Apaguen sus equipos y desenchúfenlos: la japonesa GMO pide a sus clientes que se protejan del ransomware
Los atacantes fijaron la hora exacta del ataque, pero los acontecimientos dieron un giro inesperado.
La japonesa GMO Internet pidió a sus clientes apagar urgentemente los ordenadores, desconectar Internet e incluso retirar los cables de las tomas. La causa fue un ultimátum de hackers que, tras vulnerar un servicio en la nube, amenazaron con publicar simultáneamente la información robada y lanzar un cifrador.
La amenaza afectaba a Onamae.com Desktop Cloud, una plataforma de escritorios remotos utilizada, entre otros, por operadores de divisas. Los delincuentes fijaron el ataque para el mediodía del 27 de octubre, hora de Japón. Antes de la fecha límite, el proveedor recomendó realizar un análisis antivirus completo, guardar copias de seguridad, desconectar el ordenador de las redes cableadas e inalámbricas, cerrar la sesión y desconectar la alimentación.
La historia comenzó antes. El 20 de octubre GMO detectó una intrusión en la infraestructura de servidores y al día siguiente empezó a detener el servicio. Bajo amenaza quedaron hasta 26 739 servidores de clientes, donde los atacantes podrían haber colocado código malicioso. La empresa también advirtió sobre una posible compromisión de cuentas de MetaTrader 4 y MetaTrader 5, a través de las cuales se realizan operaciones de trading.
La situación se agravó por informes de clientes sobre operaciones sospechosas en cuentas de trading. El proveedor pidió cambiar contraseñas, cerrar sesiones activas y revisar el historial de operaciones. Más tarde se supo que los atacantes habían exfiltrado información y exigían alrededor de 8 000 millones de yenes, o 50 millones de dólares. GMO se negó a pagar, explicando que el rescate no garantiza la eliminación de los archivos robados ni el cese de los abusos.
Cuando expiró el ultimátum, no se produjo el masivo cifrado prometido. A las 13:55 del 27 de octubre, GMO no había detectado un ataque con ransomware. Sin embargo, a las 12:30 la empresa encontró la publicación de materiales que los delincuentes presentaron como documentos internos del proveedor y datos de clientes. Aún se comprobaba la autenticidad de los materiales publicados, y parte de las anotaciones podía ser inexacta.
Para buscar posibles infecciones, los empleados de GMO recogen los ordenadores de los clientes y los entregan a su propio equipo de seguridad. A la investigación se ofrecieron empresas externas, incluida Trend Micro. El proveedor se comprometió a reemplazar los dispositivos con daños confirmados por el cifrador y a reembolsar las pérdidas confirmadas por operaciones no autorizadas.
En la advertencia oficial, la compañía exigió apagar los ordenadores antes de la fecha establecida. Separadamente, GMO pidió no visitar el sitio de los atacantes, ya que el recurso recopila información sobre los visitantes. También advirtieron a los clientes sobre estafadores que pueden hacerse pasar por el servicio de soporte, pedir contraseñas y códigos de verificación o prometer devolver el dinero a cambio de un pago adicional.
GMO había anunciado previamente un pago de 5000 yenes a cada cliente del servicio y estudia compensaciones adicionales a los perjudicados por la filtración. El proveedor continúa la investigación junto con la policía y no piensa ceder a las exigencias de los extorsionadores. Anteriormente, el director de GMO reconoció que los especialistas habían detectado problemas de seguridad antes del ataque, pero las correcciones no se completaron a tiempo.