Betroffen ist Onamae Desktop Cloud, ein in Japan verbreiteter VPS-Anbieter, der von GMO Internet betrieben wird – einem Unternehmen der GMO Internet Group und einem der größten Domain-Registrare Japans. Vergangene Woche teilte das Unternehmen mit, am 20. Oktober einen Einbruch entdeckt zu haben, bei dem auf bis zu 26.739 Kundenservern Schadsoftware installiert worden sein könnte. Um das Risiko zu begrenzen, fuhr GMO die Server herunter, schränkte die Verfügbarkeit des Dienstes ein und leitete eine Untersuchung ein.

Zahlungsinformationen seien nicht offengelegt worden, versicherte das Unternehmen. Allerdings könnten Zugangsdaten für MetaTrader 4 und MetaTrader 5 (MT4/MT5) sowie Angaben zu Handelskonten offengelegt oder kompromittiert worden sein. GMO forderte die Kunden auf, ihre Passwörter zurückzusetzen und aktive Sitzungen zu beenden.

In späteren Mitteilungen bestätigte GMO den Diebstahl von Daten. Der Angreifer verlange ein Lösegeld von 8 Milliarden Yen (rund 50 Millionen US-Dollar); das Unternehmen erklärte, nicht zu zahlen. Stattdessen kündigte es an, jedem Kunden 5.000 Yen (etwa 30 US-Dollar) als Entschädigung für die entstandenen Unannehmlichkeiten zu erstatten.

Am 26. Oktober warnte GMO, die Angreifer planten, Kundendaten online zu veröffentlichen und eine zuvor im Zuge des Angriffs auf Kundenservern platzierte Ransomware-Nutzlast auszulösen. Einen Tag später bat das Unternehmen seine Kunden, die Rechner noch vor Mittag vom Internet zu trennen, herunterzufahren und sämtliche Kabel abzuziehen, während es gemeinsam mit Trend Micro an der Wiederherstellung arbeitete. „Sobald Sie ein Backup haben, trennen Sie das Netzwerk, schalten Sie das Gerät aus und ziehen Sie das Kabel ab, das mit Ihrem PC verbunden ist", riet GMO.

Nach eigenen Angaben durchsucht das Unternehmen Kundensysteme darauf, ob noch Schadsoftware vorhanden ist. Kunden, die durch einen Ransomware-Angriff Schäden erlitten haben, bietet GMO gleichwertige Ersatzrechner an.

In einem heute veröffentlichten Bericht bestätigte GMO, dass der Angreifer Unternehmens- und Kundendaten publiziert hat; die Echtheit der geleakten Informationen werde nun geprüft. Für Kunden, deren Daten offengelegt wurden, will GMO eine zusätzliche finanzielle Entschädigung erwägen.

Die angedrohte Ransomware wurde offenbar nie aktiviert – auf den Kundenrechnern kam es zu keiner Verschlüsselung. Das Unternehmen warnte Privatpersonen und Medien davor, die offengelegten Informationen weiterzuverbreiten, und kündigte rechtliche Schritte gegen Verstöße an. Zugleich bekräftigte es, den Angreifern kein Lösegeld zu zahlen.