💰 Los atacantes exigían 1 millón de dólares antes del mediodía del 27 de octubre. GMO Internet Group se negó a pagar, dejó pasar el plazo y esa misma noche ofreció 1 millón de dólares a quien ayude a atraparlos.

Cómo se produjo el ataque lo contamos en un artículo anterior: los hackers éticos de la propia GMO habían advertido de fallos antes del ataque. Este trata de la recompensa y de por qué en Japón tanta gente la recibió con indiferencia o con bromas.

El mismo millón, en sentido contrario

El objetivo fue Onamae.com Desktop Cloud, un servicio de GMO que alquila servidores Windows para que pequeños inversores ejecuten programas de trading automático de divisas las 24 horas. Según informó ITmedia, el presidente del grupo, Masatoshi Kumagai, reveló que la primera exigencia de los atacantes fue de 50 millones de dólares (unos 8.000 millones de yenes), con plazo hasta las 17:00 del 21 de octubre. Después la rebajaron a 1 millón de dólares, a pagar antes del mediodía del 27 de octubre, y amenazaron con publicar datos de clientes y lanzar ataques de ransomware si GMO no pagaba.

GMO no pagó. A las 12:30 del 27 de octubre confirmó que los atacantes habían publicado lo que llamaban información de clientes. Esa noche, en su duodécimo aviso sobre el incidente, la empresa aseguró que nunca cederá a las exigencias y anunció la "GMO Cybercrime Bounty", con un máximo total de 1 millón de dólares.

En su aviso, GMO no relaciona ambas cifras. Aun así, el tope de la recompensa coincide exactamente con la última exigencia de rescate.

Qué hace falta para cobrar

La web de la recompensa abrió el mediodía del 28 de octubre y recibe pistas por correo en japonés, inglés y chino. Se puede enviar información de forma anónima, pero quien quiera cobrar tendrá que verificar su identidad antes del pago.

Solo se paga si la información contribuye a una detención (también por policía extranjera) o a una orden internacional, como la notificación roja de INTERPOL. Si la información de una sola persona lo consigue, esa persona puede cobrar el millón entero. Si ayudan varias pistas, se reparte. Solo GMO decide cuánto aportó cada una, y si nadie cumple los requisitos, no se paga nada.

Quedan excluidos los autores y sus cómplices, quien obtenga la información de forma ilegal (comprar datos filtrados cuenta), quien envíe material generado por IA sin verificar, policías y otros funcionarios, y los empleados de GMO Internet Group y de sus contratistas. Tras una detención o una orden internacional, GMO publicará cuánto pagó, por qué información y a cuántas personas, sin identificarlas.

El duodécimo aviso decía que se aceptarían pistas hasta la detención del autor. Las bases publicadas al día siguiente añaden una fecha final: el programa se cierra con la detención, con una orden internacional o a las 23:59 del 27 de octubre de 2027, lo que ocurra primero.

Los "unos 150 millones de yenes" de GMO son una cifra de referencia a 150 yenes por dólar. Al cambio del 28 de octubre, unos 157,9 yenes, 1 millón de dólares se acerca más a 158 millones de yenes.

Hasta las 18:00 del primer día habían llegado 113 pistas. GMO dice que las revisa una por una.

El precedente de Coinbase

El 15 de mayo de 2025, la plataforma estadounidense de criptomonedas Coinbase informó de que unos delincuentes habían sobornado a unos pocos agentes de atención al cliente en el extranjero para copiar datos de clientes, y que después le exigieron 20 millones de dólares. Coinbase se negó. En su lugar creó un fondo de recompensa de 20 millones de dólares para pistas que ayudaran a detener y condenar a los responsables. Según la empresa, el incidente afectó a menos del 1% de los usuarios que operan cada mes.

A finales de diciembre de 2025, su consejero delegado, Brian Armstrong, publicó que la policía de Hyderabad (India) había detenido a un antiguo agente de soporte de Coinbase y que habría más detenciones. The Register informó de que no estaba claro si se había pagado alguna recompensa, y Coinbase no respondió a sus preguntas.

