GMO Internet nimmt Leak-Seite offline, während Japan und Südkorea neue Cyberangriffe melden

Ein Sicherheitsvorfall beim Cloud-Desktop-Dienst von GMO

Die GMO Internet Group, ein japanischer Technologiekonzern mit Geschäftsfeldern von Internetinfrastruktur über Cybersicherheit bis zu Finanzdienstleistungen, teilte am 20. Oktober 2026 mit, Opfer eines Cyberangriffs geworden zu sein. Der Angriff erreichte Onamae Desktop Cloud, einen gemieteten Windows-Desktop-Dienst, der vor allem von privaten Devisenhändlern in Japan genutzt wird, die dort automatisierte Handelsssoftware laufen lassen. In einigen Kunden-Serverumgebungen wurde Schadsoftware installiert, bis zu 26.739 Server waren gefährdet. GMO reagierte, indem das Unternehmen die Server schrittweise abschaltete, eine Untersuchung einleitete und die Systeme bereinigte.

Wie Jiji Press berichtet, kam es auf einem Cloud-Server für den automatisierten Devisen-Marginhandel zu einem unbefugten Zugriff, den das Unternehmen am 21. Oktober abschaltete. Nach Erhalt einer Droh-E-Mail meldete GMO den Vorfall am 22. Oktober der Polizeibehörde von Tokio. Ermittlungskreise erklären, die Polizei prüfe das Ausmaß des Schadens und gehe von einem Verstoß gegen das Gesetz gegen unbefugten Computerzugriff aus; teilweise werde über Befragungen von Unternehmensvertretern ermittelt.

Lösegeldforderung und veröffentlichte Daten

Die genannten Lösegeldsummen unterscheiden sich je nach Medium. TechRadar berichtet, die Angreifer hätten rund 50 Millionen US-Dollar für die Löschung der Daten verlangt, während The Independent ein Lösegeld von 1 Mio. US-Dollar nennt. GMO hat die Zahlung verweigert mit der Begründung, es gebe keine Garantie, dass die gestohlenen personenbezogenen Daten tatsächlich gelöscht würden, und es sei weiterhin eine Nutzung für illegale Zwecke möglich. Am Dienstag, 27. Oktober, bestätigte GMO, dass mutmaßliche Hintermänner des Angriffs Informationen veröffentlicht hätten, die nach Angaben des Unternehmens mit ihm und seinen Kunden in Verbindung stehen; man prüfe die Echtheit des Materials.

Am frühen Morgen des Mittwoch, 28. Oktober, bestätigte GMO, dass eine Website, auf der personenbezogene Daten eines mutmaßlichen Kunden offengelegt wurden, gegen 4 Uhr abgeschaltet worden sei, während das Unternehmen mit anderen Firmen an der Angelegenheit arbeite. Jiji Press berichtet, die Seite sei vermutlich von den Hintermännern des Angriffs eingerichtet worden, und GMO wolle unverzüglich gegen ähnliche Seiten vorgehen. Berichte enthalten keine Angaben dazu, wie viele Kunden betroffen sind oder welche Arten von Informationen entwendet wurden. In einem von The Independent zitierten Online-Beitrag der Hackergruppe heißt es, GMO verhandle nicht, und die Gruppe werde die personenbezogenen Daten veröffentlichen.

Kunden und die Reaktion der Regierung

GMO hat Kunden aufgefordert, ihre Computer auf Viren zu prüfen, Daten zu sichern, Geräte vom Internet zu trennen und herunterzufahren. Bei einigen Handelskonten von Kunden kam es zu unbefugten Transaktionen; GMO hat zugesagt, Kunden bestätigte Verluste daraus zu erstatten. Premierministerin Sanae Takaichi hielt eine Krisensitzung mit anderen Ministern ab und sagte anschließend vor Journalisten:

„Die Lage ist ernst, die Sorgen über zivilrechtliche Schäden durch den Missbrauch geleakter Informationen wachsen. Wir müssen unsere Gegenmaßnahmen dringend verstärken.“

Takaichi beauftragte ihre Regierung, bis Anfang November ein Paket von Cybersicherheitsmaßnahmen vorzubereiten. Bloomberg berichtet unter Berufung auf Takayuki Tominaga von Central Tanshi FX, der japanische Devisenmarkt für Privatanleger habe den Angriff weitgehend weggesteckt; die Handelsvolumina hielten sich, obwohl einige Anleger Konten schließen.

Südkoreas Finanzunternehmen

Der südkoreanische Finanzsektor ist von einer neuen Angriffswelle getroffen worden. Daishin Securities meldete einen Cyberangriff, bei dem personenbezogene Daten von 38.490 Kunden offengelegt wurden, darunter Namen, E-Mail-Adressen und Mobilfunknummern. Das Unternehmen hat die betroffenen Kunden informiert, arbeitet mit den Behörden zusammen und will Verluste nach gesetzlicher Vorgabe erstatten. Mirae Asset Global Investments und Bithumb meldeten laut lokalen Medien am Mittwoch separate Cybersicherheitsvorfälle, doch keines der beiden Unternehmen hat bestätigt, dass Kundendaten entwendet wurden.

Die Financial Services Commission hat strengere Cybersicherheitsmaßnahmen gefordert, und die Regierung plant Sicherheitsprüfungen Dutzender IT-Systeme in der Privatwirtschaft. TechCrunch bringt die Angriffswelle vom September gegen Südkorea mit einem mutmaßlich in China ansässigen Hacker in Verbindung, der ein KI-Werkzeug für Penetrationstests namens Artex nutzte; die Behörden untersuchen jedoch noch die Ursache der jüngsten Vorfälle. Die Ermittler haben bislang keinen Zusammenhang zwischen den Vorfällen in Japan und Südkorea festgestellt. Bloomberg berichtet, auch Lee Chan-jin, Gouverneur des Financial Supervisory Service, habe am Mittwoch über die Sicherheitsvorfälle gesprochen.