Cyberattacco a GMO in Giappone: conti di trading devastati, GMO Coin si dichiara risparmiato

Robot di trading rivolti contro i loro proprietari. In Giappone, GMO Internet conferma il furto di informazioni sui clienti dal servizio << Onamae.com Desktop Cloud >>, utilizzato da migliaia di trader forex per eseguire MT4 e MT5. L'exchange di proprietà GMO Coin afferma di non aver riscontrato operazioni fraudolente sui propri conti.

Punti chiave di questo articolo:

• GMO Internet ha confermato il furto di informazioni sui clienti dal suo servizio << Onamae.com Desktop Cloud >>, utilizzato da migliaia di trader forex.
• GMO Coin, la piattaforma di scambio crypto del gruppo, è stata risparmiata da operazioni fraudolente ma ha consigliato ai suoi utenti di adottare misure di sicurezza aggiuntive.
• Dopo la scoperta di programmi dannosi su alcuni server, GMO ha rifiutato di pagare un riscatto e ha richiesto l'intervento dello Stato per attuare una difesa cibernetica attiva.

GMO Coin risparmiato ma in allerta

GMO Coin, la piattaforma di scambio crypto del gruppo, ha pubblicato un avviso il 23 ottobre. Essa specifica che nessuna operazione non autorizzata è stata confermata fino a questo momento sui suoi conti clienti.

Tuttavia, l'exchange chiede ai suoi utenti di controllare la loro cronologia degli ordini e i loro saldi, di attivare una passkey e le notifiche di accesso. Soprattutto, consiglia di eliminare le chiavi API inutilizzate o sconosciute. Una chiave API è il pass per consentire a un software di terze parti, come un bot, di effettuare ordini per conto vostro.

I stablecoin del gruppo non compaiono in nessuno dei cinque rapporti pubblicati da GMO Internet. GYEN e ZUSD, emessi da GMO Trust a New York, sono comunque in fase di liquidazione. I loro detentori possono riacquistarli a parità fino all'11 novembre 2026, senza alcun legame noto con l'attacco.

Cosa è successo sui server di GMO

Tutto è iniziato con un messaggio di un cliente il 19 ottobre. Il giorno dopo, GMO Internet scopre programmi dannosi installati su alcuni server. Il 21 ottobre alle 4 del mattino, l'hosting interrompe tutte le offerte.

Il numero di 26.739 server circola molto su X. È corretto, ma si riferisce alle macchine potenzialmente esposte. GMO precisa che non si tratta del numero di server effettivamente compromessi.

Il problema deriva da ciò che queste macchine contenevano. I trader lasciavano girare i loro software MT4 e MT5 costantemente connessi ai loro broker, compresi gli identificativi. Alcuni clienti hanno poi visto passare ordini che non avevano mai dato. La stampa giapponese cita un privato di Kanagawa che avrebbe perso circa 4 milioni di yen in due secondi.

OANDA Japan, XMTrading, Titan FX, AXIORY e IronFX hanno chiesto ai loro clienti di cambiare le password. Già dal 22 ottobre, l'Agenzia dei servizi finanziari (FSA) ha chiesto ai broker forex, tramite la loro associazione professionale, di monitorare le transazioni anomale.

Riscatto rifiutato e richiesta allo Stato

Il quarto rapporto di GMO, datato 24 ottobre, conferma che le informazioni sui clienti sono state effettivamente esfiltrate. L'azienda non specifica quali. Rivela anche di aver ricevuto una richiesta di riscatto, il cui importo non è comunicato.

Le minacce sono dettagliate nel comunicato ufficiale di GMO. L'attaccante promette di continuare a effettuare ordini distruttivi su conti aperti presso oltre 70 broker giapponesi e stranieri, di pubblicare dati sui clienti e di lanciare un ransomware. Questo numero di 70 proviene quindi dall'hacker stesso. Nessun bilancio ufficiale lo conferma.

GMO rifiuta di pagare e ha trasmesso i suoi scambi alla polizia. Il gruppo rimborserà le perdite subite sugli ordini fraudolenti e verserà 5.000 yen a ciascun cliente, colpito o meno. Il servizio non sarà ripristinato.

【Importante】Scuse e avviso riguardo all'accesso non autorizzato a << Onamae.com Desktop Cloud >> (4° rapporto)

Ci scusiamo sinceramente per i disagi e le preoccupazioni causate ai nostri clienti

Di seguito riportiamo le misure che abbiamo deciso di adottare
① A tutti i clienti attivi, verrà corrisposto un risarcimento di 5.000 yen... --- Gruppo GMO Internet (@GMOGroup) 24 ottobre 2026

Più insolito, GMO ha chiesto al governo di applicare la difesa cibernetica attiva, entrata in vigore il 1° ottobre. Questa legge consente alla polizia o alle Forze di autodifesa di neutralizzare a distanza i server di un attaccante. Interrogato dalla stampa, il segretario generale del governo Minoru Kihara ha rifiutato di commentare un caso specifico. Secondo lui, lo Stato valuterà l'opportunità di una neutralizzazione con o senza richiesta dell'azienda.

Secondo Nikkei, il governo riunisce questo lunedì sera i ministri interessati per affrontare una serie di attacchi informatici.

Bot crypto e VPS: lo stesso tallone d'Achille

Sostituisci MT5 con un bot di grid trading e un broker forex con Binance. Lo schema rimane identico. Molti trader crypto affittano un VPS per far girare i loro script giorno e notte, con chiavi API memorizzate in chiaro sulla macchina.

Il Giappone conosce il prezzo di queste vulnerabilità. Nel maggio 2024, DMM Bitcoin ha perso 4.502,9 BTC, pari a circa 305 milioni di dollari. L'FBI e la polizia giapponese hanno attribuito il furto al gruppo nordcoreano TraderTraitor, una branca di Lazarus. L'exchange ha annunciato la sua chiusura nel dicembre 2024.

Per GMO, nulla permette di identificare l'autore fino ad oggi. Anche il metodo è diverso. Nessuno ha svuotato un wallet. L'hacker ha utilizzato gli accessi delle vittime per distruggere il loro capitale con ordini perdenti.

Se un bot gira su un server affittato, le sue chiavi API non dovrebbero mai avere il diritto di prelievo e dovrebbero essere limitate all'indirizzo IP di quel server. I clienti di GMO riceveranno le modalità di rimborso entro il 6 novembre.