GMO recusa resgate de US$ 50 mi e manda clientes desligarem PCs

A GMO Internet Group, um dos maiores grupos de infraestrutura de internet do Japão, pediu aos clientes do serviço Onamae.com Desktop Cloud que desligassem os próprios computadores antes do meio-dia desta terça-feira, 27 de outubro, horário de Tóquio. "Antes das 12h de terça-feira, 27 de outubro, façam backup, cortem a internet, desliguem o computador e tirem o plugue da tomada", disse a empresa em comunicado citado pelo Japan Times.

O aviso veio depois de um anúncio feito na noite de segunda-feira, 26. Segundo a GMO, os invasores deram um ultimato: ou a empresa atende às exigências, ou os dados de clientes serão publicados e um ransomware será ativado ao meio-dia do dia seguinte. O CEO Masatoshi Kumagai afirmou que o grupo recebeu um pedido de resgate de US$ 50 milhões, recusou-o e não fez nenhum pagamento, de acordo com TokyoReporter, BigGo Finance e Cryptopolitan.

Um desktop na nuvem usado para operar

O Onamae.com Desktop Cloud é um serviço de servidores Windows virtuais, muito usado por investidores de varejo para manter plataformas de negociação de câmbio e ações ligadas 24 horas. A GMO informou que um terceiro obteve acesso não autorizado à infraestrutura e instalou programas maliciosos em ambientes de servidor de parte dos clientes.

A atualização de 24 de outubro colocou em 26.739 o número de servidores potencialmente afetados, segundo BleepingComputer e Gadget Review. A própria cobertura ressalva que o número mede exposição, não intrusões confirmadas. Clientes relataram operações não autorizadas em suas contas de negociação, e a GMO se comprometeu a ressarcir as perdas com essas operações, além de pagar 5.000 ienes a todos os usuários atuais do serviço, segundo Euronews e os comunicados da empresa.

A GMO não informou quantos clientes tiveram dados de fato copiados nem quais categorias de informação estão em jogo. Até o fechamento desta matéria, não havia confirmação pública do que ocorreu depois do prazo do meio-dia, que correspondeu às 3h UTC de terça-feira. Nenhum grupo criminoso havia assumido o ataque publicamente nas fontes consultadas.

Por que o pedido de desligar o PC importa

O detalhe mais incomum do caso é o alcance do risco. Um servidor virtual de negociação normalmente fica conectado ao computador do cliente por área de trabalho remota. Se o invasor controla o servidor, o canal que o usuário abre para operar pode virar ponte para a máquina local, e por isso a GMO pediu desconexão física, não apenas troca de senha.

A recusa em pagar segue a linha da Counter Ransomware Initiative, coalizão de dezenas de governos liderada pelos Estados Unidos, que desde 2023 recomenda não financiar extorsão digital. O custo dessa posição aparece em outro lugar: o ressarcimento das perdas de negociação sai do caixa da GMO, e a empresa ainda não estimou o valor.

O mesmo risco em outros mercados

No Japão, a Lei de Proteção de Informações Pessoais exige que a empresa notifique a Comissão de Proteção de Informações Pessoais e os titulares quando há vazamento que possa causar dano, com relatório preliminar em poucos dias. Para as corretoras cujos clientes registraram ordens indevidas, o caso também abre a discussão sobre o que fazer quando o acesso legítimo do cliente parte de uma máquina já comprometida.

Na União Europeia, a diretiva NIS2 já classifica provedores de serviços gerenciados e de nuvem como entidades sujeitas a aviso preliminar ao regulador em até 24 horas após tomar conhecimento de um incidente significativo. Um caso como o da GMO, com acesso à infraestrutura do provedor e efeito em cadeia sobre clientes, é exatamente o cenário que motivou a regra.

No Brasil, o regulamento de comunicação de incidentes da ANPD, de 2024, fixa prazo de três dias úteis para avisar a autoridade e os titulares, e as regras do Banco Central para instituições reguladas exigem comunicação de incidentes relevantes, inclusive nos serviços de nuvem contratados. Serviços de servidor virtual para robôs de negociação são vendidos a investidores de varejo também nesses mercados, quase sempre fora do inventário de terceiros que um CISO de corretora controla.

Para o CISO de uma instituição financeira, a lição prática não é sobre a GMO. É sobre o cliente que opera a partir de uma infraestrutura que a corretora não contratou, não audita e só descobre quando as ordens indevidas aparecem no livro.