нас похожий риск?

Сравнивать с YandexGPT или GigaChat здесь не с чем. Artex не чат-бот, а инструмент для поиска дыр в чужой защите. Источник не сообщает, что его применяли против российских компаний.

Для читателя из РФ и СНГ вывод другой. Атакам с такими инструментами не нужна сложная уязвимость, им хватает пароля без второго фактора. А такой пароль есть почти у каждого.

Что делать с этим прямо сейчас, по ролям

Автору Дзена. Кабинет канала, почта и банк, к которому привязаны выплаты, должны требовать код при входе. Взломанный канал со всей аудиторией восстанавливать дольше, чем пять минут на настройку.

Маркетологу. Если вы храните базы подписчиков или клиентов в облачных таблицах и CRM, раздайте доступы по минимуму и включите второй фактор всем сотрудникам. Утечка данных из рабочего инструмента бьёт по репутации клиента, а не только по вашей.

Предпринимателю РФ и СНГ. Если вы собираете чужие контакты, ответственность за утечку персональных данных ложится на вас. Начните с базовой защиты: регулятор Японии советует банкам то же самое.

Что чаще всего спрашивают про этот взлом?

Пострадали ли пользователи из России?

Источник сообщает только о клиентах GMO, в основном это трейдеры. О пользователях из России или СНГ данных нет.

Заплатила ли GMO выкуп?

Об этом компания не сообщала. Известно лишь о требовании около 8 млрд иен и об обращении в полицию.

Можно ли защититься от атак с ИИ-инструментами?

Можно, и начинать стоит с простого. В корейском случае взломщики использовали отсутствие второго фактора при входе. Включите его сегодня, и эта дверь для них закроется.