Das Hinweisprogramm mit dem Namen GMO Cybercrime Bounty startete am 28. Oktober und wird von GMO Internet Group selbst betrieben und finanziert. Ausgezahlt wird ausschließlich dann, wenn ein Hinweis zu einer Festnahme – auch durch Polizeibehörden außerhalb Japans – oder zu einer internationalen Fahndungsausschreibung wie einer Interpol-Red-Notice beiträgt. Hinweise gehen per E-Mail an eine Adresse auf einer eigens eingerichteten Website, wahlweise auf Japanisch, Englisch oder Chinesisch, und können anonym erfolgen. Das Programm läuft bis zu einer Festnahme, einer internationalen Fahndungsausschreibung oder bis zum 27. Oktober 2027, je nachdem, was zuerst eintritt.

Gesucht werden Angaben, die Personen, Server, Domains, IP-Adressen, Konten oder Kryptowährungsadressen mit dem Angriff, der Erpressung oder Geldflüssen verknüpfen, sowie Belege zum Tathergang. Vermutungen, unbelegte Beschuldigungen und die Weitergabe bereits öffentlicher Informationen qualifizieren sich in der Regel nicht. GMO entscheidet, wie stark ein Hinweis zum Erfolg beigetragen hat; eine einzelne Person kann die volle Million erhalten, die Summe kann aber auch aufgeteilt werden. Hinweisgeber müssen vor der Auszahlung ihre Identität nachweisen. Qualifiziert sich kein Hinweis, wird nichts gezahlt.

Ausgeschlossen sind unter anderem Tatbeteiligte, Personen, die Informationen illegal erlangt haben – etwa durch den Kauf geleakter Daten – sowie Mitarbeiter von GMO. Das Unternehmen fordert Hinweisgeber auf, nicht in Systeme einzudringen, nicht mit den Angreifern zu verhandeln oder zu zahlen und keine geleakten Daten, Zugangsdaten oder Schadsoftware zu übermitteln. Hinweise werden bei Bedarf an Polizei und weitere Behörden in Japan und im Ausland weitergegeben; der Polizei hat GMO bereits sämtliche Beweise zu den Drohungen einschließlich Kommunikationsaufzeichnungen übergeben. GMO betont, niemals nach Passwörtern, Authentifizierungscodes oder Gebühren zu fragen und ausschließlich von Adressen zu schreiben, die auf @cybercrimebounty.gmo enden.

Die Tochtergesellschaft GMO Internet, die den Dienst betreibt, stellte am 20. Oktober fest, dass ein Dritter Schadprogramme auf Servern einiger Kunden installiert hatte. Ab dem 21. Oktober wurden die Server sämtlicher Tarife abgeschaltet. 26.739 Server gelten als potenziell betroffen – das ist nicht die Zahl bestätigter Einbrüche oder Datenabflüsse. Am 24. Oktober bestätigte GMO ein Sicherheitsproblem in den Systemen des Dienstes, unbefugten Zugriff auf den Dienst und den Abfluss von Kundeninformationen aus dem Unternehmen. Alles, was Kunden auf den Servern abgelegt hatten, könnte eingesehen worden sein, darunter in Handelssoftware wie MetaTrader 4 und 5 gespeicherte Zugangsdaten. Zahlungskartendaten der Kunden speichert GMO nach eigenen Angaben nicht auf den Servern.

Ab dem 21. Oktober meldeten Kunden Trades, die sie nicht zuordnen konnten. Der Broker OANDA Japan bestätigte, dass ein Dritter sich auf Konten einiger seiner Kunden eingeloggt und gehandelt hat – mit ID-Passwort-Paaren, die nach seiner Einschätzung von den GMO-Servern stammen. OANDA Japan hat den Handel auf möglicherweise betroffenen Konten eingeschränkt und hatte mit Stand 26. Oktober keinen Einbruch und kein Leck in den eigenen Kernsystemen festgestellt. Der Broker FXTF warnte am 22. Oktober, Dritte könnten die Zugangsdaten einiger Kunden gestohlen haben, die VPS-Server nutzen; der Angriff habe sich nach seiner Einschätzung gegen die VPS-Server eines anderen Unternehmens gerichtet. Möglicherweise seien die Zugangsdaten auch zum Einloggen und Handeln genutzt worden. Kunden, die sich mit Desktop Cloud verbunden hatten, solle ihr FXTF-Passwort von einem Gerät aus ändern, das nie mit dem Dienst verbunden war.

In einer Börsenmitteilung vom 28. Oktober erklärte GMO Internet Group, man habe noch nicht bestätigt, wie viele Kunden die Entschädigungen umfassen, wie viele Informationen veröffentlicht wurden und welche Trades entschädigungsfähig sind. Auswirkungen auf andere Dienste des Konzerns wurden bislang nicht bestätigt.

