Японская GMO Internet попросила клиентов срочно выключить компьютеры, отключить интернет и даже вынуть кабели из розеток. Причиной стал ультиматум хакеров, которые после взлома облачного сервиса пригрозили одновременно опубликовать украденные сведения и запустить шифровальщик.
Угроза касалась Onamae.com Desktop Cloud, платформы удалённых рабочих столов, которой пользуются в том числе валютные трейдеры. Преступники назначили атаку на полдень 27 октября по японскому времени. До наступления срока провайдер рекомендовал выполнить полную антивирусную проверку, сохранить резервные копии, отключить компьютер от проводной и беспроводной сети, завершить работу и отсоединить питание.
История началась раньше. 20 октября GMO обнаружила постороннее вмешательство в серверную инфраструктуру, а на следующий день начала останавливать сервис. Под угрозой оказались до 26 739 клиентских серверов, где злоумышленники могли разместить вредоносный код. Компания также предупредила о возможной компрометации учётных записей MetaTrader 4 и MetaTrader 5, через которые проводят торговые операции.
Ситуацию осложнили сообщения клиентов о подозрительных операциях на торговых счетах. Провайдер попросил сменить пароли, завершить действующие сеансы и проверить историю сделок. Позднее выяснилось, что нападавшие похитили информацию и потребовали около 8 млрд иен, или 50 млн долларов. GMO отказалась платить, объяснив, что выкуп не гарантирует удаления украденных файлов и прекращения злоупотреблений.
Когда ультиматум истёк, обещанного массового шифрования не произошло. По состоянию на 13:55 27 октября GMO не выявила атаки с применением программы-вымогателя. Однако в 12:30 компания обнаружила публикацию материалов, которые преступники представили как внутренние документы провайдера и сведения клиентов. Подлинность опубликованных материалов ещё проверяли, а часть записей могла быть недостоверной.
Для поиска возможных заражений сотрудники GMO забирают компьютеры клиентов и передают собственной команде специалистов по безопасности. К расследованию предложили подключиться сторонние компании, включая Trend Micro. Провайдер пообещал заменить устройства с подтверждённым ущербом от шифровальщика и возместить подтверждённые потери от несанкционированных торговых операций.
В официальном предупреждении компания потребовала отключить компьютеры до установленного срока. Отдельно GMO попросила не открывать сайт злоумышленников, поскольку ресурс собирает сведения о посетителях. Клиентов также предупредили о мошенниках, которые могут представляться службой поддержки, запрашивать пароли и коды подтверждения или обещать вернуть деньги за отдельную плату.
GMO ранее объявила выплату 5000 иен каждому клиенту сервиса и рассматривает дополнительные компенсации пострадавшим от утечки. Провайдер продолжает расследование вместе с полицией и не намерен выполнять требования вымогателей. Ранее глава GMO признал, что специалисты обнаружили проблемы безопасности ещё до взлома, однако исправления не успели завершить.