Revolut ยืนยันเหตุการณ์ละเมิดข้อมูลที่ไม่ได้เกิดจากการแฮ็กเซิร์ฟเวอร์ การขโมยรหัสผ่าน หรือช่องโหว่ของซอฟต์แวร์ แต่บริษัทฟินเทคยักษ์ใหญ่กล่าวว่ามิจฉาชีพเพียงแค่ขอข้อมูล และแอบอ้างเป็นผู้ที่มีอำนาจทางกฎหมายในการร้องขอข้อมูลดังกล่าว บริษัทได้แจ้งเตือนลูกค้าที่ได้รับผลกระทบและแจ้งหน่วยงานรัฐที่เกี่ยวข้อง หน่วยงานบังคับใช้กฎหมาย และหน่วยงานกำกับดูแลด้านการเงินแล้ว ซึ่งถือเป็นบทล่าสุดของเหตุการณ์ที่ vpn.social ติดตามอย่างต่อเนื่องขณะที่มีรายละเอียดใหม่ปรากฏขึ้น

เกิดอะไรขึ้น: คำขอปลอม ข้อมูลจริง

ตามคำอธิบายของ Revolut เกี่ยวกับเหตุการณ์นี้ การละเมิดข้อมูลมีต้นตอมาจากสิ่งที่บริษัทเรียกว่ากลโกงการแอบอ้างตัวตนที่ซับซ้อน บุคคลที่สามที่ไม่ได้รับอนุญาตสามารถแอบอ้างเป็นหน่วยงานรัฐที่ถูกต้องตามกฎหมาย และใช้ตัวตนปลอมนั้นยื่นคำขอข้อมูลต่อ Revolut เนื่องจากคำขอลักษณะนี้มักมาจากหน่วยงานบังคับใช้กฎหมายหรือหน่วยงานกำกับดูแลที่ทำการสอบสวนโดยชอบธรรม สถาบันการเงินมักถูกคาดหวังให้ปฏิบัติตามอย่างรวดเร็ว โดยมักไม่มีการตรวจสอบยืนยันไปมาอย่างละเอียดเหมือนกับการเข้าถึงข้อมูลประเภทอื่น

ความคาดหวังดังกล่าวคือสิ่งที่มิจฉาชีพดูเหมือนจะใช้ประโยชน์ แทนที่จะเจาะผ่านไฟร์วอลล์หรือการเข้ารหัส พวกเขาใช้ประโยชน์จากความไว้วางใจที่ฝังอยู่ในกระบวนการปฏิบัติตามกฎระเบียบเอง หลังจากนั้น Revolut ได้แจ้งลูกค้าที่ได้รับผลกระทบโดยตรง และประสานกับหน่วยงานรัฐจริงที่ตัวตนถูกนำไปใช้ในทางที่ผิด ตลอดจนหน่วยงานบังคับใช้กฎหมายและหน่วยงานกำกับดูแลด้านการเงินที่กำกับดูแลการดำเนินงานของบริษัท

นี่ไม่ใช่ครั้งแรกที่มีรายละเอียดของเหตุการณ์นี้ปรากฏขึ้น รายงานก่อนหน้าที่ vpn.social นำเสนอได้อธิบายว่าหนังสือเดินทางรั่วไหลผ่านคำขอปลอมที่เชื่อมโยงกับแผนการเดียวกัน และบทความติดตามผลได้ให้รายละเอียดว่าการละเมิดข้อมูลยังเปิดเผยข้อมูลที่เกี่ยวข้องกับคริปโตเคอเรนซีพร้อมกับเอกสารยืนยันตัวตน ผู้อ่านที่ต้องการลำดับเหตุการณ์ที่ครบถ้วนกว่าควรอ่านทั้งสองบทความควบคู่กับคำยืนยันจาก Revolut นี้

