Angreifer haben den japanischen Dienst »Onamae Desktop Cloud« als Zugang zu fremden Tradingkonten missbraucht. Sie schleusten Schadsoftware in Windows-Server von Kunden ein und erbeuteten dort gespeicherte Anmeldedaten. Anschließend führten sie unautorisierte Aufträge über Konten bei mehr als 70 Wertpapier- und Devisenanbietern aus.
Was bei Onamae angegriffen wurde
Onamae Desktop Cloud ist kein gewöhnlicher Online-Speicher. GMO Internet vermietet virtuelle Windows-Desktops. Viele Trader lassen dort Programme wie MT4 und MT5 rund um die Uhr laufen, etwa für den automatisierten Devisenhandel.
Die Angreifer nutzten eine Sicherheitslücke im Dienst und installierten Schadsoftware in einigen Kundenumgebungen. Dadurch konnten sie Informationen aus den Windows-Servern stehlen. Dazu gehörten auch Zugangsdaten für Handelsprogramme und Tradingkonten.
Insgesamt könnten bis zu 26.739 Server betroffen sein. Wie viele Server tatsächlich infiziert und wie viele Kunden geschädigt wurden, hat GMO bislang nicht beziffert.
Anzeige
GMO schaltet die gesamte Plattform ab
GMO stoppte am 20. Oktober Neubuchungen und das Kontrollzentrum. Ab dem 21. Oktober fuhr das Unternehmen sämtliche Tarife herunter. Die betroffenen Server wurden vom Netzwerk getrennt, damit die Angreifer nicht weiter auf die Systeme zugreifen konnten.
Zudem forderte GMO Broker und Börsen auf, Zugriffe aus der Cloud zu sperren, laufende Sitzungen zu beenden und verdächtige Aufträge zu überwachen. Das Unternehmen schaltete eine externe Sicherheitsfirma, die Polizei und japanische Behörden ein. Auf die Geldforderung des Angreifers will GMO nicht eingehen.
Das müssen Kunden jetzt tun
Der bisherige Dienst bleibt abgeschaltet. GMO will Kunden auf eine getrennte Cloud-Plattform umziehen lassen und diese sechs Monate kostenlos anbieten. Jeder aktuelle Kunde erhält außerdem rund 28 Euro. Bestätigte Verluste durch fremde Trades will GMO ebenfalls ersetzen.
Kunden sollen ihre Trading-Passwörter von einem anderen Gerät aus ändern und alle Sitzungen beenden. Zusätzlich müssen sie Kontostand und Handelsverlauf prüfen, die Zwei-Faktor-Authentifizierung aktivieren und ihre Geräte auf Schadsoftware untersuchen.
