في خطوة غير مسبوقة تعكس تصاعد حدة المواجهة مع جرائم الابتزاز السيبراني، أعلنت مجموعة GMO Internet Group اليابانية عن تخصيص مكافأة تصل إلى مليون دولار لمن يدلي بمعلومات تقود إلى تحديد هوية أو اعتقال المسؤولين عن اختراق خدمة Onamae.com Desktop Cloud المخصصة لاستضافة بيئات Windows المستخدمة في تداول العملات الأجنبية (FX)، وذلك بعد رفض الشركة الاستجابة لمطالب الابتزاز المالي التي قدمها المهاجمون.
وتأتي هذه الخطوة في ظل واحدة من أبرز حوادث الأمن السيبراني التي شهدها قطاع الخدمات المالية والتداول الإلكتروني في اليابان خلال العام الجاري، بعدما تسبب الاختراق في سرقة بيانات عملاء، وتسريب بيانات اعتماد مرتبطة بمنصات التداول، وظهور عمليات تداول غير مصرح بها في حسابات عدد من المستخدمين.
ابتزاز بقيمة 50 مليون دولار
بحسب المعلومات التي أعلنتها الشركة، تلقت GMO Internet Group في 21 أكتوبر 2026 رسالة ابتزاز من الجهة المنفذة للهجوم تطالبها بدفع نحو 50 مليون دولار أمريكي، أي ما يعادل قرابة 8 مليارات ين ياباني.
وأكدت الشركة أن المهاجمين لم يكتفوا بسرقة المعلومات، بل هددوا أيضًا بمواصلة استهداف حسابات العملاء، ونشر البيانات المسروقة، والكشف عن تفاصيل تخص البنية التحتية التقنية التابعة للشركة.
وفي 27 أكتوبر نشر المهاجمون مواد قالوا إنها تتضمن معلومات تخص الشركة وعملاءها على موقع إلكتروني مخصص للتسريبات. إلا أن السلطات نجحت في إغلاق النطاق الإلكتروني والمواقع المرآتية المرتبطة به فجر 28 أكتوبر، مع تأكيد الشركة استمرار ملاحقة أي مواقع جديدة قد تُستخدم لنشر البيانات مستقبلًا.
برنامج مكافآت لتعقب المهاجمين
أطلقت الشركة برنامجًا يحمل اسم “GMO Cybercrime Bounty”، ويستمر حتى 27 أكتوبر 2027 أو حتى اعتقال الجناة أو إصدار مذكرات ملاحقة دولية بحقهم.
ويستهدف البرنامج الحصول على معلومات موثقة تربط أفرادًا أو خوادم أو نطاقات أو عناوين IP أو حسابات أو محافظ عملات رقمية بالاختراق أو بعمليات الابتزاز المرتبطة به.
وتقبل الشركة البلاغات باللغات اليابانية والإنجليزية والصينية، كما تسمح بالإبلاغ المجهول الهوية، إلا أن صرف المكافأة يتطلب التحقق النهائي من هوية مقدم البلاغ.
وأوضحت المجموعة أن المكافأة لن تُدفع إلا إذا ساهمت المعلومات المقدمة بصورة مباشرة في اعتقال أحد الجناة أو صدور مذكرة ملاحقة دولية بحقه، بما في ذلك نشرات الإنتربول الحمراء. كما أكدت أن شخصًا واحدًا قد يحصل على كامل قيمة المكافأة أو أن يتم توزيعها بين عدة أشخاص وفق حجم مساهمة كل منهم في التحقيق.
في المقابل، استبعد البرنامج أي شخص يثبت تورطه في الجريمة أو حصوله على المعلومات بوسائل غير قانونية، مثل شراء البيانات المسروقة أو المشاركة في تداولها.
عشرات الآلاف من الخوادم تحت دائرة الاشتباه
بدأت الأزمة في 20 أكتوبر عندما اكتشفت الشركة وجود برمجيات خبيثة مثبتة على عدد من الخوادم التابعة لعملائها داخل خدمة Desktop Cloud.
ورداً على الحادث، أوقفت الشركة جميع الخوادم العاملة ضمن مختلف باقات الخدمة اعتبارًا من 21 أكتوبر، وبدأت عملية تحقيق شاملة لتقييم نطاق الاختراق.
وأفادت الشركة بأن ما يصل إلى 26,739 خادمًا قد يكون متأثرًا بالواقعة، مؤكدة في الوقت نفسه أن هذا الرقم لا يمثل عدد الاختراقات المؤكدة أو حالات تسريب البيانات الفعلية، بل يعبر عن إجمالي البيئات التي يجري فحصها ضمن التحقيقات الجارية.