La policía japonesa tiene su propio sistema de recompensas por información. Con el programa de recompensas especiales de la Agencia Nacional de Policía, el tope es en principio de 3 millones de yenes (unos 19.000 dólares), y no más de 10 millones (unos 63.000 dólares) si es especialmente necesario. La recompensa de GMO supera en más de 50 veces el tope policial habitual.

¿A quién espera GMO?

En internet, muchos lo interpretaron como un intento de que la banda se delate a sí misma. En Hatena Bookmark, un servicio japonés de marcadores sociales, hubo quien lo describió como un dilema del prisionero de la vida real: vende a tus socios y llévate el millón. Otros lo vieron como la mejor disuasión posible, con cazarrecompensas de todo el mundo tras la pista de los atacantes.

Las bases no encajan del todo con esa lectura, porque los cómplices están excluidos. Quedan las personas cercanas a la banda que no participaron en el delito y quienes, desde fuera, puedan vincular un servidor, un dominio o un monedero de criptomonedas con una persona real.

Algunos sostenían que quien tenga esa clase de información no se arriesgará por 150 millones de yenes. Otros dudaban de que GMO llegue a pagar o temían que se filtraran los datos del propio informante. Y muchos repitieron el argumento de nuestro primer artículo: GMO ya tiene sus propios hackers éticos. Según las bases, esos empleados no podrían cobrar aunque encontraran a los atacantes.

Los 3 millones de yenes que no cuadran

El mismo aviso anunció un segundo pago. Los clientes cuya información se confirme publicada recibirán 10.000 yenes (unos 63 dólares) por datos básicos como nombre y contacto, 15.000 yenes (unos 95 dólares) por datos financieros y de acceso, como el usuario y la contraseña de la cuenta de trading, y 25.000 yenes (unos 158 dólares) por información personal sensible. Es aparte de los 5.000 yenes (unos 32 dólares) ya prometidos a todos los usuarios.

El encabezado habla de hasta 3 millones de yenes (unos 19.000 dólares) por publicación. Pero las tres categorías juntas suman 50.000 yenes (unos 317 dólares), y el aviso no explica cómo se llegaría a 3 millones. En Hatena, los usuarios preguntaron una y otra vez cómo salían las cuentas, y algunos acusaron al encabezado de ser un patrón oscuro. GMO dice que podría revisar los pagos si cambian el alcance o el método de las filtraciones.

TBS habló con una mujer de unos treinta años que perdió unos 1,2 millones de yenes (unos 7.600 dólares) por operaciones no autorizadas y que contó que lleva días sin apenas dormir.

La "víctima número 1" dice que nunca usó el servicio

El 27 de octubre, la web de los atacantes publicó los datos de una persona bajo el título de "víctima número 1": foto, nombre, fecha de nacimiento, domicilio, teléfono, profesión, datos familiares y más. Los atacantes anunciaron que publicarían más cada día a mediodía hasta que GMO pagara.

Después, el diario Yomiuri Shimbun habló con esa persona en una entrevista conjunta, organizada para que no se presentara una multitud de periodistas en su domicilio. Según Shueisha Online, que citó esa información, la persona aseguró que casi todo lo publicado era falso y que nunca había usado el servicio en la nube de GMO.

Hacia las 4:00 del 28 de octubre, la web y sus réplicas dejaron de funcionar tras la colaboración de GMO con otras empresas. GMO afirma que actuará para tumbar cualquier web nueva y ha enviado 20 avisos por publicaciones en X que difundían la dirección o el contenido del sitio. En los equipos que le prestaron los clientes, el análisis no ha hallado hasta ahora rastros de malware ni de ransomware, aunque las comprobaciones continúan.

Desde el principio, GMO advirtió de que el material de los atacantes podía contener información falsa. Si la "víctima número 1" nunca fue cliente, es difícil saber cuánto del resto es real.

Una recompensa pensada para esperar

Por ahora, la recompensa dura hasta un año y solo paga cuando actúa la policía, quizá la de otro país. El fondo de Coinbase tiene cerca de un año y medio, y la información pública todavía no aclara si se ha pagado algo.

Si atacaran a una empresa de tu país, ¿confiarías en que ella misma organizara la búsqueda de los culpables, o preferirías dejarla en manos de la policía?

Referencias