ข้อมูลลูกค้าอะไรที่ถูกเปิดเผย

Revolut ยังไม่ได้เผยแพร่รายการข้อมูลทั้งหมดที่ถูกนำไป แต่รายงานก่อนหน้าเกี่ยวกับเหตุการณ์นี้ระบุว่าเอกสารยืนยันตัวตน รวมถึงข้อมูลหนังสือเดินทาง เป็นหนึ่งในบันทึกที่ถูกเปิดเผย ลักษณะของคำขอฉ้อโกงบ่งชี้ว่าผู้โจมตีต้องการข้อมูลระบุตัวตนส่วนบุคคลและการเงินประเภทที่หน่วยงานรัฐและหน่วยงานบังคับใช้กฎหมายจำเป็นต้องใช้โดยชอบธรรมระหว่างการสอบสวน ซึ่งหมายความว่าข้อมูลน่าจะรวมถึงข้อมูลที่เชื่อมโยงโดยตรงกับตัวตนของลูกค้าและกิจกรรมในบัญชี

Revolut กล่าวว่ากำลังแจ้งลูกค้าที่ข้อมูลได้รับผลกระทบโดยตรง ซึ่งหมายความว่าผู้ที่ใช้แอปควรจับตาดูการสื่อสารอย่างเป็นทางการจากบริษัท แทนที่จะสันนิษฐานว่าตนไม่เกี่ยวข้องเพียงเพราะยังไม่ได้รับข่าวสารใดๆ

ทำไมวิศวกรรมสังคมจึงเอาชนะความปลอดภัยที่แข็งแกร่งได้

สิ่งที่ทำให้เหตุการณ์นี้น่าสนใจคือสิ่งที่มันไม่ใช่ มันไม่ใช่เรื่องของเซิร์ฟเวอร์ที่ตั้งค่าผิดพลาด ช่องโหว่ที่ไม่ได้อัปเดตแพตช์ หรือการโจมตีแบบ brute-force ต่อระบบที่เข้ารหัส Revolut เช่นเดียวกับแพลตฟอร์มฟินเทคชั้นนำส่วนใหญ่ ลงทุนหนักในมาตรการรักษาความปลอดภัยทางเทคนิค มาตรการเหล่านั้นแทบไม่มีความหมายเมื่อผู้โจมตีโน้มน้าวให้มนุษย์ ซึ่งไม่ใช่เครื่องจักร ยอมส่งข้อมูลให้ simplement

คำขอปลอมหรือคำขอแอบอ้างจากหน่วยงานรัฐและหน่วยงานบังคับใช้กฎหมายเป็นเทคนิคที่รู้จักกันทั่วอุตสาหกรรมเทคโนโลยี เพราะมันมุ่งเป้าไปที่ช่องว่างในการตรวจสอบยืนยันระหว่าง "สิ่งนี้ดูเป็นทางการ" กับ "สิ่งนี้ได้รับการยืนยันว่าเป็นทางการ" บริษัทที่ได้รับคำขอทางกฎหมายจริงเป็นประจำอาจคุ้นเคยกับการดำเนินการอย่างรวดเร็ว ซึ่งมีประสิทธิภาพสำหรับการสอบสวนจริง แต่สร้างช่องโหว่ให้กับผู้แอบอ้างที่เข้าใจเอกสารและศัพท์เฉพาะดีพอที่จะดูน่าเชื่อถือ

ความแตกต่างนี้สำคัญต่อวิธีที่ลูกค้าควรคิดเกี่ยวกับความเสี่ยงในอนาคต การละเมิดที่เกิดจากข้อบกพร่องทางเทคนิคมักได้รับการแก้ไขเพียงครั้งเดียว หลังจากนั้นช่องโหว่เฉพาะนั้นก็ถูกปิด การละเมิดที่เกิดจากการแอบอ้างสำเร็จเผยให้เห็นจุดอ่อนของกระบวนการที่ในทางทฤษฎีอาจถูกพยายามซ้ำอีก ไม่ว่าจะต่อ Revolut หรือสถาบันอื่น จนกว่าขั้นตอนการตรวจสอบยืนยันจะเข้มงวดขึ้น

