Serangan Siber GMO di Jepang: Akun Trading Hancur, GMO Coin Mengklaim Selamat

Robot trading berbalik melawan pemiliknya. Di Jepang, GMO Internet mengonfirmasi pencurian informasi pelanggan di << Onamae.com Desktop Cloud >>, layanan server virtualnya yang disewa oleh ribuan trader forex untuk menjalankan MT4 dan MT5. Pertukaran internal GMO Coin mengklaim tidak ada operasi penipuan yang terdeteksi di akun mereka sendiri.

Poin-poin kunci dari artikel ini:

• GMO Internet telah mengonfirmasi pencurian informasi pelanggan di layanan << Onamae.com Desktop Cloud >>, yang digunakan oleh ribuan trader forex.
• GMO Coin, platform pertukaran crypto dari grup tersebut, selamat dari operasi penipuan tetapi telah menyarankan penggunanya untuk mengambil langkah-langkah keamanan tambahan.
• Setelah penemuan program jahat di beberapa server, GMO menolak untuk membayar tebusan dan meminta intervensi negara untuk menerapkan pertahanan siber aktif.

GMO Coin Selamat tetapi Waspada

GMO Coin, platform pertukaran crypto dari grup tersebut, telah mengeluarkan peringatan pada 23 Oktober. Mereka menjelaskan bahwa tidak ada operasi yang tidak sah yang telah dikonfirmasi pada tahap ini di akun pelanggan mereka.

Meskipun demikian, pertukaran tersebut meminta penggunanya untuk memeriksa riwayat pesanan dan saldo mereka, mengaktifkan passkey dan notifikasi login. Terutama, mereka menyarankan untuk menghapus kunci API yang tidak digunakan atau tidak dikenal. Kunci API adalah kunci yang memungkinkan perangkat lunak pihak ketiga, seperti bot, untuk melakukan pesanan atas nama Anda.

Stablecoin grup tersebut tidak muncul dalam lima laporan yang diterbitkan oleh GMO Internet. GYEN dan ZUSD, yang diterbitkan oleh GMO Trust di New York, sedang dalam proses likuidasi. Pemegangnya dapat menukarnya pada nilai par hingga 11 November 2026, tanpa hubungan yang diketahui dengan serangan tersebut.

Apa yang Terjadi di Server GMO

Semua bermula dari pesan pelanggan pada 19 Oktober. Keesokan harinya, GMO Internet menemukan program jahat yang terinstal di beberapa server. Pada 21 Oktober pukul 4 pagi, penyedia layanan memutuskan semua penawaran.

Angka 26.739 server banyak beredar di X. Angka ini benar, tetapi merujuk pada mesin yang berpotensi terpapar. GMO menjelaskan bahwa ini bukan jumlah server yang benar-benar terkompromi.

Masalahnya berasal dari apa yang terdapat di mesin-mesin ini. Trader meninggalkan perangkat lunak MT4 dan MT5 mereka terhubung secara terus-menerus ke broker mereka, termasuk identitas mereka. Beberapa pelanggan kemudian melihat pesanan yang tidak pernah mereka berikan. Media Jepang mengutip seorang individu dari Kanagawa yang dilaporkan kehilangan sekitar 4 juta yen dalam dua detik.

OANDA Japan, XMTrading, Titan FX, AXIORY, dan IronFX telah meminta pelanggan mereka untuk mengganti kata sandi mereka. Sejak 22 Oktober, Badan Layanan Keuangan (FSA) telah meminta broker forex, melalui asosiasi profesional mereka, untuk memantau transaksi yang tidak normal.

Tebusan Ditolak dan Panggilan kepada Negara

Laporan keempat dari GMO, tertanggal 24 Oktober, mengonfirmasi bahwa informasi pelanggan telah dieksfiltrasi. Perusahaan tidak menyebutkan informasi mana yang dicuri. Mereka juga mengungkapkan telah menerima permintaan tebusan, jumlahnya tidak diungkapkan.

Ancaman dijelaskan dalam siaran pers resmi GMO. Penyerang berjanji untuk terus melakukan pesanan merusak di akun yang dibuka di lebih dari 70 broker Jepang dan asing, menerbitkan data pelanggan, dan meluncurkan ransomware. Angka 70 ini berasal dari peretas itu sendiri. Tidak ada laporan resmi yang mengonfirmasi hal ini.

GMO menolak untuk membayar dan telah meneruskan komunikasi mereka ke polisi. Grup tersebut akan mengganti kerugian yang dialami akibat pesanan penipuan dan akan memberikan 5.000 yen kepada setiap pelanggan, terpengaruh atau tidak. Layanan tidak akan dipulihkan.

【Penting】Permohonan maaf dan pengumuman terkait akses tidak sah ke "Onamae.com Desktop Cloud" (Laporan ke-4)

Kami sangat meminta maaf atas ketidaknyamanan dan kekhawatiran yang ditimbulkan kepada pelanggan kami

Berikut adalah laporan mengenai tindakan yang telah diputuskan
① Kami akan membayar semua pelanggan yang terpengaruh dengan kompensasi sebesar 5.000 yen...
--- GMO Internet Group (@GMOGroup) 24 Oktober 2026

Lebih tidak biasa, GMO meminta pemerintah untuk menerapkan pertahanan siber aktif, yang mulai berlaku pada 1 Oktober. Undang-undang ini memungkinkan polisi atau Angkatan Pertahanan Diri untuk menetralkan server penyerang dari jarak jauh. Saat ditanya oleh media, Sekretaris Jenderal Pemerintah Minoru Kihara menolak untuk mengomentari kasus tertentu. Menurutnya, negara akan menilai kelayakan netralisasi dengan atau tanpa permintaan dari perusahaan.

Menurut Nikkei, pemerintah mengumpulkan para menteri terkait pada Senin malam untuk menghadapi serangkaian serangan siber.

Bot Crypto dan VPS: Titik Lemah yang Sama

Ganti MT5 dengan bot trading grid dan broker forex dengan Binance. Skema tetap sama. Banyak trader crypto menyewa VPS untuk menjalankan skrip mereka siang dan malam, dengan kunci API disimpan dalam format teks biasa di mesin.

Jepang mengetahui harga dari celah ini. Pada Mei 2024, DMM Bitcoin kehilangan 4.502,9 BTC, sekitar 305 juta dolar. FBI dan polisi Jepang mengaitkan pencurian tersebut dengan kelompok Korea Utara TraderTraitor, cabang dari Lazarus. Pertukaran tersebut mengumumkan penutupannya pada Desember 2024.

Untuk GMO, tidak ada yang dapat mengidentifikasi pelaku hingga saat ini. Metodenya juga berbeda. Tidak ada yang mengosongkan dompet. Peretas menggunakan akses korban untuk menghancurkan modal mereka dengan pesanan yang merugikan.

Jika sebuah bot berjalan di server yang disewa, kunci API-nya tidak boleh memiliki hak penarikan dan harus dibatasi pada alamat IP server tersebut. Pelanggan GMO akan menerima rincian penggantian sebelum 6 November.