Japonijos interneto milžinė ragino klientus išjungti kompiuterius: užpuolikai pareikalavo 50 mln. dolerių

Sekite TechNaujienos Google

Japonijos interneto paslaugų grupė GMO po įsilaužimo į „Onamae Desktop Cloud“ platformą ėmėsi neįprasto žingsnio: klientams nurodė atsijungti nuo interneto, išjungti kompiuterius ir atjungti laidus. Nusikaltėliai grasino paleisti anksčiau įdiegtą išpirkos reikalaujančią programą, o už duomenų neviešinimą reikalavo apie 50 mln. JAV dolerių.

Spalio 26–27 dienų šaltinyje pateikiamos šios incidento detalės. Spalio 27 dieną „BleepingComputer“ paskelbė apie bendrovės veiksmus ir oficialius jos perspėjimus. Įsilaužimas aptiktas spalio 20 dieną, o potencialiai paveiktų klientų serverių skaičius, bendrovės vertinimu, galėjo siekti 26 739. GMO laikinai apribojo paslaugos veikimą, tyrė užkrėtimą ir pasitelkė išorės saugumo specialistus.

„Onamae Desktop Cloud“ siūlo nutolusią kompiuterinę aplinką, kuria naudojasi įmonės ir privatūs klientai, tarp jų finansinių prekybos sistemų naudotojai. Tokiai paslaugai tapus įsilaužimo taikiniu, rizika neapsiriboja vien tiekėjo serveriu: klientų išsaugoti prisijungimo duomenys ar aktyvios sesijos gali patekti į pavojų.

Ataka prieš nuotolinio kompiuterio paslaugų tiekėją turi kitokias pasekmes nei įprastas vienos įmonės darbo stoties užkrėtimas. Jeigu viename infrastruktūros mazge veikia tūkstančiai klientų aplinkų, viena spraga gali paveikti skirtingų organizacijų darbą. Tuo pat metu ne kiekvienas incidento paveiktas serveris būtinai buvo užkrėstas. Todėl būtina atskirti preliminarų galimų aukų skaičių nuo patvirtintai kompromituotų paskyrų. GMO praneštas skaičius yra rizikos vertinimo dalis, o ne įrodymas, kad kiekvieno kliento failai jau pasisavinti.

Naujausi straipsniai

5 min. skaitymo • prieš 4 minutės

„Anduril“ ir „Qualcomm“ kurs kompiuterį, kurio dalis beveik visiškai pagamintos JAV ir sąjungininkų šalyse

5 min. skaitymo • prieš 24 minutės

„Google“ pristatė „Genie 4“: DI pasaulius galima keisti realiu laiku – ateityje keisis žaidimų kūrimas

5 min. skaitymo • prieš 44 minutės

„Apple“ išleido „iOS 27.2“: daugiau nei 160 saugumo pataisų ir naujos „Siri“ galimybės – o kaip Lietuva?

Visi naujausi straipsniai →

Nuotoliniai prekybos terminalai yra ypač jautrus atvejis, nes jų viduje gali būti ir finansinių operacijų istorija, ir išsaugoti prisijungimai. Jei tokia aplinka atsiduria užpuolikų akiratyje, iš pirmo žvilgsnio techninis incidentas gali tapti tiesioginio finansinio sukčiavimo rizika. Būtent todėl bendrovė rekomendavo ne tik atsijungti nuo paslaugos, bet ir nutraukti aktyvias sesijas bei pakeisti susijusius prisijungimo duomenis. Vis dėlto patvirtintos finansinės žalos masto nereikėtų spėti pagal užpuolikų pareikalautą išpirką.

Išpirkos programų atakų atveju užpuolikai neretai siekia sukelti spaudimą keliais kanalais – pagrasina duomenų paskelbimu, paslaugų išjungimu arba būsimu failų šifravimu. Įmonė turi derinti klientų apsaugą, techninį atkūrimą ir komunikaciją. Pernelyg skubotas paslaugų įjungimas prieš patikrinant užkrėtimą gali leisti incidentui pasikartoti, tačiau ir per ilgas išjungimas turi ekonominių pasekmių. Lietuvos verslai turėtų iš anksto aptarti su savo prieglobos partneriu, kas atsako už atsargines kopijas ir kaip būtų organizuojamas grįžimas į darbą po tokio sutrikimo.

Kas įvyko ir kokie tikrieji pavojai

GMO perspėjo, kad dalies klientų „MetaTrader 4“ bei „MetaTrader 5“ prisijungimo duomenys ir prekybos paskyrų informacija galėjo būti pasiekiami užpuolikams. Bendrovė teigė neturinti duomenų, kad būtų pavogti mokėjimo kortelių duomenys, tačiau rekomendavo keisti reikšmingus slaptažodžius ir nutraukti aktyvias sesijas.

Įsilaužėliai pareikalavo maždaug 8 mlrd. jenų išpirkos. GMO pranešė nemokėsianti, o daliai klientų paskelbė kompensavimo planą. Taip pat paaiškėjo, kad internete paskelbta dalis įmonės ir naudotojų informacijos. Iki žinios paskelbimo nebuvo patvirtinta, kad grasintas išpirkos programos paleidimas iš tikrųjų įvyko.

Incidento komunikacijos laikas taip pat svarbus. Klientai, sužinoję apie galimą išpirkos programą, turi suprasti, ar reikia išjungti įrenginį, atsijungti nuo tinklo, keisti slaptažodžius ar laukti papildomos informacijos. Jei rekomendacijos prieštaringos, padariniai gali išaugti net be naujos atakos. Todėl dideli paslaugų teikėjai turėtų palaikyti atskirą incidentų būsenos puslapį ir kelis kontaktinius kanalus. Lietuvos įmonė, naudojanti užsienio debesijos platformą, iš anksto turi žinoti, kaip pranešimas apie kritinį incidentą pasieks atsakingą darbuotoją ne darbo metu. Taip pat verta tikrinti, ar atsarginės kopijos iš tiesų gali būti atkurtos, o ne tik automatiškai sukuriamos pagal grafiką.

Ką verta žinoti Lietuvoje

Ši istorija aktuali Lietuvoje dirbantiems verslams, kurie jungiasi prie valdomų virtualių serverių ar nuotolinių darbo vietų. Jei visą prieigą valdo vienas tiekėjas, jo incidentas gali priversti kelioms valandoms ar dienoms keisti kasdienį darbą. Todėl verta iš anksto turėti alternatyvios prieigos ir atsarginių kopijų planą.

Pranešimas apie kompiuterių išjungimą buvo konkretaus incidento rekomendacija GMO klientams, o ne bendras patarimas visiems pasaulio vartotojams. Lietuvoje nereikia profilaktiškai atjungti savo įrangos dėl šios naujienos. Svarbiau stebėti savo tiekėjų pranešimus, naudoti unikalius slaptažodžius, papildomą prisijungimo patvirtinimą ir reguliariai tikrinti atstatymo galimybes. Plačiau susijusiu klausimu rašėme anksčiau.