10月24日15时，一个页面准时上线。发布者自称攻破了日本GMO互联网集团旗下的云桌面服务（お名前.com Desktop Cloud），并在页面上逐条列出这家公司的配置失误。同一天，GMO确认客户信息已被窃取。

打开网易新闻 查看精彩图片

受影响的范围是26739台服务器，全部在影响范围内。GMO已停止所有套餐，并准备向受影响用户提供补偿。该产品主要为FX外汇交易等场景提供服务，部分交易账号已收到异常操作报告。

打开网易新闻 查看精彩图片

黑客给出的技术指控相当具体，几乎每一条都指向同一个问题：权限给得太随意。

  • 云服务的VPS网络通过Microsoft Active Directory管理，存在横向连接到其他服务器的路径，还具备广泛管理员权限的账户。
  • GMO支持工程师连接客户VPS服务器时，客户有可能获得相关通用凭证。也就是说，一个拥有所有服务器管理权限的超级管理员账户被用来访问客户服务器，凭证还可能留存在客户机上。
  • 远程桌面配置存在低级失误：本地磁盘重定向默认开启，电脑磁盘会映射到远程桌面会话，攻陷VPS服务器后即可接触其中的共享文件，通常是GMO云服务的内部文件。

黑客称这些架构缺陷自2019年就已存在，并借此窃取了所有服务器的客户数据、植入后门程序。赎金要求是100万美元，期限10月27日，否则客户数据将被公开发布。

GMO的回应是明确拒绝勒索。集团已将通信记录交给日本警方，同时联系证券交易公司和外汇公司协助阻止异常交易、切断活跃会话。但已被窃取的其他敏感数据，仍存在被公开的风险。

时间线拉出来看，反应并不算慢：10月19日收到客户反馈的异常，10月20日发现服务器存在恶意程序，10月21日凌晨起陆续停服。目前Desktop Cloud旧产品底座已全部停用，GMO不会按原样重启系统底座，而是要重建安全架构。

补偿方案是每位受影响客户5000日元，约合人民币212元。交易账号被窃取导致的损失，GMO也提供赔付，范围以已实现的交易差损和相关手续费为限。

一个超级管理员账户打通所有客户服务器，本地磁盘重定向默认开着，缺陷从2019年躺到现在。这套组合放在任何一次安全评审里都该被拦下，但它跑了六年。