GMO lehnt 50 Mio. US-Dollar Lösegeld ab und empfiehlt Trennung

Die GMO Internet Group, einer der größten Internetinfrastrukturkonzerne Japans, hat die Kunden des Onamae.com Desktop Cloud-Dienstes gebeten, ihre Computer vor Dienstag, den 27. Oktober, um Mittag Tokio-Zeit abzuschalten. "Vor 12 Uhr am Dienstag, den 27. Oktober, sichern Sie Ihre Daten, trennen Sie das Internet, schalten Sie den Computer aus und ziehen Sie den Stecker", sagte das Unternehmen in einer Mitteilung, die vom Japan Times zitiert wurde.

Die Warnung kam nach einer Ankündigung am Montagabend, den 26. Laut GMO gaben die Angreifer eine Frist: Entweder erfüllt das Unternehmen die Forderungen, oder die Kundendaten werden veröffentlicht und ein Ransomware-Angriff wird am nächsten Tag um Mittag aktiviert. CEO Masatoshi Kumagai erklärte, dass die Gruppe ein Lösegeldangebot von 50 Millionen US-Dollar erhalten habe, dieses abgelehnt habe und keine Zahlungen geleistet wurden, berichtet TokyoReporter, BigGo Finance und Cryptopolitan.

Ein Cloud-Desktop zur Nutzung

Onamae.com Desktop Cloud ist ein Dienst für virtuelle Windows-Server, der häufig von Privatanlegern genutzt wird, um Handelsplattformen für Devisen und Aktien rund um die Uhr online zu halten. GMO teilte mit, dass ein Dritter unautorisierten Zugriff auf die Infrastruktur erhalten und Malware in die Serverumgebungen einiger Kunden installiert habe.

Nach Angaben von BleepingComputer und Gadget Review wurde die Anzahl der potenziell betroffenen Server am 24. Oktober auf 26.739 geschätzt. Die Berichterstattung selbst betont, dass diese Zahl die Exponierung misst, nicht bestätigte Eindringlinge. Kunden berichteten von unautorisierten Transaktionen auf ihren Handelskonten, und GMO verpflichtete sich, die Verluste aus diesen Transaktionen zu erstatten, zusätzlich zu 5.000 Yen für alle aktuellen Benutzer des Dienstes, wie Euronews und Unternehmensmitteilungen berichten.

GMO machte keine Angaben dazu, wie viele Kunden tatsächlich Kopien von Daten hatten oder welche Informationen betroffen sind. Bis zum Veröffentlichungszeitpunkt dieses Artikels gab es keine öffentliche Bestätigung darüber, was nach der Frist um Mittag, die um 3 Uhr UTC am Dienstag entsprach, geschehen war. Keine kriminelle Gruppe hatte den Angriff öffentlich übernommen in den konsultierten Quellen.

Warum das Trennen des PCs wichtig ist

Das ungewöhnlichste Detail an diesem Fall ist das Ausmaß des Risikos. Ein virtueller Handelsserver ist normalerweise über eine Remotedesktopverbindung mit dem Computer des Kunden verbunden. Wenn der Angreifer den Server kontrolliert, kann der Kanal, den der Benutzer zum Handel öffnet, als Brücke zu seiner lokalen Maschine dienen, weshalb GMO eine physische Trennung und nicht nur eine Passwortänderung forderte.

Die Weigerung zu zahlen folgt der Linie der Counter Ransomware Initiative, einer Koalition von Dutzenden von Regierungen, die von den Vereinigten Staaten geleitet wird und seit 2023 empfiehlt, keine digitale Erpressung zu finanzieren. Die Kosten dieser Position erscheinen an anderer Stelle: Die Erstattung der Handelsverluste wird aus der Kasse von GMO bezahlt, und das Unternehmen hat noch keinen Betrag geschätzt.

Das gleiche Risiko auf anderen Märkten

In Japan verlangt das Gesetz zum Schutz personenbezogener Daten, dass das Unternehmen die Kommission für den Schutz personenbezogener Daten und die Betroffenen benachrichtigt, wenn ein Leak auftreten könnte, das Schaden verursachen kann, und einen vorläufigen Bericht innerhalb weniger Tage erstatten muss. Für Broker, deren Kunden unerlaubte Aufträge erteilt haben, eröffnet der Fall auch die Diskussion darüber, was zu tun ist, wenn der legitime Zugang des Kunden von einem bereits kompromittierten Computer ausgeht.

In der Europäischen Union klassifiziert die NIS2-Richtlinie bereits verwaltete Dienstanbieter und Cloud-Anbieter als Einheiten, die innerhalb von 24 Stunden nach Kenntnisnahme eines wesentlichen Vorfalls eine vorläufige Benachrichtigung an die Aufsichtsbehörde senden müssen. Ein Fall wie der von GMO, mit Zugriff auf die Infrastruktur des Anbieters und einer Kettenreaktion auf Kunden, ist genau das Szenario, das die Regelung motiviert hat.

In Brasilien legt die Regelung zur Meldung von Vorfällen der ANPD von 2024 eine Frist von drei Werktagen fest, um die Behörde und die Betroffenen zu informieren, und die Regeln der Zentralbank für regulierte Institutionen verlangen die Meldung relevanter Vorfälle, auch in den beauftragten Cloud-Diensten. Virtuelle Serverdienste für Handelsroboter werden auch in diesen Märkten an Privatanleger verkauft, fast immer außerhalb des Inventars Dritter, das ein CISO einer Brokerage überwacht.

Für den CISO einer Finanzinstitution ist die praktische Lehre nicht über die GMO. Es geht um den Kunden, der von einer Infrastruktur handelt, die die Brokerage nicht beauftragt hat, nicht prüft und erst entdeckt, wenn die unerlaubten Aufträge im Buch auftauchen.