GMO admite que sus propios expertos habían advertido fallas en el servicio atacado y pide a Japón aplicar la ciberdefensa activa

GMO Internet, uno de los grandes proveedores de infraestructura de internet de Japón, gestiona una crisis de seguridad de gran alcance. Su servicio Onamae.com Desktop Cloud ofrece escritorios Windows alojados en la nube, y parte de sus clientes lo usaba para dejar funcionando de forma continua herramientas de trading como MT4 y MT5, conectadas a sus cuentas en corredoras de bolsa y de divisas. Según la cronología de la propia compañía, el 19 de octubre empezó a investigar a raíz de consultas de clientes y al día siguiente encontró un programa malicioso instalado en algunos servidores. El 21 de octubre comenzó a apagar todos los servidores. En su tercer informe cifró en 26.739 los servidores potencialmente afectados y aclaró que ese número no equivale a los accesos confirmados. El riesgo principal eran las credenciales de inversión guardadas en esas máquinas.

El 24 de octubre la empresa dio un paso más. En su cuarto informe confirmó que existía un problema de seguridad en el sistema, que hubo accesos no autorizados y que se extrajo información de clientes, algunos de los cuales denunciaron operaciones que no habían ordenado. GMO anunció un pago de 5.000 yenes a todos los usuarios actuales, hayan sufrido o no pérdidas, y compensará las pérdidas realizadas por operaciones fraudulentas que reconozca tras revisar los registros. Quedan fuera las pérdidas por movimientos del mercado y las ganancias no obtenidas. También decidió no reactivar la plataforma comprometida. A cambio ofrecerá un servicio alternativo en una nube independiente, gratis durante seis meses. El impacto en sus resultados aún no se puede calcular, según el comunicado a inversores.

El mismo informe reveló que hay extorsión. GMO dice haber recibido una exigencia de dinero de quienes cree que son los atacantes, con tres amenazas si no paga: seguir manipulando cuentas de clientes en más de 70 corredoras y casas de divisas de Japón y del extranjero, publicar datos del servicio y de los equipos de los clientes conectados a él y lanzar ransomware, y difundir información interna de la compañía. La empresa respondió que no pagará, entregó las comunicaciones a la policía y pidió a los organismos del Gobierno que apliquen medidas de ciberdefensa activa, el marco con el que el Estado puede rastrear y neutralizar la infraestructura de los atacantes. Lo planteó como el primer caso en que debería activarse. En un quinto aviso pidió a los usuarios cambiar sus contraseñas desde otro dispositivo y cerrar todas sus sesiones con las corredoras, porque algunas pueden seguir abiertas aunque se cambie la contraseña.

La novedad del 25 de octubre fue una entrada en el blog de Masatoshi Kumagai, representante del grupo GMO, con una admisión poco habitual. Según Kumagai, los hackers éticos de la propia compañía habían señalado antes del ataque problemas de seguridad del servicio que había que corregir. El equipo trabajaba en ellos, pero con cautela por su impacto en la disponibilidad y por otras prioridades, sin la profundidad ni la velocidad necesarias, y los atacantes aprovecharon ese margen. Kumagai responde además a dos objeciones a su petición. La primera es que GMO no figura entre los operadores de infraestructura crítica que define la ley. La segunda es que la ciberdefensa activa la decide el Gobierno y no se activa porque lo pida una empresa. Dice conocer ambos límites y sostiene que la ley, que según él entró en vigor el 1 de octubre, debería valorar el efecto real sobre los ciudadanos y no solo la categoría formal del operador. Añade que ya inició solicitudes judiciales de revelación de datos para rastrear a los atacantes.

Como análisis, el caso muestra que el daño ya no se mide solo en datos cifrados o filtrados: aquí las credenciales robadas sirvieron para mover dinero en cuentas de terceros. También recuerda que tener expertos que detectan fallos sirve de poco si la organización no antepone las correcciones a la disponibilidad del servicio. Falta saber cómo entraron los atacantes, cuántas cuentas sufrieron operaciones fraudulentas y si el Gobierno acepta convertir a un proveedor privado en caso de prueba de su nueva ley. GMO prometió detallar el pago de los 5.000 yenes antes del 30 de octubre y el procedimiento de compensación antes del 6 de noviembre.

Fuentes: GMO Internet, cuarto informe; GMO Internet Group, quinto aviso; GMO Internet Group, tercer informe; GMO Internet Group, comunicado a inversores; Blog de Masatoshi Kumagai.