日本 GMO 公司拒付勒索金后，悬赏100万美元征集攻击者线索

Rhinoer
Rhinoer

犀牛安全

2026年11月6日 00:08
北京

去阅读

日本 GMO Internet Group拒绝支付勒索金后，悬赏总额高达 100 万美元，征集能够帮助抓获入侵其 Onamae.com 桌面云服务的攻击者的线索。

该奖励计划于10月28日启动，只有当提供的线索有助于逮捕嫌疑人或发布国际通缉令时才会支付奖励。该服务托管用于外汇交易的Windows桌面电脑，一家经纪商已将部分客户账户上的未经授权交易与从该服务泄露的登录信息联系起来。

GMO公司称，攻击者窃取了客户信息。10月21日，该公司收到一封来自其认为是此次攻击实施者的勒索信，信中索要约5000万美元（约合80亿日元）。勒索者还威胁要冻结其客户的交易账户和数据。

10月27日，攻击者在其网站上发布了据称与GMO及其客户有关的信息。该网站及其镜像站点的域名于10月28日凌晨4点左右（日本时间）被关闭，GMO计划对任何新出现的类似网站采取行动。

奖励机制如何运作

GMO互联网集团负责运营并支付名为“GMO网络犯罪赏金计划”的费用。举报信息可通过电子邮件发送至专门网站上列出的邮箱地址，支持日语、英语和中文，且可匿名。该计划持续开放，直至嫌疑人被捕、发布国际通缉令或2027年10月27日（以先到者为准）。

GMO希望获得能够将个人、服务器、域名、IP地址、账户或加密货币地址与攻击、勒索或资金转移联系起来的信息，以及犯罪实施过程的证据。猜测、未经证实的指控和转发的公开信息通常不符合要求。

只有当举报信息促成逮捕（包括日本境外警方的逮捕）或导致国际通缉令（例如国际刑警组织红色通缉令）发布时，举报人才可获得奖励。GMO 会根据举报信息的具体贡献来决定奖励金额，举报人可获得全部 100 万美元奖励，也可与他人平分。举报人必须在获得奖励前验证身份，如果举报信息不符合奖励条件，则不予支付奖励。

有些人不能收受报酬，包括所有参与犯罪的人、所有非法获取信息的人（例如通过购买泄露数据），以及GMO的员工。GMO告知举报人不要入侵系统、与攻击者谈判或向其支付报酬，也不要发送泄露的数据、凭证或恶意软件。

如有需要，我们会将线索分享给日本国内外的警方和其他相关部门。GMO已将所有与威胁相关的证据，包括通信记录，提交给了警方。

GMO 绝不会向举报人索要密码、验证码或费用，并且只会从以 @cybercrimebounty.gmo 结尾的地址向他们发送邮件。

数据泄露和交易账户

运营该服务的子公司GMO Internet于10月20日发现，第三方在部分客户的服务器上安装了恶意程序。该公司于10月21日起关闭了所有套餐的服务器。据统计，可能有26,739台服务器受到影响，但这并非已确认的入侵或数据窃取事件的数量。

10 月 24 日，GMO表示已确认该服务系统存在安全问题，未经授权访问该服务，并且公司客户信息被泄露。

任何存储在服务器上的客户信息都可能已被查看，包括在MetaTrader 4和5（MT4/MT5）等交易软件中保存的登录凭证。GMO不会在服务器上保存客户的支付卡数据。

10月21日，客户开始报告出现无法识别的交易。经纪商OANDA Japan证实，第三方使用其部分客户账户登录并进行了交易，该公司认为泄露的ID和密码是从GMO服务器泄露的。OANDA Japan已限制可能受影响账户的交易，截至10月26日，该公司尚未发现其核心系统遭到入侵或泄露。

另一家经纪商FXTF于10月22日发出警告，称第三方可能窃取了部分使用VPS服务器客户的登录信息。FXTF认为此次攻击的目标是另一家公司的VPS服务器。窃取者可能还利用这些登录信息进行了交易。FXTF告知已连接到桌面云服务的客户，使用从未连接过该服务的设备更改其FXTF密码。

GMO Internet Group在10月28日提交给证券交易所的文件中表示，尚未确认赔偿范围涵盖多少客户、泄露的信息量以及哪些交易符合赔偿条件。该公司也未确认此次数据泄露对其其他服务是否造成影响。

威胁与泄密

GMO 表示，攻击者威胁要继续操纵 70 多家证券和外汇公司的客户账户，公布有关该服务和客户电脑的信息，用勒索软件攻击这些电脑，并公布 GMO 系统的详细信息。

他们定于10月27日中午发布客户信息并发起勒索软件攻击。截至当天日本时间下午1点55分，尚未确认发生勒索软件攻击。

据ITmedia NEWS当天下午报道，攻击者在10月27日发布的内容被他们称为一位客户的个人信息。GMO当天正在核实这些信息。

据GMO称，攻击者收集了所有访问过该网站的用户的信息，GMO建议访问者进行全面的防病毒扫描。GMO还呼吁人们不要访问该网站或任何新网站，也不要转发或链接到该网站的内容。

攻击者是如何入侵的

截至10月28日，GMO公司尚未说明攻击者是如何进入公司的。

GMO Internet Group 的负责人熊谷正俊在10 月 25 日的一篇博客文章中写道，该组织自己的白帽黑客曾提前警告运营该服务的团队存在问题。

他写道，应对措施既不够迅速也不够彻底，攻击者利用了这一漏洞。

据 ITmedia NEWS 报道，攻击者在其网站上声称，所有服务器共享一个管理员帐户，并且默认情况下，当客户连接服务器时，客户的 PC 驱动器是可见的。

他们还声称利用服务漏洞入侵了客户的电脑。GMO公司也未公开证实这些说法。

截至10月26日，GMO已收集了客户提供的电脑进行分析。截至10月27日日本时间上午11:59，GMO在已完成检测的电脑中未发现任何恶意软件，包括勒索软件。但这并不意味着所有客户的设备都安全，分析仍在进行中。

顾客应该怎么做

GMO已告知桌面云客户采取以下步骤：

• 使用非外汇交易设备（例如手机）更改交易账户和交易软件密码。
• 即使更改密码，也应通过代理（如有必要）结束所有已登录会话。
• 检查交易历史记录和余额，并将未识别的交易首先报告给经纪商。
• 如果经纪商提供双因素身份验证，请启用该功能。
• 更改在其他服务中重复使用的密码或保存在浏览器中的密码。
• 对用于连接的设备进行全面防病毒扫描，并备份数据。
• 不要回复任何声称自己是幕后黑手的人发来的信息，也不要打开他们的链接或文件。
• 请勿支付任何费用以追回损失款项的提议。GMO绝不会索要密码或验证码。

GMO Internet将向每位现有用户支付5000日元，并承担经确认因数据泄露而导致的未经授权交易的实际损失和手续费。对于信息被泄露的客户，GMO Internet还将根据泄露信息的种类，分别向每位泄露信息的客户支付10000日元至25000日元的赔偿。

GMO不会按原样重启已遭入侵系统上的服务。需要Windows桌面系统的用户将被提供迁移到独立服务的方案，该方案可免费使用六个月，但需征得用户同意，具体细节需在10月30日前确定。

信息来源：TheHackerNews