Le groupe japonais GMO, l'un des plus grands registres de noms de domaine du pays, a émis un avertissement sévère à ses clients, leur demandant de déconnecter leurs systèmes d'Internet et d'éteindre complètement leurs ordinateurs. Cette mesure exceptionnelle fait suite à une faille de sécurité touchant le service Onamae Desktop Cloud (un fournisseur populaire de services de serveurs virtuels VPS), où des attaquants ont menacé de mener une attaque par ransomware et de divulguer des données sensibles.
Détails de la violation et demandes financières
L'entreprise a confirmé que les attaquants ont réussi à accéder à des données concernant à la fois la société et ses clients, et qu'ils ont déjà publié certaines de ces données sur Internet. Les attaquants ont réclamé une rançon massive de 8 milliards de yens japonais (soit environ 50 millions de dollars américains), mais le groupe GMO a annoncé son refus catégorique de verser toute somme aux attaquants.
L'entreprise avait précédemment détecté (le 20 octobre) une intrusion qui pourrait avoir entraîné l'installation de logiciels malveillants sur les serveurs de jusqu'à 26 739 clients. Bien que l'attaque ne se soit pas encore transformée en l'activation de ransomwares sur les appareils des utilisateurs, le risque de la présence d'une "charge utile" (Payload) malveillante préinstallée persiste, ce qui a nécessité une intervention rapide.
Que doivent faire les utilisateurs ?
Compte tenu de la gravité de la situation et de la possibilité que les données de trading soient compromises, l'entreprise a fourni des instructions techniques strictes pour minimiser les risques :
- Déconnexion des appareils : déconnecter complètement les ordinateurs d'Internet et débrancher les câbles d'alimentation.
- Sécurisation des comptes : changer immédiatement les mots de passe, en particulier pour les utilisateurs des plateformes MetaTrader 4 et MetaTrader 5 (MT4/MT5), car leurs identifiants de trading pourraient être compromis.
- Fermeture des sessions : fermer toutes les sessions actives (Active Sessions) pour garantir qu'aucun accès existant ne soit exploité.
L'entreprise a conseillé aux clients de sauvegarder leurs données avant de procéder à la déconnexion et à l'extinction.
Indemnisations et mesures correctives
Pour atténuer la crise, GMO a annoncé le versement d'une indemnité financière de 5 000 yens (environ 30 dollars) à chaque client affecté par les désagréments causés par l'interruption du service, avec la promesse d'envisager des compensations supplémentaires pour ceux dont les données s'avéreront avoir été compromises. L'entreprise a également proposé de remplacer les ordinateurs des clients qui pourraient être réellement touchés par une attaque par ransomware.
L'entreprise travaille actuellement en collaboration avec la société spécialisée en cybersécurité Trend Micro pour inspecter et nettoyer les systèmes, tout en menaçant d'engager des poursuites judiciaires contre toute entité ou média qui diffuserait les données fuitées.