GMO 拒付贖金 黑客正午起逐日公開客戶資料

GMO 期限前籲用戶斷網關機 黑客其後公開首名客戶資料

GMO 互聯網集團 10 月 27 日要求旗下外匯雲端服務「お名前.com デスクトップクラウド」的用戶，在日本時間中午、即香港時間上午 11 時前備份資料、切斷網絡、關掉電腦，並拔走所有連接電腦的電線。據《讀賣新聞》報道，期限一過，攻擊者以 GMO 沒有回應談判為由，在一個日文網站公開一名疑似客戶的個人資料，包括姓名及電話號碼，並稱之後每日中午會再順序公開。資料真偽暫未獲證實。

攻擊者預告正午公開資料並發動勒索軟件攻擊

GMO 在香港時間 10 月 26 日晚上 10 時 10 分發出的第 7 份事故報告承認，收到疑似攻擊者的預告，指會在 10 月 27 日中午公開客戶資料，並向用戶電腦發動勒索軟件攻擊。勒索軟件即把電腦檔案加密、要求付款才解鎖的惡意程式。據《讀賣新聞》報道，攻擊者要求 GMO 在期限前支付 100 萬美元，約 1.6 億日圓，否則就會下手。

GMO 在公告中重申，「本公司不會回應攻擊者的要求」。公司又要求用戶先為電腦做全面病毒掃描，並提醒公司絕不會查問密碼或認證碼，聲稱可以「追回損失」並要求付款的聯絡一律不要理會。

GMO 稱已分析的電腦暫未發現惡意程式

GMO 在香港時間上午 10 時 52 分、即期限前約一小時發出第 9 份報告，指白帽黑客團隊正逐部分析用戶交回的電腦，已完成分析的電腦暫未發現包括勒索軟件在內的惡意程式。惟公司強調，這不代表所有用戶的電腦都已確認安全，仍有電腦陸續送到。GMO 表示，若用戶電腦真的被勒索軟件加密，公司核實損失後會提供同等性能的替代電腦，趨勢科技等資安公司及 AI 公司亦已提出協助。

攻擊者稱每日中午再公開 直至 GMO 接受要求

據《讀賣新聞》報道，攻擊者在新聲明中表示，GMO 若接受要求就會立即停止行動，否則每日中午都會順序公開個人資料，惟涉及人數及實際公開的總量都未有其他資料佐證。資安新聞網站セキュリティ対策Lab 報道，攻擊者新增的頁面以一名個人的姓名為標題，命名為「被害者 第 1 號」。該網站又指，新聲明本身不足以證明勒索軟件攻擊已經得手。

事件由外匯帳戶被盜用開始

翻查資料，GMO 這項服務向外匯交易員出租 Windows 雲端伺服器，供他們全天候運行自動交易軟件，GMO 早前指最多 26,739 部伺服器可能受影響。客戶由 10 月 21 日起陸續報告帳戶出現並非自己落的交易，GMO 其後拒絕付款並要求日本政府首次動用主動網絡防禦權力。GMO 會長熊谷正壽 10 月 26 日披露，攻擊者最初要求以比特幣或以太幣支付 5,000 萬美元，約 79 億日圓；首相高市早苗同日召開首次網絡安全閣僚會議，下令下星期內推出緊急對策。

來源

• 「お名前.com デスクトップクラウド」への不正アクセスに関する現在の対応について（第9報）（原始文件）
• ＧＭＯの不正アクセス、攻撃者が個人情報１件を公開か（讀賣新聞）
• GMO「10月27日正午までにPCの電源を切る」よう利用者に要請（ITmedia）