هجوم إلكتروني على GMO في اليابان: حسابات التداول تعرضت للتخريب، وGMO Coin تقول إنها لم تتأثر

روبوتات التداول تُستخدم ضد أصحابها. في اليابان، أكدت GMO إنترنت سرقة معلومات العملاء من خدمة "Onamae.com Desktop Cloud"، وهي خدمة خوادم افتراضية مستأجرة من قبل آلاف المتداولين في الفوركس لتشغيل MT4 وMT5. وتقول منصة التداول الخاصة بها GMO Coin إنها لم تلاحظ أي عمليات احتيالية على حساباتها الخاصة.

النقاط الرئيسية في هذه المقالة:

• أكدت GMO إنترنت سرقة معلومات العملاء من خدمتها "Onamae.com Desktop Cloud"، المستخدمة من قبل آلاف المتداولين في الفوركس.
• تم استثناء GMO Coin، منصة تبادل العملات المشفرة التابعة للمجموعة، من العمليات الاحتيالية لكنها نصحت مستخدميها باتخاذ تدابير أمان إضافية.
• بعد اكتشاف برامج ضارة على بعض الخوادم، رفضت GMO دفع فدية وطلبت تدخل الدولة لتطبيق الدفاع السيبراني النشط.

GMO Coin لم تتأثر لكنها حذرة

GMO Coin، منصة تبادل العملات المشفرة التابعة للمجموعة، أصدرت تحذيرًا في 23 أكتوبر. وأوضحت أنه لم يتم تأكيد أي عملية غير مصرح بها حتى الآن على حسابات عملائها.

ومع ذلك، تطلب المنصة من مستخدميها التحقق من تاريخ أوامرهم وأرصدة حساباتهم، وتفعيل مفتاح مرور وإشعارات تسجيل الدخول. والأهم من ذلك، تنصحهم بحذف مفاتيح API غير المستخدمة أو غير المعروفة. مفتاح API هو المفتاح الذي يسمح لبرنامج خارجي، مثل الروبوت، بتمرير الأوامر بدلاً منك.

لا تظهر العملات المستقرة التابعة للمجموعة في أي من التقارير الخمسة التي نشرتها GMO إنترنت. GYEN وZUSD، الصادرة عن GMO Trust في نيويورك، في كل الأحوال قيد التصفية. يمكن لحامليها استردادها بالقيمة الاسمية حتى 11 نوفمبر 2026، دون ارتباط معروف بالهجوم.

ما حدث على خوادم GMO

بدأ كل شيء برسالة من عميل في 19 أكتوبر. في اليوم التالي، اكتشفت GMO إنترنت برامج ضارة مثبتة على بعض الخوادم. في 21 أكتوبر الساعة 4 صباحًا، أوقف مزود الخدمة جميع العروض.

تداول الرقم 26,739 خادمًا بشكل كبير على X. وهو صحيح، لكنه يشير إلى الآلات المعرضة للخطر. توضح GMO أنه لا يتعلق بعدد الخوادم التي تم اختراقها فعليًا.

المشكلة تكمن في ما كانت تحتويه هذه الآلات. كان المتداولون يتركون برامجهم MT4 وMT5 تعمل باستمرار متصلة بوسطائهم، بما في ذلك معرفاتهم. ثم رأى بعض العملاء أوامر لم يقدموا عليها أبدًا. تذكر الصحافة اليابانية حالة شخص من كاناغاوا الذي فقد حوالي 4 ملايين ين في ثانيتين.

طلبت OANDA Japan وXMTrading وTitan FX وAXIORY وIronFX من عملائها تغيير كلمات المرور الخاصة بهم. اعتبارًا من 22 أكتوبر، طلبت وكالة الخدمات المالية (FSA) من وسطاء الفوركس، عبر جمعيتهم المهنية، مراقبة المعاملات غير العادية.

الفدية المرفوضة وطلب الدولة

التقرير الرابع من GMO، بتاريخ 24 أكتوبر، يؤكد أن معلومات العملاء قد تم استخراجها. لا توضح الشركة أي منها. كما تكشف أنها تلقت طلب فدية، لم يتم الكشف عن قيمته.

تم تفصيل التهديدات في البيان الرسمي لـ GMO. يعد المهاجم بمواصلة تمرير أوامر مدمرة على حسابات مفتوحة لدى أكثر من 70 وسيطًا يابانيًا وأجنبيًا، ونشر بيانات العملاء وإطلاق برنامج فدية. لذا فإن الرقم 70 يأتي من القراصنة أنفسهم. لا يؤكده أي تقييم رسمي.

ترفض GMO الدفع وقد أحالت محادثاتها إلى الشرطة. ستقوم المجموعة بتعويض الخسائر الناتجة عن الأوامر الاحتيالية وستدفع 5,000 ين لكل عميل، سواء تأثر أو لم يتأثر. لن يتم استعادة الخدمة.

【مهم】 اعتذار وإشعار بشأن الوصول غير المصرح به إلى "Onamae.com Desktop Cloud" (التقرير الرابع)

نعتذر بعمق عن الإزعاج والقلق الكبير الذي تسببنا فيه للعملاء

نبلغكم أننا قررنا اتخاذ الإجراءات التالية
① سيتم دفع تعويض قدره 5,000 ين لجميع العملاء...
--- مجموعة GMO إنترنت (@GMOGroup) 24 أكتوبر 2026

الأكثر غرابة، طلبت GMO من الحكومة تطبيق الدفاع السيبراني النشط، الذي دخل حيز التنفيذ في 1 أكتوبر. يسمح هذا القانون للشرطة أو قوات الدفاع الذاتي بإبطال خوادم المهاجم عن بُعد. وعند استجوابه من قبل الصحافة، رفض السكرتير العام للحكومة مينورو كيهارا التعليق على حالة معينة. وفقًا له، ستقرر الدولة مدى ملاءمة الإبطال مع أو بدون طلب من الشركة.

وفقًا لنيوكي، يجتمع الحكومة مساء الاثنين مع الوزراء المعنيين لمواجهة سلسلة من الهجمات الإلكترونية.

روبوتات العملات المشفرة وVPS: نفس نقطة الضعف

استبدل MT5 بروبوت تداول شبكي ووسيط الفوركس بـ Binance. تظل الخطة كما هي. يستأجر العديد من المتداولين في العملات المشفرة VPS لتشغيل سكريبتاتهم ليلاً ونهارًا، مع تخزين مفاتيح API بشكل واضح على الآلة.

تعرف اليابان ثمن هذه الثغرات. في مايو 2024، فقدت DMM Bitcoin 4,502.9 BTC، أي حوالي 305 ملايين دولار. وقد نسب مكتب التحقيقات الفيدرالي والشرطة اليابانية السرقة إلى مجموعة TraderTraitor الكورية الشمالية، وهي فرع من Lazarus. أعلنت المنصة عن إغلاقها في ديسمبر 2024.

بالنسبة لـ GMO، لا يوجد ما يشير إلى تحديد هوية الجاني حتى الآن. تختلف الطريقة أيضًا. لم يقم أحد بتفريغ محفظة. استخدم القراصنة وصول الضحايا لتدمير رأس مالهم من خلال أوامر خاسرة.

إذا كان الروبوت يعمل على خادم مستأجر، فلا ينبغي أن تكون مفاتيح API الخاصة به قادرة على السحب ويجب أن تكون محدودة إلى عنوان IP لهذا الخادم. سيتلقى عملاء GMO تفاصيل التعويض بحلول 6 نوفمبر.