GMO Internet Group, японская интернет-инфраструктурная компания, 27 октября попросила пользователей сервиса «Onamae.com Desktop Cloud» срочно сохранить данные, отключить компьютеры от сети и выключить их перед обещанной атакой с публикацией клиентской информации и программой-вымогателем. Речь идёт о сервисе удалённых Windows-рабочих столов, которым пользователи также пользуются для автоматической FX-торговли.

Что потребовала компания

Компания велела пользователям до полудня сделать резервные копии, разорвать сетевое соединение, выключить ПК и выдернуть кабели. Отдельно она попросила запускать полную проверку антивирусом и менять пароли только с другого, безопасного устройства. GMO также советует завершить все активные сессии, включить многофакторную аутентификацию и не переходить по ссылкам из писем и SMS.

По словам компании, предупреждение последовало после того, как от предполагаемых атакующих пришло сообщение о намерении в полдень 27 октября опубликовать данные пользователей и запустить нападение с программой-вымогателем. При этом, как отметила CNET Japan, утреннее обновление не подтверждало, что угрозу уже реализовали.

Что уже показала проверка

В девятом обновлении GMO сообщила, что её специалисты поэтапно проверяют устройства, которые пользователи передали для анализа. На уже изученных компьютерах не нашли вредоносных программ, включая программу-вымогатель, но компания предупредила, что безопасность всех устройств ещё не подтверждена.

Проверка продолжается и для тех устройств, которые поступят позже. CNET Japan отметила, что речь идёт о статусе расследования и ответных мер до наступления назначенного времени атаки, а не о подтверждении того, что она действительно произошла.

Как развивалась атака и что известно о масштабе

GMO начала проверку 19 октября после запроса клиента. На следующий день компания подтвердила установку вредоносной программы в некоторых средах пользователей, а затем приостановила приём новых заявок и доступ к панели управления сервиса. На следующий день после этого компания начала поэтапно отключать все серверы, чтобы не допустить дальнейшего ущерба.

По словам основателя и гендиректора GMO Масатоси Кумагая, инцидент мог затронуть 26 739 серверов. Он также сказал, что несанкционированные операции были зафиксированы на торговых счетах более чем у 70 брокерских и валютных компаний в Японии и за рубежом.

Компания сообщила, что получила требование о выкупе от стороны, которую считает причастной к атаке. Кумагай уточнил, что злоумышленники требовали 50 млн долларов в криптовалюте и угрожали раскрыть данные компании и клиентов. GMO отказалась платить и сотрудничает с полицией и другими властями.

Компания пообещала компенсировать убытки от несанкционированной торговли, связанной с атакой, а каждому текущему пользователю пострадавшего сервиса выплатить по 5 000 иен в качестве жеста доброй воли. Тем, кто хочет продолжать работу в среде Windows, GMO предложит альтернативный сервис на независимой облачной инфраструктуре бесплатно на шесть месяцев.