GMO Internet Group (Japan) zet een ongebruikelijk zware beloning in voor de daders achter de FX-cloudbreach GMO bounty. Het bedrijf biedt in totaal tot $1 miljoen aan tips die helpen om de aanvallers te identificeren en te laten arresteren.
De aanleiding: een inbraak in de Onamae.com Desktop Cloud dienst, waar Windows-desktops draaien die worden gebruikt voor valutahandel (FX). Nadat GMO weigerde in te gaan op een afpersingsvraag, namen de aanvallers hun eisen en dreigingen verder op in de vorm van publicatie van materiaal en mogelijk verdere aanvallen richting klantomgevingen.
Wat is de FX-cloudbreach GMO bounty?
Het beloningsprogramma is gestart op 28 oktober en heet GMO Cybercrime Bounty. Er is geen vaste prijs per tip: de uitkering hangt af van de bijdrage. Een tipster kan ook het volledige bedrag winnen, maar het totaal kan verdeeld worden over meerdere inzenders.
Belangrijk: een tip levert alleen geld op als die informatie leidt tot een arrest (ook door politie buiten Japan) of tot een internationale wanted notice. Als dat niet gebeurt, volgt er geen betaling.
De looptijd van het programma loopt tot de vroegste van deze momenten: arrest, internationale wanted notice, of 27 oktober 2027. GMO benadrukt daarbij dat het om bruikbare informatie gaat: niet om gissingen of herpublicaties van openbaar materiaal.
Wanneer krijgt iemand wel (of juist geen) beloning?
GMO vraagt om details die de aanval en het geldspoor concreet maken. Denk aan koppelingen tussen personen, servers, domeinen, IP-adressen, accounts en zelfs cryptocurrency-adressen, inclusief bewijs over hoe de misdrijven zijn uitgevoerd.
Er gelden duidelijke uitsluitingen. Volgens GMO ontvangen bepaalde groepen geen betaling, waaronder mensen die betrokken waren bij de criminaliteit, iedereen die informatie illegaal verkreeg (bijvoorbeeld door gestolen data te kopen) en ook GMO-medewerkers.
Ook geeft GMO instructies die bedoeld zijn om escalatie te voorkomen: tipsters mogen niet in systemen inbreken, geen onderhandelingen voeren of betalen aan de aanvallers, en geen gelekte inloggegevens, malware of soortgelijke materialen doorsturen.
Verder belooft GMO dat het de tipsters nooit zal vragen om wachtwoorden, authenticatiecodes of vergoedingen. Communicatie richting tipsters moet alleen komen vanuit e-mailadressen die eindigen op @cybercrimebounty.gmo.
Wat was er mis bij Onamae.com Desktop Cloud?
Onamae.com is een dienst die voor FX-gebruikers Windows-desktops host. GMO stelt dat een derde partij op 20 oktober in sommige omgevingen kwaadaardige programma’s heeft geïnstalleerd. Vanaf 21 oktober zijn servers afgesloten voor elk abonnementsniveau.
GMO geeft aan dat er 26.739 servers mogelijk geraakt zijn. Dat betekent niet automatisch dat er net zo veel bevestigde inbraken of datadiefstallen hebben plaatsgevonden: het gaat om een bredere schatting van mogelijke impact.
Op 24 oktober meldde het bedrijf dat er binnen het systeem een beveiligingsprobleem is vastgesteld, dat er ongeautoriseerde toegang was tot de dienst en dat er data van klanten is geëxfiltreerd.
Volgens GMO kunnen ook dingen die klanten hadden opgeslagen zijn bekeken, waaronder inloggegevens in handelsoftware zoals MetaTrader 4 en 5. GMO stelt wel dat betaalkaartgegevens niet op de servers werden bewaard.
Onverkende trades en broker-koppelingen
Na de start van de incidentperiode begonnen klanten onverkende transacties te melden. Een belangrijke aanwijzing kwam via een broker: OANDA Japan bevestigde dat een derde partij kon inloggen en handelen op sommige klantaccounts met ID- en wachtwoordparen waarvan de broker vermoedt dat ze vanuit de GMO-omgeving gelekt waren.
OANDA heeft daarop handelsbeperkingen ingesteld voor accounts die mogelijk door het incident zijn geraakt. Tegelijk meldt OANDA dat er in de kernsystemen geen inbraak of datalek is gevonden (stand 26 oktober).
Een tweede broker, FXTF, waarschuwde dat klanten die via VPS werken mogelijk gestolen inloggegevens hadden. FXTF vermoedt dat de VPS-keten onderdeel was van een aanval bij een andere partij. FXTF adviseerde klanten om FXTF-wachtwoorden te wijzigen vanaf een apparaat dat nog nooit verbinding had gemaakt met Desktop Cloud.
GMO gaf op 28 oktober ook aan dat het nog niet volledig bevestigd had hoeveel klanten onder de vergoeding vallen, hoeveel informatie daadwerkelijk is gepubliceerd en welke transacties precies voor compensatie in aanmerking komen.
Welke dreigingen gingen uit van de aanvallers?
GMO zegt dat de aanvallers niet alleen data wilden wegnemen, maar ook bedreigingen uitten richting meer dan 70 effecten- en FX-firma’s. De dreigingen omvatten onder meer het blijven manipuleren van klantaccounts, het publiceren van informatie over de dienst en over pc’s van klanten, en het inzetten van ransomware richting die systemen.