Die Angreifer drohten laut GMO damit, Kundenkonten bei mehr als 70 Wertpapier- und FX-Firmen weiter zu manipulieren, Informationen über den Dienst und über die PCs der Kunden zu veröffentlichen, diese PCs mit Ransomware anzugreifen und Details zu GMOs Systemen offenzulegen. Als Termin für die Veröffentlichung von Kundendaten und den Ransomware-Angriff setzten sie den 27. Oktober, 12 Uhr. Bis 13:55 Uhr japanischer Zeit an jenem Tag war kein Ransomware-Angriff bestätigt.

Am 27. Oktober stellten die Angreifer auf ihrer Website Material ein, das nach ihren Angaben Informationen über GMO und dessen Kunden enthält; es handelte sich dabei um das, was die Täter als persönliche Daten eines Kunden bezeichneten. GMO prüfte das Material noch am selben Tag. Die Domain der Website samt Spiegelseiten wurde am 28. Oktober gegen 4 Uhr japanischer Zeit abgeschaltet; gegen etwaige neue Seiten will GMO ebenfalls vorgehen. Nach Angaben von GMO sammelten die Angreifer Informationen über alle Besucher ihrer Seite; Betroffenen wird ein vollständiger Virenscan empfohlen. GMO bittet darum, die Seite oder Nachfolgeseiten nicht aufzurufen und das Material weder zu verbreiten noch zu verlinken.

Wie die Angreifer eindrangen, hatte GMO bis zum 28. Oktober nicht mitgeteilt. Masatoshi Kumagai, Chef der GMO Internet Group, schrieb in einem Blogbeitrag vom 25. Oktober, die konzerneigenen White-Hat-Hacker hätten das für den Dienst zuständige Team vorab auf Probleme hingewiesen. Die Reaktion sei weder schnell noch gründlich genug gewesen, und die Angreifer hätten diese Lücke ausgenutzt. Auf ihrer Website behaupteten die Täter, ein einziges Administratorkonto sei auf allen Servern genutzt worden und die Laufwerke der Kunden-PCs seien beim Verbinden standardmäßig von den Servern aus sichtbar gewesen. Zudem gaben sie an, über eine Schwachstelle im Dienst die PCs der Kunden erreicht zu haben. GMO hat diese Behauptungen bislang nicht öffentlich bestätigt. Bis zum 26. Oktober hatte das Unternehmen PCs von Kunden eingesammelt, die sie zur Analyse angeboten hatten; mit Stand 11:59 Uhr japanischer Zeit am 27. Oktober wurde auf den bereits untersuchten Geräten keine Schadsoftware einschließlich Ransomware gefunden. Das bestätigt nicht die Sicherheit jedes Kundengeräts, die Analyse dauert an.

Kunden von Desktop Cloud empfiehlt GMO folgende Schritte:

  • Passwörter für Handelskonten und Handelssoftware von einem Gerät aus ändern, das nicht für den FX-Handel genutzt wird, etwa einem Smartphone
  • alle angemeldeten Sitzungen beenden, notfalls über den Broker, auch nach einem Passwortwechsel
  • Handelshistorie und Kontostände prüfen und unbekannte Trades zuerst dem Broker melden
  • Zwei-Faktor-Authentifizierung aktivieren, sofern der Broker sie anbietet
  • Passwörter ändern, die auf anderen Diensten wiederverwendet oder im Browser gespeichert wurden
  • vollständigen Virenscan auf den genutzten Geräten durchführen und Daten sichern
  • nicht auf Nachrichten angeblicher Täter antworten und deren Links oder Dateien nicht öffnen
  • Angebote ignorieren, verlorenes Geld gegen Gebühr zurückzuholen; GMO fragt nie nach Passwort oder Authentifizierungscode

GMO Internet zahlt jedem aktuellen Nutzer 5.000 Yen und übernimmt tatsächliche Handelsverluste und Gebühren aus Trades, die es als unautorisiert und durch den Einbruch verursacht bestätigt. Kunden, deren Informationen nachweislich veröffentlicht wurden, erhalten zusätzlich 10.000 bis 25.000 Yen je offengelegter Informationsart. Der Dienst wird auf den kompromittierten Systemen in ihrem jetzigen Zustand nicht wieder in Betrieb genommen. Kunden, die einen Windows-Desktop benötigen, wird ein Wechsel zu einem separaten Dienst angeboten – sechs Monate kostenlos und nur mit ihrer Zustimmung; Einzelheiten sollen bis zum 30. Oktober vorliegen.