El hackeo a GMO dejó una frase incómoda en Tokio: el servicio Onamae.com Desktop Cloud ya tenía un aviso de seguridad desde abril de 2024 y nadie con mando lo recibió a tiempo. Masatoshi Kumagai, fundador y director del grupo japonés, lo admitió este lunes 2 de noviembre en su primera rueda de prensa desde el inicio del caso, con la voz quebrada en varios tramos.
Quien avisó no fue un consultor externo. Fue GMO Cybersecurity by Ierae, la propia filial de seguridad del grupo, y su informe pedía una revisión de fondo del sistema, de acuerdo con lo publicado por Nikkei. Ese papel explica por qué el ataque encontró la puerta tan blanda.
Un aviso de 2024 que se quedó en un cajón
Entre abril y mayo de 2024 hubo cuatro rondas de mantenimiento de emergencia sobre el servicio. El problema de fondo quedó intacto, admitió Kumagai, porque el informe de Ierae nunca subió a la dirección: las reglas internas de reporte lo frenaron en el camino. «No supimos aprovecharlo para operar el servicio», dijo el fundador, en declaraciones que difundieron Nikkei e Impress Watch.
Onamae.com Desktop Cloud alquila servidores Windows que corren MetaTrader, el programa de operación en divisas más usado por el público minorista, encendidos las 24 horas para que las operaciones automáticas de cada cliente sigan trabajando con su computadora apagada.
26.739 servidores apagados y cuentas operadas por extraños
La intrusión salió a la luz el 20 de octubre, cuando la empresa halló programas maliciosos en servidores de clientes tras la consulta de uno de ellos. A las 04:00 del 21 de octubre, GMO apagó todos los planes del servicio, sin fecha de regreso. La cifra que la propia compañía puso sobre la mesa: hasta 26.739 servidores pudieron quedar expuestos.
El daño no se quedó en los archivos. Las claves de acceso a las herramientas de operación guardadas en esos servidores pudieron ser vistas por terceros, informó GMO el 22 de octubre, y clientes empezaron a denunciar operaciones en divisas que nunca ordenaron. Las casas OANDA Japan y FXTF confirmaron movimientos ajenos en cuentas de clientes.
Con las claves en la mano, el intruso no fuerza ninguna puerta: entra como si fuera el dueño y opera a su nombre. Es el mismo patrón descrito en el robo de credenciales que permite intrusiones difíciles de detectar en las empresas, donde la señal de alarma llega tarde porque cada acceso parece legítimo.
El 24 de octubre la empresa admitió un fallo de seguridad en su propio sistema y que información de clientes salió de su entorno. Los atacantes exigieron unos US$50 millones, con amenazas de seguir operando cuentas de más de 70 firmas, publicar los datos y lanzar un ataque de ransomware (el programa que cifra archivos por un rescate). GMO se negó a pagar y entregó los mensajes a la unidad de delitos informáticos de la policía.
Vencido el plazo del 27 de octubre, los atacantes empezaron a publicar lo que presentan como datos de la compañía y de sus clientes. La empresa respondió con una recompensa de US$1 millón por datos para identificarlos, y con pagos extra de 10.000 a 25.000 yenes por categoría de datos publicada.
La rueda de prensa del lunes trajo la primera factura interna. La junta aprobó recortes de sueldo por tres meses desde el pago de diciembre: 30 % para Kumagai, 25 % para Tadashi Ito, presidente de la filial que opera el servicio, y 20 % para Hirofumi Yamashita y Kimihiro Kodama, dos directivos de esa misma filial. El parte a la bolsa aclara que las responsabilidades se revisarán otra vez cuando se confirme cómo entraron los atacantes.
Para los clientes, el grupo mantiene el pago fijo de 5.000 yenes (unos US$31) por usuario y devolver las pérdidas ya realizadas en operaciones que se confirmen ajenas; las oscilaciones del mercado quedan fuera. El servicio no volverá sobre la infraestructura atacada: quien quiera seguir recibirá un reemplazo en una plataforma en la nube independiente, gratis por seis meses. El coste total sigue sin cifra: el parte bursátil del miércoles pasado admite que todavía no se puede calcular.
Qué revisar si alquilas un servidor para operar
La lección práctica toca a quien deja un programa de operación corriendo en un servidor alquilado, práctica común entre operadores de divisas de América Latina. GMO pidió a sus clientes cambiar las contraseñas desde otro aparato, nunca desde el servidor afectado, y cerrar las sesiones abiertas. Guardar la clave dentro de la misma máquina que la usa deja todo en un solo punto: si esa máquina cae, caen la clave, la sesión y la cuenta.
Kumagai ató el caso al clima general de ataques con inteligencia artificial. «Antes, los ciberataques eran pistolas, ahora son ametralladoras», afirmó en la rueda de prensa, y sostuvo que los casos públicos «son la punta del iceberg», en la crónica de EFE. En su lectura, las filtraciones se repiten a diario empujadas por herramientas que bajan la barrera para atacar en masa.
Sobre la autoría, la empresa no quiso pronunciarse y alegó la investigación en curso. La agencia Kyodo reportó que varias direcciones IP usadas en el caso coinciden con direcciones vinculadas antes a un grupo norcoreano: una coincidencia de direcciones, no una atribución cerrada. El procedimiento para reclamar las pérdidas se publicará el viernes, y hasta ese día los servidores de Onamae.com Desktop Cloud siguen apagados.
Fuente: CoinSpectator
