Il Gruppo GMO, azienda giapponese, sta offrendo una taglia da 1 milione di dollari per informazioni che identifichino l'hacker dietro un attacco informatico ai suoi servizi di trading. L'azienda afferma che le credenziali di accesso dei clienti alle piattaforme di trading elettronico MetaTrader 4 e MetaTrader 5 potrebbero essere state compromesse, e ha esortato i clienti a reimpostare tali password. Per chiunque faccia trading tramite un broker online, la violazione delle credenziali MetaTrader del Gruppo GMO è un caso di studio utile su cosa fare quando un fornitore di servizi finanziari viene colpito.

Cosa è stato compromesso nella violazione delle credenziali MetaTrader del Gruppo GMO

Secondo gli aggiornamenti regolari dell'azienda, gli attaccanti hanno rubato dati e hanno anche effettuato transazioni non autorizzate. Questo secondo punto è importante. Non si è trattato solo di una storia di furto di dati; ha coinvolto attività sui conti di trading dei clienti.

L'avvertimento più concreto di GMO riguarda le credenziali per MetaTrader 4 e MetaTrader 5, due piattaforme ampiamente utilizzate per il trading al dettaglio. L'azienda ha affermato che queste credenziali "potrebbero essere state" compromesse, una formulazione cauta. Significa che i clienti interessati dovrebbero presumere che l'esposizione sia possibile finché non avranno cambiato le proprie password, anziché attendere una conferma.

Alcuni rapporti secondari sull'incidente indicano la portata dell'infrastruttura coinvolta, inclusi numeri fino a 26.739 server a rischio nel servizio Onamae.com Desktop Cloud. Tali numeri provengono da riepiloghi dei risultati di ricerca di altre testate, quindi qui vanno considerati non confermati. La guida all'azione più chiara è il consiglio fornito direttamente dall'azienda. Per un contesto precedente sul più ampio schema dell'incidente, consultate la nostra copertura della minaccia ransomware e allarme di spegnimento di GMO Onamae Desktop Cloud.

Come le richieste di estorsione sono escalate a 1 milione di dollari

Gli estorsori hanno fatto una prima richiesta, poi hanno cambiato rotta. Tre giorni dopo quella richiesta iniziale, hanno dichiarato sabato che si sarebbero accontentati di un riscatto di 1 milione di dollari. Una richiesta ridotta è una tattica di pressione ben nota: fa sembrare il pagamento un affare, mantenendo vivo la minaccia di ulteriori fughe di dati o abusi.

La risposta di GMO è stata quella di muoversi nella direzione opposta. Invece di segnalare che pagherà, l'azienda offre una taglia da 1 milione di dollari per l'identità dell'attaccante. Le due cifre ora si rispecchiano, il che crea uno stallo insolito. Una taglia non annulla i danni già fatti e non garantisce che i dati rubati restino privati. Dimostra però che l'azienda sta trattando la questione come un caso penale e cerca aiuto da terze parti.

Per i clienti, la lezione pratica è che una trattativa tra un'azienda e dei criminali è fuori dal loro controllo. Ciò che possono controllare è la sicurezza del proprio account.

Perché reimpostare le password delle piattaforme di trading è importante

Quando un'azienda afferma che le credenziali potrebbero essere state esposte, reimpostare la password è il modo più rapido per interrompere l'accesso di un attaccante. Funziona perché i login rubati sono utili solo finché restano validi.

Ci sono alcune ragioni per cui una reimpostazione è più importante del solito con le piattaforme di trading:

  • Il denaro si muove rapidamente. Le operazioni non autorizzate possono avvenire entro pochi minuti dall'accesso di qualcuno.
  • Le password vengono riutilizzate. Se avete usato la stessa password per MetaTrader e per un altro servizio, una fuga in un punto può aprire porte altrove.
  • Le vecchie sessioni possono persistere. Dopo una reimpostazione, disconnettetevi dai dispositivi e dalle sessioni che non riconoscete, dove la piattaforma lo consente.

Scegliete una nuova password lunga, unica e non una variazione di una vecchia. Un gestore di password lo rende semplice, perché non dovete ricordarle tutte.

Come i trader possono individuare la compromissione degli account e il credential stuffing

La compromissione dell'account avviene quando qualcun altro accede con le vostre credenziali. Il credential stuffing è una via comune: gli attaccanti prendono coppie di nome utente e password da una violazione e le provano automaticamente su molti altri siti. Poiché si basa sul riutilizzo, può colpire settimane o mesi dopo l'incidente originale.

Fate attenzione a questi segnali:

  1. Operazioni o trasferimenti che non avete effettuato, incluse piccole transazioni di prova.
  2. Avvisi di accesso o email di reimpostazione della password che non avete richiesto.
  3. Dettagli dell'account modificati, come un nuovo indirizzo email, numero di telefono o destinazione di prelievo.
  4. Variazioni impreviste del saldo o posizioni che non corrispondono alla vostra strategia.
  5. Messaggi di phishing che fanno riferimento alla violazione e vi chiedono di cliccare su un link o condividere un codice. Le violazioni spesso innescano truffe successive.

Controllate regolarmente i vostri estratti conto e la cronologia delle operazioni, non solo dopo un annuncio. Se notate qualcosa di sospetto, contattate il vostro broker tramite i suoi canali ufficiali e cambiate immediatamente la password.

Cosa significa per voi

Se fate trading tramite GMO o qualsiasi broker che utilizza MetaTrader 4 o 5, seguite le indicazioni dell'azienda e reimpostate subito la password, anche se non avete notato attività anomale. Se avete riutilizzato quella password altrove, cambiatela anche su quegli account, iniziando dall'email e dagli altri servizi finanziari.

Se non usate GMO, vale la stessa logica. Le violazioni presso le aziende finanziarie sono un promemoria del fatto che la sicurezza del vostro account dipende in parte dalle scelte del fornitore e in parte dalle abitudini che controllate voi. Non potete impedire che un'azienda venga attaccata, ma potete limitare il valore di una password rubata.

Punti chiave

  • Reimpostate le password della vostra piattaforma di trading se il vostro fornitore afferma che le credenziali potrebbero essere state esposte, e non riutilizzatele mai tra servizi diversi.
  • Attivate l'autenticazione a più fattori ovunque il vostro broker o la vostra app di trading la supporti, così una password rubata da sola non basti.
  • Monitorate i vostri account per operazioni sconosciute, avvisi di accesso e modifiche ai dettagli di contatto o di prelievo.
  • Diffidate delle email e degli SMS a tema violazione. Usate app o siti ufficiali anziché i link nei messaggi.
  • Informatevi sull'incidente più ampio. Il nostro precedente report sulla minaccia ransomware di GMO Onamae Desktop Cloud fornisce un contesto utile.

La violazione delle credenziali MetaTrader del Gruppo GMO è ancora in evoluzione, e i dettagli potrebbero cambiare man mano che l'azienda condivide ulteriori aggiornamenti. Dedicate qualche minuto a reimpostare le password e ad attivare l'autenticazione a più fattori: è un passo semplice che vi protegge qualunque cosa accada dopo.