GMO : Kumagai refuse de payer la rançon après l'intrusion

Masatoshi Kumagai, dirigeant de GMO Internet Group, a affirmé le 2 novembre que le groupe ne paierait pas de rançon aux auteurs de l'accès non autorisé à « Onamae.com Desktop Cloud », un service de serveurs privés virtuels (VPS) dédié au trading automatique sur le forex, exploité par GMO Internet. Il s'exprimait lors d'une conférence consacrée à l'incident.

La séance comptait trois parties. Dans la première, Kumagai et d'autres dirigeants ont présenté leurs excuses, puis le vice-président Hiroshi Yamashita a retracé le déroulement des dégâts. Dans la deuxième, Kumagai a détaillé les enseignements tirés et les évolutions du secteur. Lors des questions, il a précisé que cette fuite de données et la hausse des cyberattaques par IA étaient deux sujets distincts.

« Pas un pas » vers le paiement

Âgé de 63 ans, Kumagai a rappelé ses 31 années dans l'industrie d'Internet et assure n'avoir jamais prononcé les mots « gagner de l'argent » : le profit est un résultat, pas un but. Évoquant les 23 ans écoulés depuis l'entrée du groupe dans les autorités de certification, il a eu les larmes aux yeux et dit souhaiter un Internet sûr.

Selon lui, les fuites de données quotidiennes s'expliquent par l'essor de l'IA. Depuis le lancement de ChatGPT par OpenAI le 30 novembre 2022, le rythme du changement est devenu exponentiel puis quasi vertical, surtout ces six derniers mois, car « l'IA développe l'IA ». Les criminels se sont adaptés les premiers ; GMO ne leur versera donc « pas un yen », car leur objectif est l'argent et payer les encouragerait.

Il a cité une attaque contre des établissements financiers sud-coréens menée avec l'outil d'IA ARTEX. D'après lui, cet outil bascule entre plusieurs IA et continue de chercher les failles même lorsqu'un modèle refuse de répondre : avec un peu de connaissances, un lycéen pourrait devenir un criminel. La situation actuelle n'est selon lui que « le prologue ».

De la sécurité à la résilience

La principale erreur, a reconnu Kumagai, est d'avoir tardé à adopter la « résilience », notion présente dans le secteur depuis plus de dix ans : on ne peut empêcher toutes les intrusions, mais on peut les stopper vite et rétablir les services. GMO doit passer « d'entreprise de sécurité à entreprise de résilience ».

Il compare les attaques à un passage du « pistolet à la mitrailleuse » et prévient qu'Internet deviendrait inutilisable si la société ne suit pas. Sans vouloir détourner l'attention de sa propre faute, il a invité les journalistes à relayer ce message.