2026-11-01 01:40:02 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

日本GMO悬赏百万美元，追查外汇交易云服务入侵黑客

FreeBuf

2026年10月29日 19:03
上海

去阅读

日本GMO互联网集团拒绝支付勒索赎金后，现公开悬赏最高总计100万美元，征集线索协助抓获入侵其Onamae.com桌面云服务的攻击者。

该悬赏计划于10月28日启动，仅当线索协助促成逮捕或发布国际通缉令时才会发放奖金。该服务托管用于外汇交易的Windows桌面环境，已有经纪商将部分客户账户的未授权交易，与该服务泄露的登录凭证关联起来。

GMO表示攻击者窃取了客户信息。10月21日，该公司收到实施此次攻击的嫌疑人发来的勒索要求，金额约为5000万美元（约合80亿日元）。攻击者还威胁要对客户的交易账户和数据下手。

10月27日，攻击者在其网站上发布了据称是GMO及其客户的相关信息。日本时间10月28日凌晨4点左右，相关部门已关停该网站及其所有镜像站的域名，GMO表示将对后续出现的任何新站点采取处置措施。

Part01

悬赏计划规则公布

该悬赏项目名为GMO Cybercrime Bounty，由GMO互联网集团主导运营，全额承担奖金支出。线索可通过专属网站公布的邮箱提交，支持日语、英语、中文三种语言，提交者可选择匿名。悬赏计划有效期至嫌疑人被逮捕、发布国际通缉令，或2027年10月27日，以先到者为准。

GMO征集两类线索：一是可将人员、服务器、域名、IP地址、账号、加密货币地址与此次攻击、勒索行为、资金流转关联的信息；二是犯罪实施过程的相关证据。单纯猜测、无证据指控、转发公开信息的内容，通常不符合申领条件。

只有当线索促成逮捕（包括日本境外警方实施的逮捕）或触发国际通缉令（如国际刑警组织红色通报）时，提交者才能获得奖金。GMO将逐一判定每条线索的实际贡献，100万美元奖金可全额发放给单一线索提供者，也可按贡献度拆分给多名符合条件的提交者。奖金发放前，线索提供者必须完成身份验证；若无符合条件的线索，集团不会发放任何奖金。

部分人员无法获得奖金，包括参与此次犯罪的人员、通过非法渠道（如购买泄露数据）获取信息的人员，以及GMO在职员工。GMO同时提醒线索提供者遵守相关规则，不得非法入侵系统，不得与攻击者谈判或支付赎金。此外，线索提供者不得提交泄露数据、登录凭证或恶意软件样本。

相关线索将按需共享给日本及海外的警方和其他执法部门。目前GMO已向警方提交了所有与威胁相关的证据，包括双方的通信记录。

GMO绝不会向线索提供者索要密码、验证码或任何费用。所有官方沟通仅使用后缀为@cybercrimebounty.gmo的邮箱，其他来源的消息均为仿冒。

Part02

云服务入侵波及交易账户

运营该服务的子公司GMO互联网于10月20日发现异常，有第三方在部分客户服务器上安装了恶意程序。公司自10月21日起关停了所有套餐对应的服务器，初步统计共有26739台服务器可能受影响。该数字并非已确认遭入侵或发生数据窃取的服务器实际数量。

10月24日，GMO正式确认服务系统存在安全漏洞，已有第三方未授权访问服务。攻击者同时窃取了公司存储的客户信息。

攻击者可能查看了客户存储在服务器上的所有内容，包括MetaTrader 4、5（MT4/MT5）等交易软件中保存的登录凭证。GMO明确表示，服务器上未存储客户的支付卡数据。

10月21日起，陆续有客户报告出现非本人操作的异常交易。经纪商OANDA Japan已确认，有第三方使用疑似从GMO服务器泄露的账号密码组合，登录了部分客户的交易账户。这些第三方冒用客户身份实施了异常交易，该公司已对可能受影响的账户采取交易限制措施。截至10月26日，OANDA Japan未发现自身核心系统遭入侵或数据泄露。

另一家经纪商FXTF于10月22日发布安全预警，称第三方可能窃取了部分使用VPS服务器的客户登录凭证。据该公司判断，此次攻击针对的是其他公司的VPS服务器，攻击者可能利用窃取的凭证登录客户账户实施交易。FXTF提醒曾连接过桌面云服务的客户，使用从未连接过该服务的设备修改FXTF账户密码。

10月28日，GMO互联网集团在提交给证券交易所的文件中披露了最新进展。目前公司尚未确认需要赔付的客户数量、被公开的信息规模，以及符合赔付条件的交易范围，也未发现此次入侵对集团其他服务造成影响。

Part03

攻击者发布窃密数据

GMO表示，攻击者发出了多重威胁。他们声称将持续操纵70多家证券及外汇公司的客户账户，公开桌面云服务及客户PC的相关信息。攻击者还威胁要向这些客户PC投放勒索软件，同时公布GMO的内部系统细节。

攻击者将10月27日中午定为最后期限，威胁届时公开客户信息并发动勒索软件攻击。截至日本时间当日下午1点55分，GMO尚未确认发生任何勒索软件攻击。

据ITmedia NEWS当日下午报道，攻击者10月27日发布了首批数据，内容为其所谓的一名客户的个人信息。GMO当日正在对该批数据的真实性进行核实。

GMO提醒公众，攻击者会收集所有访问其网站的用户信息，访问过相关站点的用户需运行全面杀毒扫描。公司同时呼吁公众不要访问该站点及后续出现的新站点，不要转发或链接到攻击者发布的内容。

截至10月28日，GMO尚未公布攻击者的具体入侵途径。GMO互联网集团负责人Masatoshi Kumagai在10月25日发布的博客文章中表示，集团内部白帽黑客此前已就相关问题向服务运营团队发出预警。

运营团队的响应既不及时也不全面，攻击者趁机利用这一疏漏实施了入侵。

据ITmedia NEWS报道，攻击者在其网站上公布了所谓的入侵细节。他们声称所有服务器共用一个管理员账号，客户连接服务时，其PC驱动器默认对服务器可见。

攻击者还称，他们利用该服务的一个漏洞直接访问了客户的个人PC。截至目前，GMO尚未公开证实这些说法的真实性。