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณเป็นลูกค้าของ Revolut ความเสี่ยงในทางปฏิบัติคือการเปิดเผยตัวตน ไม่ใช่การยึดบัญชีโดยตรง เอกสารเช่นสำเนาหนังสือเดินทางและข้อมูลระบุตัวตนมีค่าสำหรับมิจฉาชีพเพราะสามารถใช้เปิดบัญชีใหม่ ขอสินเชื่อ หรือข้ามการตรวจสอบตัวตนที่สถาบันอื่นได้ บางครั้งนานหลังจากเหตุการณ์ละเมิดต้นทางจางหายจากหน้าข่าว นั่นคือเหตุผลที่การเปิดเผยข้อมูลประเภทนี้ควรได้รับการปฏิบัติเป็นความเสี่ยงต่อเนื่อง มากกว่าเหตุการณ์ครั้งเดียวที่ต้องตอบสนองแล้วก็ลืมไป

Revolut ได้ประสานงานกับหน่วยงานบังคับใช้กฎหมายและหน่วยงานกำกับดูแลแล้ว ดังนั้นจึงมีการตอบสนองในระดับสถาบันที่กำลังดำเนินอยู่ แต่ลูกค้าแต่ละรายยังคงต้องรับภาระในการติดตามการเปิดเผยข้อมูลของตนเอง เนื่องจากการแจ้งเตือนจากบริษัทใดๆ ไม่สามารถย้อนคืนข้อเท็จจริงที่ว่าเอกสารอ่อนไหวถูกมองเห็นโดยบุคคลที่ไม่ได้รับอนุญาตได้อย่างสมบูรณ์

ขั้นตอนที่ควรดำเนินการตอนนี้

  • จับตาดูอีเมลแจ้งเตือนอย่างเป็นทางการจาก Revolut และตรวจสอบความถูกต้องผ่านแอปแทนการคลิกลิงก์ในข้อความที่ไม่ได้รับการร้องขอ
  • ติดตามรายงานเครดิตและบัญชีใดๆ ที่เชื่อมโยงกับเอกสารยืนยันตัวตนของคุณสำหรับกิจกรรมใหม่ที่คุณไม่รู้จัก
  • เปิดใช้ขั้นตอนการยืนยันเพิ่มเติมในบัญชี Revolut ของคุณ เช่น การยืนยันตัวตนสองขั้นตอน หากยังไม่ได้ทำ
  • ระแวงต่อการสื่อสารติดตามผลใดๆ ที่อ้างว่ามาจาก Revolut หน่วยงานรัฐ หรือหน่วยงานบังคับใช้กฎหมายที่อ้างถึงการละเมิดข้อมูลนี้ เนื่องจากมิจฉาชีพมักใช้ประโยชน์จากข่าวการละเมิดข้อมูลด้วยความพยายามฟิชชิงรอบสอง
  • อ่านรายงานก่อนหน้าของ vpn.social เกี่ยวกับการเปิดเผยข้อมูลหนังสือเดินทางและบิตคอยน์เพื่อดูลำดับเหตุการณ์ที่ครบถ้วนก่อนตัดสินใจว่ามาตรการป้องกันเพิ่มเติมใดเหมาะสมกับสถานการณ์ของคุณ

การละเมิดข้อมูลจากคำขอปลอมของหน่วยงานรัฐต่อ Revolut เป็นเครื่องเตือนใจว่าแม้แต่แพลตฟอร์มการเงินที่มีความปลอดภัยดีก็ยังคงเสี่ยงต่อการถูกใช้ประโยชน์จากความไว้วางใจของมนุษย์ มากกว่าการถูกเจาะรหัส การตื่นตัวต่อการสื่อสารอย่างเป็นทางการและจับตาข้อมูลส่วนบุคคลของคุณอย่างใกล้ชิดในสัปดาห์ข้างหน้าคือวิธีที่มีประสิทธิภาพที่สุดในการจำกัดผลกระทบ