Японська GMO Group пропонує винагороду в $1 мільйон за інформацію, яка допоможе встановити особу хакера, відповідального за кібератаку на її торговельні сервіси. Компанія повідомляє, що облікові дані для входу клієнтів на платформи електронної торгівлі MetaTrader 4 і MetaTrader 5 могли бути скомпрометовані, і закликала їх змінити ці паролі. Для кожного, хто торгує через онлайн-брокера, порушення облікових даних MetaTrader у GMO Group є корисним прикладом того, що робити, коли фінансовий провайдер зазнає атаки.

Що було скомпрометовано під час порушення облікових даних MetaTrader у GMO Group

Згідно з регулярними оновленнями компанії, зловмисники викрали дані, а також здійснили несанкціоновані транзакції. Цей другий момент важливий. Це не лише історія про крадіжку даних; вона стосувалася активності на торговельних рахунках клієнтів.

Найконкретніше попередження від GMO стосується облікових даних для MetaTrader 4 і MetaTrader 5 — двох широко використовуваних платформ для роздрібної торгівлі. Компанія заявила, що ці облікові дані "могли бути" скомпрометовані, що є обережним формулюванням. Це означає, що постраждалі клієнти мають виходити з того, що ризик можливий, доки вони не змінять свої паролі, а не чекати на підтвердження.

Деякі вторинні повідомлення про інцидент вказують на масштаб задіяної інфраструктури, зокрема цифри до 26 739 серверів під загрозою в сервісі Onamae.com Desktop Cloud. Ці цифри походять із підсумків пошукових результатів інших видань, тому вважайте їх тут непідтвердженими. Власні рекомендації компанії є найчіткішим орієнтиром для дій. Для ширшого контексту щодо загальної схеми інциденту дивіться наш матеріал про загрозу та попередження про вимкнення через ransomware у GMO Onamae Desktop Cloud.

Як вимоги вимагання ескалували до $1 мільйона

Вимагачі висунули першу вимогу, а потім змінили курс. Через три дні після цієї початкової вимоги вони в суботу заявили, що погодяться на викуп у $1 мільйон. Знижена вимога — це знайома тактика тиску: вона робить оплату схожою на вигідну угоду, зберігаючи при цьому загрозу подальших витоків або зловживань.

Відповідь GMO була протилежною. Замість того щоб сигналізувати про готовність платити, компанія пропонує винагороду в $1 мільйон за встановлення особи нападника. Тепер ці дві цифри дзеркально відображають одна одну, що створює незвичайне протистояння. Винагорода не скасовує вже завданої шкоди і не гарантує, що викрадені дані залишаться конфіденційними. Вона показує, що компанія розглядає це як кримінальну справу і шукає допомоги в третіх сторін.

Для клієнтів практичний урок полягає в тому, що переговори між компанією та злочинцями поза їхнім контролем. Що вони можуть контролювати — це безпеку власного облікового запису.

Чому скидання паролів торговельних платформ має значення

Коли компанія повідомляє, що облікові дані могли бути розкриті, скидання пароля — це найшвидший спосіб відрізати нападнику доступ. Це працює, тому що викрадені дані для входу корисні лише доти, доки вони залишаються дійсними.

Є кілька причин, чому скидання має більше значення, ніж зазвичай, у випадку торговельних платформ:

  • Гроші рухаються швидко. Несанкціоновані угоди можуть відбутися протягом хвилин після того, як хтось отримає доступ.
  • Паролі повторно використовуються. Якщо ви використовували той самий пароль для MetaTrader та іншого сервісу, витік в одному місці може відкрити двері в інших.
  • Старі сесії можуть залишатися активними. Після скидання вийдіть із пристроїв і сесій, яких ви не впізнаєте, якщо платформа це дозволяє.

Виберіть новий пароль, який є довгим, унікальним і не є варіацією старого. Менеджер паролів полегшує це, оскільки вам не потрібно запам'ятовувати кожен із них.

Як трейдери можуть виявити захоплення облікового запису та credential stuffing

Захоплення облікового запису відбувається, коли хтось інший входить під вашим ім'ям. Credential stuffing — це один із поширених шляхів: зловмисники беруть пари імені користувача та пароля з одного витоку й автоматично пробують їх на багатьох інших сайтах. Оскільки це покладається на повторне використання, це може вдарити через тижні або місяці після початкового інциденту.

Стежте за цими ознаками:

  1. Угоди або перекази, яких ви не робили, зокрема невеликі тестові транзакції.
  2. Сповіщення про вхід або електронні листи про скидання пароля, які ви не запитували.
  3. Змінені дані облікового запису, як-от нова електронна адреса, номер телефону або призначення для виведення коштів.
  4. Неочікувані зміни балансу або позиції, що не відповідають вашій стратегії.
  5. Фішингові повідомлення, які згадують витік і просять натиснути посилання або поділитися кодом. Витоки часто провокують подальші шахрайства.

Регулярно перевіряйте свої виписки та історію торгів, а не лише після оголошення. Якщо ви помітили щось підозріле, зв'яжіться зі своїм брокером через його офіційні канали та негайно змініть пароль.

Що це означає для вас

Якщо ви торгуєте через GMO або будь-якого брокера, який використовує MetaTrader 4 чи 5, дотримуйтеся рекомендацій компанії та скиньте пароль зараз, навіть якщо ви не помітили жодної дивної активності. Якщо ви повторно використовували цей пароль деінде, змініть його й на тих облікових записах, починаючи з електронної пошти та інших фінансових сервісів.

Якщо ви не користуєтеся GMO, діє та сама логіка. Витоки у фінансових компаніях нагадують, що безпека вашого облікового запису частково залежить від рішень провайдера, а частково — від звичок, які контролюєте ви. Ви не можете запобігти атаці на компанію, але можете обмежити цінність викраденого пароля.

Ключові висновки

  • Скиньте паролі своєї торговельної платформи, якщо ваш провайдер повідомляє, що облікові дані могли бути розкриті, і ніколи не повторно використовуйте їх у різних сервісах.
  • Увімкніть багатофакторну автентифікацію всюди, де ваш брокер або торговельний застосунок це підтримує, щоб одного викраденого пароля було недостатньо.
  • Стежте за своїми обліковими записами щодо незнайомих угод, сповіщень про вхід і змінених контактних даних або даних для виведення коштів.
  • Будьте обережні з електронними листами та SMS на тему витоків. Використовуйте офіційні застосунки або вебсайти, а не посилання в повідомленнях.
  • Ознайомтеся з ширшим контекстом інциденту. Наш попередній звіт про загрозу ransomware у GMO Onamae Desktop Cloud дає корисну передумову.

Порушення облікових даних MetaTrader у GMO Group ще розвивається, і деталі можуть змінитися в міру того, як компанія ділитиметься новими оновленнями. Кілька хвилин, витрачених на скидання паролів і ввімкнення багатофакторної автентифікації, — це простий крок, який захистить вас незалежно від того, що станеться далі.