GMO rechaza rescate de US$ 50 mi y pide desconectar PCs

GMO Internet Group, uno de los mayores grupos de infraestructura de internet de Japón, solicitó a los clientes del servicio Onamae.com Desktop Cloud que desconectaran sus computadoras antes del mediodía de este martes, 27 de octubre, hora de Tokio. "Antes de las 12h del martes, 27 de octubre, realicen copias de seguridad, desconecten de internet, apaguen el ordenador y desenchufen el aparato", dijo la empresa en un comunicado citado por Japan Times.

La alerta llegó tras un anuncio realizado en la noche del lunes 26. Según GMO, los atacantes dieron un ultimátum: o la empresa cedía a las exigencias, o los datos de los clientes serían publicados y un ransomware sería activado al mediodía del día siguiente. El CEO Masatoshi Kumagai afirmó que el grupo recibió un pedido de rescate de US$ 50 millones, lo rechazó y no realizó ningún pago, según TokyoReporter, BigGo Finance y Cryptopolitan.

Un escritorio en la nube usado para operar

El Onamae.com Desktop Cloud es un servicio de servidores Windows virtuales, muy utilizado por inversores minoristas para mantener plataformas de negociación de divisas y acciones conectadas 24 horas. GMO informó que un tercero obtuvo acceso no autorizado a la infraestructura e instaló programas maliciosos en los entornos de servidor de algunos clientes.

La actualización del 24 de octubre señaló que el número de servidores potencialmente afectados se elevó a 26,739, de acuerdo con BleepingComputer y Gadget Review. La propia cobertura señala que el número mide la exposición, no las intrusiones confirmadas. Clientes reportaron operaciones no autorizadas en sus cuentas de negociación, y GMO se comprometió a reembolsar las pérdidas causadas por dichas transacciones, además de pagar 5,000 yenes a todos los usuarios actuales del servicio, según Euronews y los comunicados de la empresa.

GMO no informó cuántos clientes realmente tuvieron datos copiados ni qué categorías de información están en riesgo. Hasta el cierre de este artículo, no había confirmación pública de lo que ocurrió después del plazo del mediodía, que correspondió a las 3h UTC del martes. Ningún grupo criminal había reclamado públicamente el ataque en las fuentes consultadas.

Por qué el pedido de desconectar el PC es importante

El detalle más inusual del caso es el alcance del riesgo. Un servidor virtual de negociación normalmente está conectado al ordenador del cliente mediante escritorio remoto. Si el atacante controla el servidor, el canal que el usuario abre para operar puede convertirse en un puente hacia la máquina local, y por eso GMO pidió desconexión física, no solo un cambio de contraseña.

La negativa a pagar se alinea con la Iniciativa Counter Ransomware, coalición de decenas de gobiernos liderada por Estados Unidos, que desde 2023 recomienda no financiar la extorsión digital. El costo de esta posición se manifiesta en otro lugar: el reembolso de las pérdidas de negociación sale de la caja de GMO, y la empresa aún no ha estimado el valor.

El mismo riesgo en otros mercados

En Japón, la Ley de Protección de Información Personal exige que la empresa notifique a la Comisión de Protección de Información Personal y a los titulares cuando haya una filtración que pueda causar daño, con un informe preliminar en pocos días. Para las corredoras cuyos clientes hayan registrado órdenes indebidas, el caso también abre la discusión sobre qué hacer cuando el acceso legítimo del cliente proviene de una máquina ya comprometida.

En la Unión Europea, la directiva NIS2 ya clasifica a los proveedores de servicios gestionados y en la nube como entidades sujetas a aviso preliminar al regulador en hasta 24 horas tras tomar conocimiento de un incidente significativo. Un caso como el de GMO, con acceso a la infraestructura del proveedor y efectos en cadena sobre los clientes, es exactamente el escenario que motivó la regla.

En Brasil, el reglamento de comunicación de incidentes de la ANPD, de 2024, fija un plazo de tres días hábiles para avisar a la autoridad y a los titulares, y las reglas del Banco Central para instituciones reguladas exigen la comunicación de incidentes relevantes, incluidos en los servicios de nube contratados. Servicios de servidor virtual para robots de negociación son ofrecidos a inversores minoristas también en esos mercados, casi siempre fuera del inventario de terceros que un CISO de corredora controla.

Para el CISO de una institución financiera, la lección práctica no es sobre GMO. Es sobre el cliente que opera desde una infraestructura que la corredora no contrató, no audita y solo descubre cuando las órdenes indebidas aparecen en el libro.