Daarnaast noemden de aanvallers een publicatiemoment op 27 oktober en koppelden ze daar een ransomware-aanval aan. GMO meldt dat er op dat moment nog geen bevestiging was van een ransomware-aanval (stand 1:55 uur ’s middags Japanse tijd).
Het materiaal dat op 27 oktober online is gezet, werd door de aanvallers gepresenteerd als persoonlijke informatie van een klant. GMO gaf aan dat het diezelfde dag controleerde wat er precies was gepubliceerd. Ook zou het team achter de aanval informatie hebben verzameld van iedereen die hun site bezocht.
GMO vraagt daarbij aan bezoekers om de site niet te bekijken of nieuwe mirrors te bezoeken, en om geen inhoud opnieuw te verspreiden of links te plaatsen.
Hoe de aanvallers binnenkwamen: nog onduidelijk
Op het moment van de berichtgeving had GMO nog niet publiekelijk bevestigd hoe de aanvallers toegang kregen. Wel schreef de leiding van GMO Internet Group in een blogpost (25 oktober) dat “white-hat” hackers de dienst vooraf hadden gewaarschuwd over problemen.
De reactie van het team zou volgens diezelfde post onvoldoende snel en onvoldoende grondig zijn geweest, waardoor de aanvallers een opening konden benutten.
De aanvallers beweerden op hun eigen website onder meer dat een beheerdersaccount breed gedeeld was over de servers en dat klant-pc-drives standaard zichtbaar waren zodra gebruikers verbinding maakten. Ook beweerden ze een kwetsbaarheid te hebben gebruikt om direct naar klant-pc’s te komen. GMO heeft die claims niet volledig bevestigd.
Tegen 26 oktober had GMO een set pc’s verzameld die klanten beschikbaar stelden voor analyse. Bij afronding van tests op een deel van die systemen werd geen malware, inclusief ransomware, gevonden. Tegelijk waarschuwt GMO dat dit niet bewijst dat elke klantcomputer veilig was, omdat de analyse nog loopt.
Wat moeten klanten van Desktop Cloud nu doen?
GMO heeft een concreet stappenplan gedeeld voor gebruikers van Desktop Cloud. De kern komt neer op het hard resetten van toegang, het opschonen van handelsactiviteiten en het verhogen van accountbeveiliging.
- Wijzig handelsaccount- en handelssoftwarewachtwoorden vanaf een apparaat dat niet wordt gebruikt voor FX-handel (bijvoorbeeld een telefoon).
- Beëindig alle ingelogde sessies, desnoods via de broker, ook nadat je wachtwoorden hebt gewijzigd.
- Controleer handelshistorie en saldi en meld onverkende trades eerst bij je broker.
- Schakel twee-factor-authenticatie in wanneer de broker dat ondersteunt.
- Wijzig wachtwoorden die elders opnieuw worden gebruikt of in de browser zijn opgeslagen.
- Voer een volledige antivirusscan uit op apparaten waarmee je toegang hebt gekregen, en maak back-ups van data.
- Reageer niet op berichten waarin iemand zegt achter de aanval te zitten. Open geen links of bestanden uit zulke berichten.
- Negeer aanbiedingen om geld terug te krijgen tegen een vergoeding: GMO stelt dat het nooit om wachtwoorden of authenticatiecodes zal vragen.
Welke vergoeding biedt GMO?
Naast de FX-cloudbreach GMO bounty biedt GMO ook compensatie aan gebruikers. Het bedrijf geeft aan elke huidige gebruiker ¥5.000 uit. Daarnaast wil het werkelijke handelsverliezen en kosten dekken voor trades die het bevestigt als ongeautoriseerd en veroorzaakt door de inbraak.
Ook kunnen klanten geld krijgen voor informatie die GMO bevestigt dat is gepubliceerd: ¥10.000 tot ¥25.000 per type blootgelegde informatie. GMO geeft aan dat het nog niet volledig heeft vastgesteld hoeveel klanten exact vallen onder de compensatieregelingen en wat er precies voor elk individu wordt gedekt.
Ten slotte geeft GMO aan dat het de dienst niet terugzet op de besmette systemen. Klanten die een Windows-desktop willen, kunnen overstappen naar een aparte service (gratis gedurende zes maanden), alleen met toestemming. Details volgen uiterlijk op 30 oktober.
Waarom dit incident ook voor jou relevant is
Deze zaak laat zien hoe snel financiële schade kan ontstaan wanneer aanvallen niet alleen data raken, maar ook de logins en handelstoegang. Bovendien zien we dat meerdere brokers onafhankelijk signalen oppikken via handelsgedrag—en dat dat soms een vroegere bevestiging kan zijn dan wat de dienstverlener nog intern onderzoekt.
Als je (net als bij veel cloudgebaseerde werkplekken) vertrouwt op opgeslagen credentials in handels- of applicatiesoftware, is het verstandig om incidentgebaseerd te handelen: accounts uitschakelen/verlengen, sessies beëindigen en wachtwoorden op een veilig apparaat wijzigen.
Wil je breder kijken naar hoe zulke datalekken en misbruik van credentials zich manifesteren, dan is dit achtergrondstuk over een verwant patroon nuttig: Bron: https://thehackernews.com/2026/10/japans-gmo-offers-1-million-bounty-to.html
