Взлом облачных рабочих столов обернулся жалобами на сделки, которых клиенты не совершали. Японская GMO Internet подтвердила взлом Onamae.com Desktop Cloud и вывод пользовательских данных за пределы сервиса. После инцидента некоторые клиенты сообщили о посторонних операциях на брокерских и валютных счетах. Компания признала наличие проблемы в защите платформы.
Первый сигнал поступил от клиента 19 октября, а на следующий день GMO обнаружила вредоносные программы в отдельных серверных средах. В зону потенциального риска попали 26 739 серверов. Число обозначает возможный масштаб инцидента, а не количество доказанных взломов или утечек. Уже 21 октября провайдер начал останавливать серверы на всех тарифах.
Особую тревогу вызвали торговые терминалы MetaTrader 4 и MetaTrader 5, которые клиенты запускали в облаке для работы на финансовых рынках. В программах могли храниться пароли и другие данные доступа к счетам. GMO допускает, что злоумышленники похитили учётные сведения и использовали для незаконных операций. Количество пострадавших счетов и сумма ущерба пока неизвестны.
После новых жалоб компания признала факт вывода информации за пределы облака, но не раскрыла состав похищенных файлов. GMO также получила угрозы продолжить незаконные операции через счета в более чем 70 брокерских и валютных компаниях, опубликовать сведения о клиентах и атаковать устройства вымогательским ПО. Угрозы преступников не означают, что все перечисленные действия уже совершены.
24 октября GMO объявила, что выплатит каждому действующему клиенту сервиса по 5000 иен вне зависимости от наличия финансового ущерба. Провайдер также пообещал компенсировать подтверждённые убытки от сделок, совершённых без согласия владельцев счетов, включая комиссии. Упущенную прибыль и потери из-за обычных колебаний рынка возмещать не будут.
Возвращать взломанную платформу в прежнем виде GMO не намерена. Клиентам предложат перейти на отдельную облачную инфраструктуру с Windows, которая будет бесплатной первые шесть месяцев. Условия перехода и выплаты компенсаций компания обещала разъяснить до 30 октября, а порядок подачи требований по незаконным сделкам до 6 ноября. Срок возобновления сервиса пока не установлен.
Провайдер попросил менять пароли от торговых счетов с другого устройства и принудительно завершать все активные сеансы. Компания предупредила, что смена пароля может не остановить посторонние сделки, если брокер сохраняет открытое соединение. Клиентам также рекомендовали проверить историю операций, включить двухфакторную защиту, проверить устройства антивирусом и сохранить резервные копии.
Компания передала сведения полиции и обсуждает с государственными органами дополнительные меры защиты. Параллельно в Японии расследуют другую атаку на облачную платформу IDCF Cloud, после которой пострадали 495 организаций. Подтверждений связи двух инцидентов нет. GMO продолжает выяснять способ проникновения и точное число затронутых клиентов, а доступ к Desktop Cloud остаётся закрытым.