Trong thông báo công bố sáng 28/10, GMO Internet Group cho biết tên miền của website đăng thông tin được cho là của khách hàng đã bị đình chỉ khoảng 4 giờ sáng cùng ngày. Tập đoàn đã phối hợp với các đơn vị liên quan và sẽ tiếp tục xử lý nếu xuất hiện website mới.
Việc chặn tên miền là một bước hạn chế phát tán, chưa chứng minh các bản sao dữ liệu đã được xóa. Khủng hoảng của GMO vẫn còn cả vấn đề thiệt hại tài chính, quyền riêng tư của khách hàng và trách nhiệm bảo mật.
Phạm vi sự cố được xác nhận liên quan đến dịch vụ Onamae.com Desktop Cloud. Hiện chưa có căn cứ để kết luận toàn bộ dữ liệu khách hàng của cả tập đoàn đã bị đánh cắp.
Bị tấn công từ máy chủ thuê ngoài đến tiền trong tài khoản
GMO Internet Group được thành lập năm 1991, đặt trụ sở tại Tokyo và do Masatoshi Kumagai đứng đầu. Tập đoàn hoạt động trong các lĩnh vực hạ tầng Internet, an ninh mạng, quảng cáo, tài chính trực tuyến và tiền mã hóa. Theo hồ sơ doanh nghiệp trên website chính thức, tập đoàn có gần 8.000 nhân sự tính đến cuối tháng 4/2026.
Theo giới thiệu trên website Onamae.com Desktop Cloud, dịch vụ do công ty thành viên GMO Internet vận hành, cung cấp máy chủ ảo để chạy giao dịch ngoại hối (FX). Khách thuê máy tính trên mạng để phần mềm tự động mua bán hoạt động liên tục, kể cả khi máy ở nhà đã tắt.
Theo diễn biến GMO công bố, ngày 19/10, công ty bắt đầu điều tra sau phản ánh của khách hàng. Một ngày sau, hãng phát hiện chương trình độc hại trên một số máy chủ. Từ 4 giờ sáng 21/10, các máy chủ được lần lượt dừng hoạt động để hạn chế thiệt hại.
GMO xác định 26.739 máy chủ có khả năng bị ảnh hưởng. Đây là số máy chủ thuộc diện rủi ro, không phải số khách hàng đã được xác nhận mất dữ liệu hay mất tiền.
Đến ngày 24/10, GMO xác nhận hệ thống có vấn đề bảo mật và thông tin khách hàng đã bị đưa ra ngoài.
Trong thông báo ngày 22/10, GMO cảnh báo thông tin đăng nhập công cụ và tài khoản giao dịch sử dụng trên các máy chủ này có thể đã bị bên thứ ba xem được. Công ty cũng tiếp nhận phản ánh về những thao tác trái phép trong tài khoản khách hàng.
TBS News Dig ghi nhận trường hợp một nhà đầu tư 44 tuổi cho biết mất hơn 4 triệu yên, tương đương khoảng 655 triệu đồng, chỉ trong hai giây vào ngày 21/10. Đây là trường hợp được đài phản ánh, chưa phải thống kê tổng thiệt hại.
Theo biên bản họp báo do Bộ Tài chính Nhật Bản công bố ngày 27/10, Bộ trưởng Satsuki Katayama cho biết năm doanh nghiệp FX báo cáo thiệt hại khách hàng được cho là liên quan: Goldenway Japan, OANDA Securities, Ava Trade Japan, Gaitame Finest và Dukascopy Japan. Các đơn vị đã hạn chế giao dịch, chặn lệnh đáng ngờ và đặt lại mật khẩu.
Hai yêu cầu tiền chuộc và lời đe dọa mỗi buổi trưa
Trên blog cá nhân, ông Kumagai cho biết GMO nhận yêu cầu 50 triệu USD, tương đương 1.292,05 tỷ đồng, trong ngày 21/10. Công ty không thanh toán.
Sau đó xuất hiện lời đe dọa đòi 1 triệu USD, khoảng 25,84 tỷ đồng, trước 12 giờ ngày 27/10. TBS News Dig lưu ý chưa rõ hai yêu cầu đến từ cùng nhóm hay không. Vì vậy, chưa thể kết luận hacker đã giảm tiền chuộc từ 50 triệu xuống 1 triệu USD.
Theo FNN, sau thời hạn này, bên tự nhận thực hiện vụ tấn công đăng thông tin được cho là của một người dùng và tuyên bố sẽ tiếp tục công bố vào mỗi buổi trưa. Chúng nói lượng dữ liệu rất lớn, nhưng đây là tuyên bố của bên đe dọa, chưa phải kết quả kiểm chứng độc lập.
Ngày 27/10, GMO Internet Group xác nhận trên mạng xuất hiện thông tin mà bên phát tán tuyên bố liên quan đến tập đoàn và khách hàng. Công ty đang kiểm tra nội dung, đồng thời cảnh báo có thể có thông tin sai sự thật.
