Japon GMO, FX İşlemleri Bulut Sızıntısının Arkasındaki Saldırganları Yakalamak İçin 1 Milyon Dolar Ödül Vadediyor.

Gorsel Kaynagi: The Hacker News

Japan’ın GMO Internet Group, tehditkar talebini reddettikten sonra, bulut hizmetine sızan saldıranların yakalanmasına yardımcı olacak ipuçları için toplamda 1 milyon dolar’a kadar ödül sunuyor.

Ödül programı 28 Ekim’de başladı ve yalnızca bir ipucu bir tutuklama veya uluslararası aramaya yol açıyorsa ödeme yapılıyor. Hizmet, FX ticareti için kullanılan Windows masaüstü bilgisayarlara ev sahipliği yapıyor ve bir aracı, müşterilerinin bazı hesaplarındaki yetkisiz işlemleri hizmetten sızan girişlerle ilişkilendirdi.

GMO, saldıranların müşteri bilgilerini aldığını söylüyor. 21 Ekim’de saldırıyı gerçekleştirdiğini inandığı kişilerden yaklaşık 50 milyon dolar (yaklaşık 8 milyar yen) talep aldı. Ayrıca müşterilerinin ticaret hesaplarını ve verilerini tehdit ettiler.

27 Ekim’de saldıranlar, web sitelerinde GMO ve müşterileri hakkında bilgi olduğunu söyledikleri materyali yayımladı. Sitenin alan adı, yansıtıcı siteleri de dahil olmak üzere 28 Ekim’de saat 04.00 sıralarında (Japonya zamanı) kapatıldı ve GMO, yeni herhangi bir siteye karşı hareket etmeyi planlıyor.

Ödül Nasıl Çalışıyor

GMO Internet Group, GMO Cybercrime Bounty adlı programı işletiyor ve ödüyor. İpuçları, özel bir web sitesinde listelenen bir e-posta adresine, Japonca, İngilizce veya Çince olarak gönderiliyor ve anonim olabiliyor. Program, bir tutuklama, uluslararası arama veya 27 Ekim 2027 tarihlerinden hangisi önce olursa olsun, o tarihe kadar açık.

GMO, saldırı, tehdit veya para hareketiyle kişiler, sunucular, alan adları, IP adresleri, hesaplar veya kripto para adreslerini birbirine bağlayan bilgiler ile suçların nasıl işlendiğine dair kanıt istiyor. Tahminler, desteklenmeyen iddialar ve kamu bilgilerinin yeniden paylaşımı genellikle geçerli sayılmıyor.

Bir ipucu, Japonya dışındaki bir polise ait tutuklama dahil bir tutuklama veya Interpol Kırmızı Arama gibi bir uluslararası aramaya yol açıyorsa para kazanıyor. GMO, her ipucunun ne kadar yardımcı olduğunu kararlaştırıyor ve bir ipucu veren tüm 1 milyon doları alabilir veya toplam bölünebilir. İpucu verenlerin ödeme almadan önce kimliklerini kanıtlamaları gerekiyor ve hiçbir ipucu geçerli değilse ödeme yapılmıyor.

Ödül alabilecek kişiler dışında, suça karışanlar, sızdırılan verilere erişenler (örneğin sızdırılan verileri satın alanlar) ve GMO personeli gibi bazı kişiler ödül alamaz. GMO ihbarçılara sistemlere sızmamaları, saldıranlarla görüşmemesi veya ödeme yapmamaları, sızdırılan verileri, kimlik bilgilerini veya kötü amaçlı yazılımları göndermemeleri konusunda uyarıyor.

İmarlar, gerektiğinde Japon ve yabancı polis ile diğer makamlarla paylaşılıyor. GMO, iletişim kayıtları da dahil olmak üzere tehditlerle ilgili tüm delillerini zaten polise teslim etti.

GMO, ihbarçlardan asla şifre, kimlik doğrulama kodu veya ücret istemiyor ve yalnızca @cybercrimebounty.gmo ile biten adreslerden onlara yazıyor.

Sızma ve İşlem Hesapları

Hizmeti işleten yan kuruluş GMO Internet, 20 Ekim’de üçüncü bir tarafın bazı müşterilerin sunucularına kötü amaçlı yazılım kurduğunu tespit etti. 21 Ekim’den itibaren tüm paketlerdeki sunucuları kapattı. Etkilenmesi muhtemel 26.739 sunucudan söz ediyor; bu, doğrulanmış sızma veya veri hırsızlığı sayısı değil.

24 Ekim’de GMO, hizmetin sistemlerinde bir güvenlik açığı, hizmete izinsiz erişim ve şirketin müşterilerinden bilgi sızdırıldığı doğrulandıığını belirtti.

Müşterilerin sunuculara kaydettiği her şey görüntülenmiş olabilir; bu, MetaTrader 4 ve 5 (MT4/MT5) gibi yazılımlarda kaydedilen giriş kimlik bilgilerini de içeriyor. GMO, müşterilerin ödeme kartı bilgilerini sunucularda saklamıyor.

Müşteriler 21 Ekim’den itibaren tanımıadıkları işlemleri bildirmeye başladı. Bir aracı olan OANDA Japan, üçüncü bir tarafın GMO sunucularından sızdırıldığına inanılan kimlik ve şifre çiftlerini kullanarak bazı müşterilerinin hesaplarına giriş yapıp işlem yaptığını doğruladı. Etkilenmesi muhtemel hesaplardaki işlemleri kısıtladı ve 26 Ekim itibarıyla kendi temel sistemlerinde bir sızma veya sızdırma tespit etmedi.

