Acceso no autorizado a VPS de trading automático FX de GMO: hasta 26.739 servidores afectados; se reportan visualización de contraseñas y operaciones no autorizadas en cuentas

Según la comunicación pública de GMOインターネット, la investigación interna se inició a raíz de una consulta de un cliente recibida el 19 de octubre, y el 20 de octubre se confirmó que en el entorno de servidor de algunos usuarios se había instalado un programa malicioso por parte de terceros. Para evitar la expansión del daño, desde las 4:00 del 21 de octubre se fue deteniendo progresivamente el servicio en todos los planes y también se suspendió la aceptación de nuevas contrataciones. En el segundo informe del 22 de octubre se reveló que el número de servidores que podrían estar afectados alcanza los 26.739 (todos los planes).

El problema radica en que este servicio se usaba ampliamente como entorno de ejecución para trading automático de FX (herramientas de trading como MT4 y MT5). Es posible que las informaciones de inicio de sesión y las contraseñas de cuentas de brókers y compañías de FX almacenadas en los servidores hayan sido visualizadas y utilizadas indebidamente por terceros. De hecho, desde el 21 de octubre se han recibido informes de usuarios que aseguran haber visto operaciones desconocidas en sus cuentas, según han informado varios medios, entre ellos Asahi Shimbun. En redes sociales como X (antes Twitter) también han proliferado las voces que denuncian daños; será necesario esperar a las investigaciones para conocer el alcance real de las pérdidas. La empresa consultó a la Policía Metropolitana y, junto con una compañía especializada en seguridad, está investigando la vía de intrusión y el alcance del impacto.

La compañía ha pedido a los usuarios que: (1) desde terminales distintos a los servidores afectados cambien urgentemente las contraseñas de las herramientas de trading y de las cuentas de brókers/compañías de FX y cierren la sesión de las cuentas correspondientes; (2) comprueben saldos e historial de operaciones y, si detectan transacciones desconocidas, contacten con el bróker o la entidad financiera que utilizan; (3) activen la autenticación de dos factores; y (4) cambien otras ID y contraseñas que tuvieran guardadas en el servidor o que estuvieran reutilizando. La empresa afirma que en los servidores afectados no se almacenaba información de tarjetas de crédito. También advierte sobre correos de phishing y sitios falsos que puedan aprovechar el incidente, y subraya que no solicitará contraseñas ni datos de tarjeta por teléfono o correo electrónico.

NHK ha informado que expertos consideran que los ataques cibernéticos están empezando a dirigirse también a instituciones financieras como brókers. Además, en la misma quincena del mes el grupo GMO sufrió otro incidente: se informó que un acceso no autorizado al sitio de encuestas “infoQ” de GMO Research & AI provocó la filtración de datos de alrededor de 948.000 miembros, por lo que se exige un refuerzo de las medidas en todo el grupo. No se ha fijado la fecha de reanudación de los servidores; se anunciará una vez que se confirme la seguridad.