← Все новости

Безопасность ·

Взлом Onamae Desktop Cloud: вредонос мог попасть на 26 739 серверов, сервис отключёнOnamae Desktop Cloud hacked: malware may be on 26,739 servers, service shut down

Японский VPS-сервис GMO Internet для автоматической торговли на Форекс подвергся взлому: злоумышленник установил вредоносные программы в клиентские окружения. С 21 октября все серверы поэтапно выключены, дата восстановления не названа.GMO Internet's Japanese VPS service for automated forex trading was breached, with an attacker installing malware in customer environments. All servers have been shut down in stages since October 21, with no restart date given.

Onamae.com Desktop Cloud — VPS-сервис японской GMO Internet, одного из крупнейших регистраторов доменов в стране. Он рассчитан в первую очередь на круглосуточный запуск торговых терминалов MetaTrader 4 и 5.

Что произошло

  • 20 октября компания подтвердила, что посторонний получил доступ к её системам и установил «вредоносные программы» в часть клиентских окружений.
  • 21 октября в 4:00 по местному времени началось поэтапное отключение клиентских серверов, причём на всех тарифах, а не только там, где нашли вредонос. Сроков восстановления нет.
  • Потенциально затронуто до 26 739 серверов — это верхняя оценка, а не число подтверждённых заражений.

Риски для клиентов

GMO не подтверждает утечку персональных данных, а платёжные данные хранятся на отдельной инфраструктуре и, по словам компании, не пострадали. Но на самих серверах клиенты держали логины к торговым счетам и другие секреты, и именно они в зоне риска. Как именно атакующий проник в систему и что за вредонос использовался, пока не раскрыто.

Рекомендации

  • Сменить пароли, хранившиеся на серверах, — с устройства вне сервиса.
  • Проверить историю операций и балансы торговых счетов, включить двухфакторную аутентификацию у брокера.
  • Остерегаться фишинга: компания не запрашивает пароли и данные карт по почте или телефону.

Onamae.com Desktop Cloud is a VPS service from Japan’s GMO Internet, one of the country’s largest domain registrars. It is mainly marketed for running MetaTrader 4 and 5 trading terminals around the clock.

What happened

  • On October 20 the company confirmed that an unauthorized party had accessed its systems and installed “malicious programs” in some customer environments.
  • At 4:00 a.m. local time on October 21 it began shutting down customer servers in stages, across all plans, not just those where malware was found. There is no restart date.
  • Up to 26,739 servers may be affected — an upper bound, not a count of confirmed infections.

Risks for customers

GMO has not confirmed any personal data leak, and payment data sits on separate infrastructure that the company says was not affected. But customers kept trading account logins and other secrets on the servers themselves, and those are what is at risk. How the attacker got in and which malware was used have not been disclosed.

Recommendations

  • Change any passwords stored on the servers — from a device outside the service.
  • Check trading account history and balances and enable two-factor authentication with your broker.
  • Watch for phishing: the company does not ask for passwords or card details by email or phone.

Источники