Japans GMO Group udlover en dusør på 1 million dollars for information, der kan identificere hackeren bag et cyberangreb på selskabets handelstjenester. Selskabet oplyser, at kundernes loginoplysninger til de elektroniske handelsplatforme MetaTrader 4 og MetaTrader 5 kan være blevet kompromitteret, og det har opfordret dem til at nulstille disse adgangskoder. For alle, der handler gennem en onlinemægler, er GMO Group MetaTrader-legitimationsdatabruddet et nyttigt eksempel på, hvad man bør gøre, når en finansiel udbyder bliver ramt.

Hvad blev kompromitteret i GMO Group MetaTrader-legitimationsdatabruddet

Ifølge selskabets regelmæssige opdateringer stjal angriberne data og foretog også uautoriserede transaktioner. Det andet punkt er vigtigt. Dette var ikke kun en historie om datatyveri; det involverede aktivitet på kundernes handelskonti.

Den mest konkrete advarsel fra GMO vedrører legitimationsoplysninger til MetaTrader 4 og MetaTrader 5, to meget udbredte platforme til detailhandel. Selskabet oplyste, at disse legitimationsoplysninger "kan være" blevet kompromitteret, hvilket er forsigtig ordvalg. Det betyder, at berørte kunder bør antage, at eksponering er mulig, indtil de har ændret deres adgangskoder, i stedet for at vente på bekræftelse.

Nogle sekundære rapporter om hændelsen peger på omfanget af den involverede infrastruktur, herunder tal på op til 26.739 servere i fare i Onamae.com Desktop Cloud-tjenesten. Disse tal stammer fra søgeresultatsammendrag fra andre medier, så behandl dem som ubekræftede her. Selskabets egen rådgivning er den klareste vejledning til handling. For tidligere kontekst om det bredere hændelsesmønster, se vores dækning af GMO Onamae Desktop Cloud-ransomwaretruslen og nedlukningsadvarslen.

Hvordan afpresningskravene eskalerede til 1 million dollars

Afpresserne fremsatte et første krav og skiftede derefter kurs. Tre dage efter det indledende krav meddelte de lørdag, at de ville acceptere en løsesum på 1 million dollars. Et nedsat krav er en velkendt pressetaktik: det får betaling til at fremstå som et godt tilbud, mens truslen om yderligere lækager eller misbrug holdes i live.

GMOs respons har været at bevæge sig i den modsatte retning. I stedet for at signalere, at selskabet vil betale, udlover det en dusør på 1 million dollars for angriberens identitet. De to beløb spejler nu hinanden, hvilket skaber en usædvanlig fastlåst situation. En dusør gør ikke skaden god igen, og den garanterer ikke, at stjålne data forbliver private. Den viser dog, at selskabet behandler dette som en straffesag og søger hjælp fra udefrakommende parter.

For kunder er den praktiske lære, at en forhandling mellem et selskab og kriminelle er ude af deres hænder. Det, de kan kontrollere, er deres egen kontosikkerhed.

Hvorfor nulstilling af adgangskoder til handelsplatforme er vigtig

Når et selskab siger, at legitimationsoplysninger kan være blevet eksponeret, er en nulstilling af adgangskoden den hurtigste måde at afskære en angribers adgang. Det virker, fordi stjålne loginoplysninger kun er nyttige, så længe de forbliver gyldige.

Der er flere grunde til, at en nulstilling er mere vigtig end sædvanligt med handelsplatforme:

  • Penge flytter sig hurtigt. Uautoriserede handler kan ske inden for få minutter, efter nogen har fået adgang.
  • Adgangskoder genbruges. Hvis du brugte den samme adgangskode til MetaTrader og en anden tjeneste, kan en lækage ét sted åbne døre andre steder.
  • Gamle sessioner kan hænge ved. Efter en nulstilling bør du logge ud af enheder og sessioner, du ikke genkender, hvor platformen tillader det.

Vælg en ny adgangskode, der er lang, unik og ikke en variation af en gammel. En adgangskodeadministrator gør dette nemt, fordi du ikke behøver at huske hver enkelt.

Hvordan tradere kan spotte kontoovertagelse og credential stuffing

Kontoovertagelse sker, når en anden logger ind som dig. Credential stuffing er en almindelig vej: angribere tager brugernavn- og adgangskodepar fra et databrud og prøver dem automatisk på mange andre websteder. Fordi det bygger på genbrug, kan det ramme uger eller måneder efter den oprindelige hændelse.

Hold øje med disse tegn:

  1. Handler eller overførsler, du ikke har foretaget, herunder små testtransaktioner.
  2. Loginadvarsler eller e-mails om nulstilling af adgangskode, som du ikke har anmodet om.
  3. Ændrede kontooplysninger, såsom en ny e-mailadresse, et nyt telefonnummer eller en ny udbetalingsdestination.
  4. Uventede saldoændringer eller positioner, der ikke matcher din strategi.
  5. Phishingbeskeder, der henviser til databruddet og beder dig klikke på et link eller dele en kode. Databrud udløser ofte opfølgende svindel.

Tjek dine kontoudtog og din handelshistorik regelmæssigt, ikke kun efter en meddelelse. Hvis du ser noget mistænkeligt, kontakt din mægler gennem dennes officielle kanaler, og skift din adgangskode med det samme.

Hvad dette betyder for dig

Hvis du handler gennem GMO eller en hvilken som helst mægler, der bruger MetaTrader 4 eller 5, følg selskabets vejledning og nulstil din adgangskode nu, selvom du ikke har set nogen mærkelig aktivitet. Hvis du genbrugte den adgangskode andre steder, skal du også ændre den på disse konti, startende med e-mail og andre finansielle tjenester.

Hvis du ikke bruger GMO, gælder den samme logik. Databrud hos finansielle virksomheder er en påmindelse om, at din kontosikkerhed delvist afhænger af de valg, udbyderen træffer, og delvist af vaner, du selv kontrollerer. Du kan ikke forhindre et selskab i at blive angrebet, men du kan begrænse, hvad en stjålen adgangskode er værd.

Vigtige pointer

  • Nulstil dine adgangskoder til handelsplatformen, hvis din udbyder siger, at legitimationsoplysninger kan være blevet eksponeret, og genbrug dem aldrig på tværs af tjenester.
  • Slå multifaktorautentificering til, hvor din mægler eller handelsapp understøtter det, så en stjålen adgangskode alene ikke er nok.
  • Overvåg dine konti for ukendte handler, loginadvarsler og ændrede kontakt- eller udbetalingsoplysninger.
  • Vær på vagt over for e-mails og sms'er med databrud som tema. Brug officielle apps eller websteder i stedet for links i beskeder.
  • Læs op på den bredere hændelse. Vores tidligere rapport om GMO Onamae Desktop Cloud-ransomwaretruslen giver nyttig baggrund.

GMO Group MetaTrader-legitimationsdatabruddet er stadig under udvikling, og detaljerne kan ændre sig, efterhånden som selskabet deler flere opdateringer. At bruge et par minutter på at nulstille adgangskoder og aktivere multifaktorautentificering er et enkelt skridt, der beskytter dig, uanset hvad der sker næste gang.