GMO Internet usuwa stronę z wyciekiem danych, w Japonii i Korei Południowej kolejne cyberataki

Atak na usługę chmurową GMO

Grupa GMO Internet, japoński konglomerat technologiczny działający w sektorach infrastruktury internetowej, cyberbezpieczeństwa i usług finansowych, ujawniła 20 października 2026 r., że padła ofiarą cyberataku. Naruszenie dotyczyło Onamae Desktop Cloud, usługi wynajmu pulpitów z systemem Windows, używanej głównie przez indywidualnych inwestorów rynku forex w Japonii do obsługi oprogramowania do automatycznego handlu. W środowiskach serwerowych niektórych klientów zainstalowano złośliwe oprogramowanie, a zagrożonych było nawet 26 739 serwerów. GMO zareagowało, stopniowo wyłączając serwery, wszczynając dochodzenie i przeprowadzając ich czyszczenie.

Agencja Jiji Press podaje, że nieautoryzowany dostęp dotyczył serwera chmurowego wykorzystywanego do automatycznego handlu na rynku walutowym, który firma wyłączyła 21 października. Po otrzymaniu wiadomości z żądaniem okupu, GMO zgłosiło sprawę do Departamentu Policji Metropolitalnej w Tokio 22 października. Źródła śledcze wskazują, że policja bada zakres szkód, podejrzewając naruszenie prawa zakazującego nieautoryzowanego dostępu do systemów komputerowych, a czynności prowadzone są m.in. poprzez przesłuchania przedstawicieli firmy.

Żądanie okupu i wyciek danych

Podawane kwoty okupu różnią się w zależności od źródła. TechRadar podaje, że atakujący zażądali około 50 mln USD za usunięcie danych, podczas gdy The Independent informuje o 1 mln USD. GMO odmówiło zapłaty, argumentując, że nie ma gwarancji usunięcia skradzionych informacji osobowych i ostrzegając, że mogą one zostać wykorzystane do nielegalnej działalności. We wtorek, 27 października, GMO potwierdziło, że osoby uważane za sprawców ataku opublikowały informacje powiązane z firmą i jej klientami, dodając, że weryfikuje autentyczność tych materiałów.

W środę, 28 października, około godziny 4:00 rano, GMO potwierdziło usunięcie strony internetowej ujawniającej dane osobowe należące prawdopodobnie do jednego z klientów, współpracując w tej kwestii z innymi podmiotami. Jiji Press donosi, że strona została stworzona przez sprawców ataku, a GMO zamierza natychmiast reagować na wszelkie podobne witryny. Raporty nie precyzują, ilu klientów zostało poszkodowanych ani jakie rodzaje informacji zostały przejęte. Wpis w internecie przypisywany grupie hakerskiej, cytowany przez The Independent, głosił, że GMO nie prowadzi negocjacji, więc grupa ujawni dane osobowe.

Klienci i reakcja rządu

GMO zaleciło klientom skanowanie komputerów w poszukiwaniu wirusów, tworzenie kopii zapasowych danych, odłączenie urządzeń od internetu i ich wyłączenie. Na niektórych kontach handlowych odnotowano nieautoryzowane transakcje, a GMO zobowiązało się do pokrycia potwierdzonych strat klientów. Premier Sanae Takaichi zwołała nadzwyczajne spotkanie z ministrami, po czym przekazała dziennikarzom:

„Sytuacja jest poważna, rosną obawy o szkody cywilne wynikające z niewłaściwego wykorzystania wyciekłych informacji. Musimy pilnie wzmocnić nasze środki zaradcze.”

Takaichi poleciła rządowi przygotowanie pakietu środków z zakresu cyberbezpieczeństwa do początku listopada. Bloomberg, cytując Takayukiego Tominagę z Central Tanshi FX, donosi, że japoński rynek detalicznego forexu w dużej mierze zignorował atak, a wolumeny obrotu utrzymują się, mimo że niektórzy inwestorzy zamykają konta.

Firmy finansowe w Korei Południowej

Sektor finansowy Korei Południowej dotknęła nowa fala ataków. Daishin Securities zgłosiło cyberatak, w wyniku którego ujawniono dane osobowe 38 490 klientów, w tym imiona i nazwiska, adresy e-mail oraz numery telefonów komórkowych. Firma powiadomiła poszkodowanych klientów, współpracuje z organami ścigania i wypłaci odszkodowania zgodnie z wymogami prawa. Mirae Asset Global Investments oraz Bithumb zgłosiły w środę odrębne incydenty cybernetyczne, jak podają lokalne media, jednak żadna z nich nie potwierdziła kradzieży danych klientów.

Komisja Usług Finansowych wezwała do wzmocnienia środków cyberbezpieczeństwa, a rząd planuje kontrole bezpieczeństwa dziesiątek systemów IT w sektorze prywatnym. TechCrunch łączy wrześniową falę ataków w Korei Południowej z podejrzanym hakerem z Chin, który używał narzędzia do testów penetracyjnych AI o nazwie Artex, choć urzędnicy wciąż badają przyczynę najnowszych naruszeń. Śledczy nie ustalili powiązania między incydentami w Japonii i Korei Południowej. Bloomberg podaje, że w środę o naruszeniach mówił również gubernator Służby Nadzoru Finansowego Lee Chan-jin.