Farklı bir aracı kurum olan FXTF, 22 Ekim tarihinde, VPS sunucularını kullanan bazı müşterilerin giriş bilgilerinin, başka bir şirketin VPS sunucularına yönelik bir saldırı sırasında üçüncü taraflarca çalınmış olabileceğini öne sürerek uyardı. Saldırganlar bu giriş bilgilerini kullanarak giriş yapmış ve işlem gerçekleştirmiş olabilir. Şirket, Desktop Cloud’a bağlanan müşterilere, FXTF şifrelerini daha önce hiç bağlanmadığı bir cihazdan değiştirmelerini iletti.

GMO Internet Group, 28 Ekim tarihinde borsa açıklamasında, ödemelerinin kaç müşteriyi kapsayacağını, ne kadar bilginin yayıldığını ya da hangi işlemlerin tazminata uygun olduğunu henüz doğrulamadığını belirtti. Sızıntının diğer hizmetlerindeki etkisini de teyit etmedi.

Saldırılar ve Sızıntı

GMO, saldırganların 70’i aşak menkul kıymet ve FX şirketindeki hesapları manipüle etmeye, hizmet ve müşteri bilgisini yaymaya, bu bilgisayarlara ransomware (fidye yazılımı) sıfırlamaya ve GMO sistemlerinin ayrıntılarını yaymaya tehdit ettiğini belirtti.

Saldırganlar, müşteri bilgisinin yayılması ve ransomware saldırısının başlatılması için 27 Ekim saat 12:00’yi belirledi. O gün saat 13:55 itibarıyla herhangi bir ransomware saldırısı teyit edilmedi.

27 Ekim tarihinde paylaşılan malzemenin, saldıranların bir müşterinin kişisel bilgisi olarak nitelendirdiği şey olduğu, ITmedia NEWS’in o öğleden sonra aktardığı gibi bildirildi. GMO, o gün bu konuyu inceliyordu.

Saldırganların, sitelerine erişen herkes hakkında bilgi topladığı, GMO’ya göre ziyaretçilerin tam bir antivirüs taraması çalıştırması isteniyor. Siteye ya da yeni açılan herhangi bir siteye gidilmemesi ve paylaşılan malzemenin tekrar paylaşılması ya da bağlantı verilmemesi isteniyor.

Saldıranlar Nasıl Girdi

28 Ekim itibarıyla GMO, saldıranların nasıl girdiğini açıklamadı.

GMO Internet Group’u yöneten Masatoshi Kumagai, 25 Ekim tarihli bir blog yazısında, grubun kendi beyaz şaplı (etik) hackerlarının, hizmeti yöneten ekibi önceden yaşanan sorunlar konusunda uyardığını yazdı.

Yanıtın ne kadar hızlı ne de yeterince kapsamlı olmadığı, böylece saldıranların açığa çıkaran boşluktan yararlandığı yazıldı.

Web sitelerinde, saldırganların tüm sunucular üzerinde paylaşılan bir yönetici hesabı kullandığını ve müşterilerin bilgisayar disklerinin sunuculardan varsayılan olarak görülebilir olduğunu iddia ettiğini, ITmedia NEWS aktardı.

ayrıca müşterilerin kendi bilgisayarlarına ulaşmak için hizmetteki bir açığı kullandıklarını da iddia ettiler. GMO bu iddiaları halka açık biçimde teyit etmedi.

26 Ekim’e kadar GMO, analiz için kendilerini sunan müşterilerin bilgisayarlarını topladı; 27 Ekim’de saat 11:59 Japonya zamanına göre, incelemesini tamamladığı bilgisayarlarda fidye yazılımı dahil herhangi bir kötü amaçlı yazılım bulamadı. Bu, her müşterinin cihazının güvenli olduğunu kanıtlamaz ve analiz hâlâ sürüyor.

Müşterilerin Yapması Gerekenler

GMO, Desktop Cloud müşterilerine şu adımları atmalarını söyledi:

• Ticaret hesabı ve ticaret yazılımı parolalarını, telefon gibi FX ticareti için kullanılmayan bir cihazdan değiştirin.
• Parolayı değiştirdikten sonra da, gerekiyorsa aracı üzerinden oturum açılan her oturumu kapatın.
• Ticaret geçmişini ve bakiyeleri kontrol edin ve tanınmayan işlemleri önce aracıya bildirin.
• Aracının sunduğu yerlerde iki faktörlü doğrulamayı açın.
• Diğer hizmetlerde tekrarlanan veya tarayıcıda kaydedilen paroları değiştirin.
• Bağlantı kurulan cihazlarda tam bir antivirüs taraması yapın ve verileri yedekleyin.
• Saldırgan olduğunu iddia eden herhangi biriyle mesajlaşmayın ya da bağlantılarını ya da dosyalarını açmayın.
• Ücret karşılığında kaybedilen parayı geri alma tekliflerini görmezden gelin. GMO asla bir parola ya da doğrulama kodu istemeyecek.

GMO Internet, geçerli her kullanıcıya 5.000 yen ödeyecek ve ihlalden kaynaklandığını teyit ettiği izinsiz işlemlerden doğan gerçek kayıpları ve ücretleri karşılayacak. Bilgilerinin yayıldığını teyit ettiği müşterilere ise açığa çıkan her bilgi türü için 10.000 ile 25.000 yen arasında bir tutar ödenecek.

GMO, ihlale uğrayan sistemlerde hizmeti aynı şekilde yeniden başlatmayacak. Windows masaüstü isteyenlere, altı aylığına ücretsiz ve yalnızca onların onayıyla ayrı bir hizmete geçiş teklif edilecek; ayrıntılar 30 Ekim’e kadar açıklanacak.