GMO không trả tiền tống tiền, treo thưởng 1 triệu USD truy thủ phạm
GMO từ chối yêu sách sau vụ xâm nhập Desktop Cloud, công bố quỹ thưởng tối đa 1 triệu USD. Ngày 28/10, tên miền trang bên tấn công bị vô hiệu hóa. Chưa xác nhận ransomware thực thi.
Cập nhật: · Giờ Việt Nam (UTC+7)
Đã đối chiếu thông báo GMO ngày 21–28/10/2026, đặc biệt bản số 9, 10, 12 và 13 cùng thể lệ GMO Cybercrime Bounty. Xác nhận truy cập trái phép, rò rỉ dữ liệu, việc bên tấn công đăng thông tin được cho là của khách hàng, quyết định không trả tiền và quỹ thưởng tổng tối đa 1 triệu USD. Theo bản số 10 (13:55 JST 27/10), GMO chưa xác nhận ransomware đã được triển khai. Chưa xác định ransomware family hay tác động ở Việt Nam; Ransomware.VN không trực tiếp phân tích log, mẫu hoặc thiết bị gốc.
Giữ ngày xuất bản bài gốc 27/10; cập nhật nội dung ngày 28/10 và giữ nguyên slug. JST UTC+9, sớm hơn giờ Việt Nam hai giờ. Lịch sử sự cố của GMO ghi nhận yêu sách khoảng 8 tỷ yên trong thư ngày 21/10; 1 triệu USD là giới hạn tổng của quỹ thưởng, KHÔNG phải số tiền chuộc được xác nhận. Con số 26.739 từ báo cáo đầu là máy chủ có thể bị ảnh hưởng, không phải số máy đã mã hóa. Ảnh hiện tại là minh họa biên tập có chữ ký PNG gốc, không phải ảnh hiện trường.
TEKNews: GMO từ chối trả tiền, treo thưởng tổng tối đa 1 triệu USD
Ngày 27/10/2026, GMO Internet Group tuyên bố không đáp ứng yêu sách của bên tấn công dịch vụ Onamae.com Desktop Cloud. Theo GMO, thanh toán không bảo đảm dữ liệu bị lấy sẽ được xóa hoặc ngăn bị lạm dụng; doanh nghiệp đang làm việc với cảnh sát. [S6]
Cùng ngày, GMO công bố chương trình GMO Cybercrime Bounty có tổng quỹ tối đa 1 triệu USD, tương đương khoảng 150 triệu yên theo tỷ giá tham khảo trong thể lệ. Đây không phải tiền chuộc hoặc khoản thưởng mặc định cho một người cung cấp tin. [S6][S8]
Đáng chú ý, lịch sử sự cố của GMO ghi nhận thư đe dọa ngày 21/10 có yêu sách khoảng 8 tỷ yên. Không nên nhầm số tiền tống tiền này với quỹ thưởng 1 triệu USD. [S7]
Điều kiện nhận thưởng và cổng tiếp nhận chính thức
Trang nhận tin chính thức là https://cybercrimebounty.gmo/; thời gian bắt đầu từ 12:00 JST ngày 28/10/2026 (10:00 giờ Việt Nam). Hạn cuối là thời điểm bắt giữ, truy nã quốc tế người liên quan, hoặc 23:59 JST ngày 27/10/2027, tùy mốc nào đến trước. Chương trình nhận thông tin tiếng Nhật, Anh và Trung. [S8]
GMO tìm thông tin mới, cụ thể và có thể kiểm chứng về danh tính, vai trò người liên quan, máy chủ, địa chỉ IP, tên miền, tài khoản sử dụng trong vụ việc, dòng tiền, ví tiền mã hóa hoặc bằng chứng liên hệ vụ tấn công. Việc gửi tin không bảo đảm nhận thưởng; khoản tiền chỉ xét dựa trên đóng góp cho điều tra, dẫn tới bắt giữ hoặc truy nã quốc tế. [S8]
GMO không yêu cầu người dân tự xâm nhập hệ thống, mua dữ liệu bị đánh cắp, tiếp xúc nghi phạm hoặc tấn công trả đũa. Không cung cấp mật khẩu, OTP, khóa bí mật hoặc phí trước cho người mạo danh chương trình. [S8]
Thông tin khách hàng bị đăng và chính sách hỗ trợ
GMO ghi nhận lúc 12:30 JST ngày 27/10 rằng bên bị nghi là tấn công đã đăng thông tin được họ mô tả là liên quan đến GMO và khách hàng. Doanh nghiệp đang xác minh nội dung; một phần dữ liệu được công bố có thể không chính xác. GMO khuyến cáo không truy cập, chia sẻ hay dẫn link trang đăng dữ liệu để tránh thiệt hại thứ cấp. [S5]
Với thông tin khách hàng đã bị công khai và được GMO xác nhận, mức hỗ trợ đặc biệt là 10.000 yên cho họ tên/liên hệ cơ bản, 15.000 yên cho ID/mật khẩu giao dịch hoặc thông tin tài chính/xác thực và 25.000 yên cho thông tin nhạy cảm. Có thể cộng dồn theo nhóm thông tin, giới hạn 3 triệu yên cho một đợt công bố. [S6]
Khoản này tách biệt khoản hỗ trợ chung 5.000 yên đã công bố trước đó và phương án bồi hoàn giao dịch trái phép nếu đủ điều kiện. [S3][S6]
Cập nhật 28/10: tên miền của trang bên tấn công bị vô hiệu hóa
Trong báo cáo số 13 phát hành lúc 11:00 JST ngày 28/10, GMO xác nhận tên miền của trang bên tấn công đã bị ngừng hoạt động vào khoảng 04:00 JST cùng ngày sau quá trình phối hợp với các đơn vị liên quan. GMO tiếp tục giám sát các trang mới và bản sao có thể xuất hiện. [S7]
Vô hiệu hóa domain không đồng nghĩa mọi bản sao dữ liệu đã được thu hồi, thủ phạm đã bị bắt hoặc nguy cơ đã chấm dứt. Không nên phát tán các liên kết mirror hay dữ liệu cá nhân để kiểm chứng. [S7]
Đã xác nhận ransomware mã hóa thiết bị khách hàng chưa?
