GMO Internet sta indagando su una perdita di dati following un accesso non autorizzato al proprio servizio Onamae Desktop Cloud, che fornisce desktop virtualizzati agli operatori finanziari. L’azienda ha dichiarato di ritenere che un sospetto aggressore abbia pubblicato informazioni presumibilmente collegate ai clienti e all’azienda; l’autenticità dei contenuti è ancora in verifica. L’entità completa dell’incidente non risulta chiara.
Nel frattempo, GMO Internet ha consigliato ai clienti di reimpostare le password. Sono infatti arrivate segnalazioni di operazioni non autorizzate su account di trading dei clienti. L’azienda ha inoltre dichiarato che 27,000 server potrebbero essere interessati dalla violazione, mentre un portavoce non ha fornito alcun commento.
Il caso Artex e i collegamenti ancora da chiarire
Resta aperta la questione del rapporto tra l’incidente e Artex, uno strumento di penetration testing basato sull’intelligenza artificiale sviluppato in Cina. La divisione di cybersicurezza di GMO Internet ha riferito di aver trovato prove dell’uso di Artex in attacchi a aziende in Giappone. L’azienda ha però precisato di non aver stabilito pubblicamente un collegamento tra Artex e la violazione di Onamae.
Un rapporto di CrowdStrike ha indicato che Artex è stato usato anche per attacchi a istituzioni finanziarie in Corea del Sud nel settembre. Le incursioni si sono basate soprattutto su carenze nei controlli di sicurezza, fra cui l’assenza di autenticazione a più fattori. Lo sviluppatore cinese di Artex ha quindi interrotto gli aggiornamenti pubblici e reso lo strumento di sicurezza AI closed-source dopo il collegamento ad attacchi bancari.
Le indicazioni del regolatore finanziario
L’Financial Service Agency del Giappone aveva già diffuso, a maggio, indicazioni rivolte alle istituzioni finanziarie per prepararsi all’aumento delle vulnerabilità informatiche. Il regolatore ha richiesto difese di base più robuste, comprendenti gestione delle vulnerabilità, difesa in profondità e preparazione agli incidenti. Alle istituzioni è stato inoltre raccomandato di adottare strumenti di sicurezza basati sull’intelligenza artificiale e altre soluzioni analoghe.
La cronologia dell’attacco
Il 21 ottobre, GMO Internet ha chiuso Onamae Desktop Cloud dopo aver scoperto un accesso non autorizzato ai propri sistemi. Nella stessa giornata l’azienda ha ricevuto un’email dagli aggressori, che chiedeva circa 8 billion yen (~$50 million).
Il 22 ottobre, GMO Internet ha segnalato l’incidente alla polizia giapponese e pubblicato un ulteriore aggiornamento. Il 24 ottobre ha annunciato compensazioni per i clienti e la disponibilità di un servizio alternativo, chiedendo assistenza alle agenzie governative.
Il 25-26 ottobre, l’azienda ha iniziato a raccogliere i dispositivi dei clienti per rilevare malware e comprendere meglio i danni. Il 27 ottobre ha informato che un sospetto aggressore aveva pubblicato informazioni apparentemente legate all’azienda e ai suoi clienti, chiarendo che stava ancora verificando se i contenuti fossero autentici.