وفي 24 أكتوبر أعلنت الشركة أنها تأكدت من وقوع وصول غير مصرح به إلى أنظمتها وسرقة معلومات تخص العملاء.
وتشير التقديرات إلى أن المحتوى المخزن داخل الخوادم السحابية قد يكون تعرض للاطلاع أو النسخ، بما في ذلك بيانات اعتماد محفوظة داخل برامج التداول الشهيرة MetaTrader 4 وMetaTrader 5 المستخدمة على نطاق واسع في أسواق العملات الأجنبية.
تداولات غير مصرح بها في حسابات العملاء
أظهرت تداعيات الحادث آثارًا مباشرة على مستخدمي منصات التداول المالي.
فقد بدأت بلاغات العملاء بشأن عمليات تداول غير معروفة بالظهور اعتبارًا من 21 أكتوبر، بينما أكدت شركة الوساطة اليابانية OANDA Japan أن جهات خارجية تمكنت من تسجيل الدخول إلى بعض حسابات العملاء وتنفيذ أوامر تداول باستخدام أسماء المستخدمين وكلمات المرور التي تعتقد الشركة أنها سُربت من خوادم GMO.
وأعلنت OANDA فرض قيود مؤقتة على الحسابات التي يُحتمل تأثرها بالاختراق، مؤكدة في الوقت ذاته أنها لم ترصد أي اختراق أو تسريب داخل أنظمتها الأساسية حتى 26 أكتوبر.
من جهتها، أصدرت شركة الوساطة FXTF تحذيرًا مماثلًا لعملائها، مؤكدة احتمال سرقة بيانات الدخول الخاصة ببعض مستخدمي الخوادم الافتراضية الخاصة VPS واستخدامها لاحقًا لتنفيذ عمليات تداول غير مشروعة.
ثغرات إدارية وتحذيرات داخلية مبكرة
حتى الآن لم تكشف GMO رسميًا عن آلية الاختراق التي استغلها المهاجمون للوصول إلى بنيتها التحتية.
لكن رئيس المجموعة، أقر في تدوينة نشرها بتاريخ 25 أكتوبر بأن فريق القراصنة الأخلاقيين الداخلي التابع للشركة كان قد حذر المشغلين المسؤولين عن الخدمة مسبقًا من وجود مشكلات أمنية.
وأوضح أن الاستجابة لتلك التحذيرات لم تكن بالسرعة أو الشمولية المطلوبة، وهو ما منح المهاجمين فرصة لاستغلال نقاط الضعف المتاحة.
في المقابل، زعم منفذو الهجوم أن حسابًا إداريًا واحدًا كان يستخدم عبر جميع الخوادم، وأن أقراص الحواسيب الخاصة بالعملاء كانت ظاهرة افتراضيًا للخوادم عند الاتصال بالخدمة. كما ادعوا تمكنهم من الوصول إلى بعض أجهزة العملاء الشخصية عبر ثغرة داخل المنصة نفسها.
ورغم انتشار هذه الادعاءات، أكدت الشركة أنها لم تتحقق بعد من صحتها بشكل قاطع.
تعويضات مباشرة للمتضررين
أعلنت GMO Internet Group حزمة تعويضات واسعة لمستخدمي الخدمة المتضررين من الحادث.
وتشمل الخطة دفع 5000 ين ياباني لكل مستخدم حالي للخدمة، مع تغطية الخسائر الفعلية والرسوم المالية الناجمة عن عمليات التداول غير المصرح بها إذا ثبت ارتباطها المباشر بالاختراق.
كما سيتلقى العملاء الذين تؤكد الشركة تسريب بياناتهم مبالغ إضافية تتراوح بين 10 آلاف و25 ألف ين ياباني بحسب نوع المعلومات التي تعرضت للنشر أو التسريب.
وطلبت الشركة من العملاء تغيير كلمات مرور حسابات التداول وبرامج التداول من أجهزة غير مستخدمة في أنشطة التداول، وإنهاء جميع الجلسات المفتوحة، وتفعيل المصادقة متعددة العوامل، وفحص الأجهزة المستخدمة ببرامج مكافحة البرمجيات الخبيثة.
وأكدت المجموعة أنها لن تعيد تشغيل الخدمة على البنية التحتية المتضررة بصورتها الحالية، مشيرة إلى أنها ستتيح للعملاء الانتقال إلى خدمة بديلة منفصلة لمدة ستة أشهر مجانًا وبموافقتهم المسبقة.
