GMO: vazamento confirmado, ransomware ainda é só ameaça

Corrigimos o registro em três pontos. O item guardava a manchete do BleepingComputer como nome da vítima, quando a organização é a GMO Internet e o serviço é o Onamae.com Desktop Cloud. O selo 'claimed/unverified' não se sustenta, porque a GMO confirmou a invasão, a exfiltração e o uso de credenciais. E o dia 27/10 não é a data do incidente, mas da escalada. A GMO foi alertada em 19/10, confirmou malware em 20/10 e desligou os servidores em 21/10.

O serviço é um VPS Windows usado sobretudo para automação de trading em FX. Os servidores guardam as credenciais de MT4/MT5 e de contas em corretoras, logadas de forma permanente. É isso que explica o dano: as operações fraudulentas partiram de logins roubados, em mais de 70 corretoras e empresas de FX, no Japão e no exterior, segundo a GMO. O BleepingComputer informa que a GMO diz que dados de pagamento não foram expostos. Não achei esse ponto em fonte primária, portanto trato-o como declaração da empresa não verificada por mim.

Quatro versões do que aconteceu estão misturadas na cobertura. O que a GMO admite: malware em ambientes de clientes, credenciais vistas, informação de clientes retirada, e vulnerabilidades que ela já conhecia. O que o regulador afirma: a FSA emitiu aviso de emergência a todo o setor de FX em 22/10, e há relatos de prejuízo de clientes em cinco corretoras japonesas. O que o ator alega: controle de cerca de 27 mil PCs, 17% de contas destruídas, ¥7,7 bilhões, backdoors persistentes, e que o RDP distribuído compartilhava os discos locais por padrão desde 2019, com todas as VMs sob um único Active Directory e senha de administrador comum. Esses números aparecem no site do atacante, e um blog que o analisou diz que não têm lastro e variam entre páginas. A GMO ainda não divulgou perda total. O que a evidência demonstra: logs de cópia de arquivos de seis PCs de clientes foram publicados (3.566 linhas, segundo um blog de segurança). Isso mostra que alguma saída de dados de PCs de clientes é plausível, mas não mede o alcance.

A distância entre alegação e confirmação é grande em dois pontos. No dinheiro, a GMO confirma US$ 50 milhões como a exigência original; o atacante diz ter baixado para US$ 1 milhão, e a GMO não confirmou. Em alcance, o único número oficial é 26.739 servidores que 'podem' ter sido afetados. Ele não é contagem de registros nem de vítimas, e a imprensa repete esse número como se fosse escala do vazamento. Registrei claimed_records e verified_records como nulos porque a unidade não é registro e nenhuma fonte A informou volume de titulares.

Sobre o ransomware: o título do BleepingComputer diz que a GMO 'urge' o desligamento diante da ameaça, o que é preciso. Mas o texto fala de payload 'plantado' nos servidores de clientes, e isso é o que o atacante afirma. A GMO pediu o desligamento por precaução. Às 11h59 a análise dos PCs recolhidos não achou malware, e às 13h55 não havia ataque confirmado. O pedido foi prudente, mas não prova que o ransomware existia. A divulgação de dados, ao contrário, foi confirmada como ocorrida, ainda que o conteúdo esteja em verificação.

O vetor inicial é a lacuna central. A GMO diz que a investigação continua. O que se sabe é que o próprio CEO reconheceu falha na resposta a fragilidades já apontadas pela equipe interna. O vetor técnico (gerenciamento central das VMs, drive redirection ativo) vem do atacante e de um comentário de pesquisador relayed em rede social. Pelo que li, analistas independentes o classificam como tecnicamente possível, mas não verificado.

Sobre IA: o CEO usa o incidente para falar de um 'ataque de saturação por IA' e citou o ARTEX. Mas a pesquisa da GMO Cybersecurity sobre o ARTEX trata de uma campanha contra cerca de 20 empresas japonesas. Segundo a cobertura que li, a invasão ao Desktop Cloud não foi atribuída ao ARTEX em nenhuma notificação. Quem se beneficia da narrativa? A GMO ganha ao enquadrar o caso como crise nacional e ao pedir a defesa cibernética ativa do governo, o que não prova que a conclusão técnica seja falsa. Trato o vínculo como não demonstrado. O ator é desconhecido: um e-mail a um cliente assinado 'HackingTeam' foi relatado por TBS e não é atribuição.

Os clientes são traders individuais que automatizam operações em FX com MT4/MT5 no VPS. Parte teve contas esvaziadas por operações não autorizadas; um relato da TBS cita um cliente que perdeu mais de ¥4 milhões em dois segundos. A GMO prometeu cobrir perdas comprovadas, pagar ¥5.000 por cliente e dar serviço alternativo por seis meses. Todos os planos estão desligados e o serviço não será retomado, segundo relato que li. Corretoras fora da GMO tiveram de derrubar sessões e bloquear acessos vindos do serviço. Os PCs domésticos que se conectaram ao serviço entram no risco por causa da ameaça, mas o número de máquinas realmente acessadas não foi divulgado. O prejuízo total não foi divulgado.