Bên tấn công đã đe dọa công khai dữ liệu và triển khai ransomware vào 12:00 JST ngày 27/10. Tuy nhiên, bản cập nhật GMO lúc 11:59 hôm đó cho biết những thiết bị đã hoàn tất phân tích chưa phát hiện malware, kể cả ransomware. Quá trình kiểm tra vẫn tiếp tục nên chưa thể kết luận mọi thiết bị an toàn. [S4]
Tại 13:55 JST ngày 27/10, GMO vẫn chưa xác nhận ransomware đã được thực thi. Dữ liệu bị lấy hoặc công khai không tự động chứng minh file đã bị mã hóa. Chưa có mẫu thực thi, hash hoặc log gốc để Ransomware.VN xác định ransomware family. [S5]
Thông báo đầu ghi nhận 26.739 máy chủ có thể bị ảnh hưởng, không phải 26.739 thiết bị đã xác nhận mã hóa. [S1]
Phân tích TEKNews: tống tiền dữ liệu khác với xác nhận mã hóa
Vụ GMO cho thấy nhiều lớp rủi ro có thể đồng thời xảy ra: truy cập hạ tầng không được phép, dữ liệu bị đưa ra ngoài, lạm dụng tài khoản, đe dọa ransomware và phát tán thông tin. GMO phát hiện chương trình bất chính trong một số môi trường Desktop Cloud và dừng dịch vụ từ 21/10, sau đó công bố dữ liệu bị đưa ra ngoài. [S1][S3]
Đối với đơn vị vận hành hệ thống tương tự, ưu tiên là xác định phạm vi, bảo toàn log và chứng cứ, cô lập tài khoản nguy cơ, kiểm tra endpoint và tính toàn vẹn bản sao lưu trước khi khôi phục.
- Đổi mật khẩu và thu hồi phiên đăng nhập từ thiết bị sạch; bật xác thực đa yếu tố cho dịch vụ liên quan.
- Không xóa dấu vết, cài lại hoặc chạy công cụ khôi phục trên bằng chứng duy nhất trước khi sao lưu pháp chứng.
- Quét đầy đủ các endpoint có liên quan, kiểm tra backup ngoại tuyến và tính đọc được của dữ liệu.
- Không truy cập trang leak hoặc chia sẻ thông tin riêng tư; cảnh giác lừa đảo giả hỗ trợ hoặc giả chương trình thưởng. [S6][S8]
Kết luận và giới hạn xác minh
GMO tuyên bố không trả tiền, triển khai quỹ thưởng tối đa 1 triệu USD và chương trình hỗ trợ khách hàng, trong khi tiếp tục phối hợp điều tra. Sự kiện vô hiệu hóa domain là một bước giảm thiểu rủi ro phát tán, không phải tuyên bố sự cố đã kết thúc. [S6][S7]
Ransomware.VN / TEKNews sẽ theo dõi thông báo sơ cấp; hiện chưa đủ chứng cứ công khai để chỉ tên nhóm ransomware cụ thể, xác nhận mã hóa hàng loạt hoặc khẳng định có nạn nhân tại Việt Nam.
Nguồn tham khảo
Phạm vi và ngày của từng nguồn được ghi riêng khi có dữ liệu. Việc dẫn nguồn không đồng nghĩa xác minh độc lập toàn bộ nhận định.
Lịch sử cập nhật
· Đăng bản tin VI/EN từ năm thông báo sơ cấp của GMO; tách truy cập trái phép và dữ liệu bị đưa ra ngoài khỏi lời đe dọa ransomware chưa được xác nhận. Bổ sung sáu ảnh riêng dùng logo hiện hành và chữ ký TUNGTEK gốc.
· TEKNews 28/10: cập nhật GMO 9/10/12/13 và thể lệ bounty; bổ sung quỹ thưởng tổng 1 triệu USD, chính sách hỗ trợ, vô hiệu hóa domain; chưa xác nhận ransomware. Giữ URL, ngày gốc và ảnh hiện hành.
· Hoàn tất bộ media TEKNews gồm sáu WebP chuẩn kích thước, sử dụng QR bitmap dẫn đến Ransomware.VN và raster chữ ký TUNGTEK gốc trên nền sáng; thay ảnh hero, ảnh chia sẻ và thumbnail, giữ URL cùng nội dung xác minh.
Chính sách sửa bài