Lời đe dọa còn bao gồm tấn công bằng ransomware, loại mã độc thường khóa hoặc mã hóa dữ liệu để tống tiền. Trước hạn chót, GMO yêu cầu người dùng dịch vụ bị ảnh hưởng sao lưu dữ liệu, ngắt kết nối mạng và tắt máy tính. Đội bảo mật của hãng cũng tiếp nhận thiết bị của khách để kiểm tra.
Lúc 13 giờ 55 ngày 27/10, GMO cho biết chưa ghi nhận cuộc tấn công ransomware như lời đe dọa. Có mã độc trên máy chủ dịch vụ không đồng nghĩa mọi máy tính cá nhân từng kết nối đều đã nhiễm.'
Không trả tiền chuộc, treo thưởng tìm thông tin về thủ phạm
Trong thông báo tối 27/10, GMO tái khẳng định không trả tiền chuộc vì thanh toán không bảo đảm dữ liệu được xóa. Hãng công bố quỹ thưởng tối đa 1 triệu USD, khoảng 25,84 tỷ đồng, cho thông tin hỗ trợ điều tra.
Theo kế hoạch, việc tiếp nhận bắt đầu lúc 12 giờ ngày 28/10, tức 10 giờ Việt Nam. Đây là trần của cả chương trình, không phải phần thưởng mặc định cho mỗi người cung cấp tin.
Khoản thưởng này cần được phân biệt với yêu cầu 1 triệu USD trước đó: một bên là kinh phí doanh nghiệp dành cho việc làm rõ vụ án, bên còn lại là tiền bị đòi trong lời đe dọa.
Theo chính sách hỗ trợ GMO công bố, khách hàng được nhận khoản hỗ trợ chung 5.000 yên, khoảng 819.000 đồng, đồng thời được bồi thường riêng lỗ giao dịch trái phép được xác định liên quan. Lỗ thị trường, lợi nhuận kỳ vọng và thiệt hại gián tiếp không thuộc diện bồi thường. Hãng sẽ cung cấp dịch vụ thay thế trên nền tảng độc lập, miễn phí sáu tháng.
Theo TBS News Dig, khách được xác nhận có thông tin bị công khai còn được hỗ trợ bổ sung: khoảng 1,64 triệu đồng cho thông tin cơ bản, 2,46 triệu đồng cho dữ liệu tài chính hoặc xác thực, 4,09 triệu đồng cho dữ liệu nhạy cảm. Mức gốc tương ứng là 10.000, 15.000 và 25.000 yên.
GMO nêu trần 3 triệu yên, khoảng 491 triệu đồng, cho mỗi lần công bố theo chính sách; không phải mỗi khách mặc nhiên nhận mức tối đa.
Đã có cảnh báo nội bộ, vì sao vẫn không ngăn được?
Trong bài viết trên blog ngày 25/10, ông Kumagai thừa nhận đội bảo mật đã cảnh báo từ trước. Việc cân nhắc khả năng duy trì dịch vụ và các ưu tiên khác khiến công ty khắc phục chưa đủ nhanh, để kẻ tấn công khai thác điểm yếu.
Lời thừa nhận này đặt ra câu hỏi quản trị rõ ràng: cảnh báo được chuyển tới ai, ai quyết định mức độ khẩn cấp và mất bao lâu để xử lý? Có chuyên gia phát hiện nguy cơ chỉ là bước đầu. Hiệu quả bảo vệ còn phụ thuộc vào quyền quyết định và khả năng thực hiện thay đổi.
GMO đề nghị chính phủ xem xét phòng thủ mạng chủ động; quyết định áp dụng thuộc về nhà nước. Chưa thể coi đề nghị này là quyết định triển khai.
Cũng tại cuộc họp báo ngày 27/10, bà Katayama cho biết chưa nhận báo cáo giao dịch trái phép mới; số lượng và giá trị thiệt hại chưa công bố. Thủ tướng Sanae Takaichi yêu cầu gói ứng phó khẩn cấp trong tuần kế tiếp.
Đến sáng 28/10, số người thực sự bị lộ thông tin, tổng thiệt hại tài chính và đầy đủ nguyên nhân kỹ thuật vẫn chưa được công bố rõ. Những lời khẳng định rằng toàn bộ dữ liệu của GMO đã bị lấy cắp, hoặc tất cả máy tính khách hàng đã bị chiếm quyền, đều vượt quá thông tin được xác nhận.
GMO khuyến cáo khách liên quan đổi mật khẩu từ thiết bị chưa dùng giao dịch FX, ngắt phiên đăng nhập và báo lệnh bất thường. Khách cần tránh chia sẻ nơi phát tán dữ liệu và cảnh giác với lời hứa thu phí lấy lại tiền.
Vụ việc cho thấy tài khoản tài chính còn phụ thuộc vào độ an toàn của nơi chạy phần mềm giao dịch. Với khách hàng, hậu quả có thể đồng thời là tiền mất, dịch vụ dừng và dữ liệu bị đe dọa công khai. Với GMO, khôi phục niềm tin đòi hỏi cả bồi thường đúng cam kết lẫn giải thích được vì sao cảnh báo đã có nhưng sự cố vẫn xảy ra.
Theo GMO/Reuters
