สิ่งที่เกิดขึ้นจริงในการละเมิดข้อมูลทางเอกสารของ Revolut

เมื่อคนส่วนใหญ่ได้ยินคำว่า "การละเมิดข้อมูล" พวกเขามักนึกภาพแฮกเกอร์เจาะรหัสผ่าน ใช้ช่องโหว่ของซอฟต์แวร์ หรือฝังแรนซัมแวร์ไว้ในเซิร์ฟเวอร์ของบริษัท การละเมิดข้อมูลเรียกค่าไถ่ของ Revolut ไม่ได้เกี่ยวข้องกับสิ่งเหล่านั้นเลย ตามรายงานเกี่ยวกับเหตุการณ์นี้ บริษัทฟินเทคได้เปิดเผยข้อมูลลูกค้าที่ละเอียดอ่อนหลังจากได้รับสิ่งที่ดูเหมือนเป็นคำขอจากหน่วยงานรัฐบาลที่ชอบด้วยกฎหมาย ไม่มีการบุกรุกเข้าสู่ระบบของ Revolut ไม่มีมัลแวร์ และไม่มีข้อมูลรับรองที่ถูกขโมย มีเพียงคนที่ขอข้อมูลโดยใช้คำขอปลอมแปลง และได้รับมันไป

สิ่งที่ตามมาดูไม่เหมือนการแฮกทางเทคนิค แต่更像การรีดไถ มีรายงานว่าผู้โจมตีออกคำขู่เรียกค่าไถ่ โดยขู่ว่าจะรั่วไหลข้อมูลลูกค้าที่ขโมยมาเป็นระยะๆ หากไม่จ่ายค่าไถ่ กลยุทธ์การรั่วไหลแบบเป็นระยะนี้เป็นสูตรตรงจากคัมภีร์แรนซัมแวร์มาตรฐาน ซึ่งเป็นกลยุทธ์กดดันแบบเดียวกับที่กลุ่มต่างๆ ใช้หลังจากเข้ารหัสไฟล์ของบริษัท เพียงแต่ในกรณีนี้ ไม่มีการเข้ารหัส ไม่มีแรนซัมแวร์ และไม่มีการบุกรุกเข้าสู่ระบบเลย ข้อมูลหายไปก่อนที่ "การโจมตี" ในความหมายทางเทคนิคจะเกิดขึ้นด้วยซ้ำ สำหรับรายละเอียดที่ครบถ้วนยิ่งขึ้นเกี่ยวกับคำขอปลอมแปลงที่เกิดขึ้น การละเมิดของ Revolut ที่เกี่ยวข้องกับคำขอรัฐบาลปลอม น่าอ่านเพิ่มเติม

ทำไมกรณีนี้จึงไม่เข้าข่ายคำจำกัดความดั้งเดิมของการโจมตีทางไซเบอร์

นี่คือเหตุผลที่เหตุการณ์นี้ดึงความสนใจของอุตสาหกรรมประกันภัย กรมธรรม์ประกันภัยไซเบอร์มักถูกเขียนขึ้นบนแนวคิดของการเข้าถึงทางเทคนิคโดยไม่ได้รับอนุญาต: แฮกเกอร์ฝ่าแนวป้องกัน มัลแวร์ทำงานบนเครือข่าย หรือช่องโหว่ถูกใช้ประโยชน์ กรณี Revolut ไม่เข้าเงื่อนไขใดๆ เหล่านั้นเลย ไม่มีใครบุกเข้าไป ไม่มีใครติดตั้งโค้ดอันตราย แต่กลับกัน มีคนใช้ประโยชน์จากความไว้วางใจของมนุษย์และกระบวนการของสถาบัน โดยสวมรอยเป็นหน่วยงานรัฐบาลเพื่อโน้มน้าวให้พนักงานของ Revolut ส่งข้อมูลให้ด้วยความสมัครใจ

ความแตกต่างนี้สำคัญอย่างมากต่อวิธีที่การเรียกร้องค่าสินไหมจะถูกประเมินและวิธีที่กรมธรรม์ในอนาคตจะถูกเขียนขึ้น หากคำขู่เรียกค่าไถ่และชุดข้อมูลที่ถูกขโมยมาสามารถเกิดขึ้นได้โดยไม่มีการเรียกใช้โค้ดอันตรายแม้แต่บรรทัดเดียว ผู้ประกันตนก็ต้องทบทวนใหม่ว่าอะไรกันแน่ที่มีคุณสมบัติเป็น "การโจมตีทางไซเบอร์" สำหรับวัตถุประสงค์ของความคุ้มครอง การวิศวกรรมสังคม การสวมรอย และการจัดการกระบวนการกำลังก่อให้เกิดอันตรายในโลกจริงเช่นเดียวกับการบุกรุกเครือข่ายเต็มรูปแบบ เพียงแต่ไม่มีร่องรอยทางเทคนิคที่ผู้ประกันตนเคยค้นหามาโดยตลอด

สิ่งนี้หมายความอย่างไรต่อความเป็นส่วนตัวทางการเงินของลูกค้าฟินเทค

สำหรับลูกค้า รายละเอียดทางเทคนิคว่าข้อมูลของพวกเขาถูกเปิดเผยได้อย่างไรนั้นสำคัญน้อยกว่าความจริงที่ว่ามันถูกเปิดเผยเลย ไม่ว่าบริษัทฟินเทคจะถูกบุกรุกโดยกลุ่มแฮกเกอร์ที่ช่ำชองหรือถูกหลอกด้วยคำขอปลอมที่แนบเนียน ผลลัพธ์สำหรับบุคคลก็เหมือนกัน: ข้อมูลส่วนตัวและการเงินตกอยู่ในมือของคนที่ไม่สิทธิ์ชอบธรรมในข้อมูลนั้น ซึ่งอาจตามมาด้วยภัยคุกคามเรียกค่าไถ่จากการเปิดเผยข้อมูล

กรณีนี้เป็นเครื่องเตือนใจว่าความเป็นส่วนตัวทางการเงินไม่ได้ขึ้นอยู่กับการเข้ารหัสที่แข็งแกร่งหรือไฟร์วอลล์เท่านั้น แต่ยังขึ้นอยู่กับกระบวนการภายในที่บริษัทใช้ในการตรวจสอบว่าใครเป็นผู้ขอข้อมูลจริงๆ และพวกเขาจับได้เร็วแค่ไหนเมื่อกระบวนการเหล่านั้นล้มเหลว โดยทั่วไปลูกค้าไม่สามารถมองเห็นการควบคุมภายในเหล่านั้นได้ ซึ่งทำให้เหตุการณ์แบบนี้คาดเดาได้ยากขึ้น และในบางแง่ก็ unsettling มากกว่าการแฮกแบบธรรมดา ไม่มีแพตช์ซอฟต์แวร์ที่ลูกค้าสามารถติดตั้งเพื่อป้องกันไม่ให้คนอื่นถูกหลอกด้วยคำขอรัฐบาลปลอม

ขั้นตอนปฏิบัติเพื่อปกป้องข้อมูลของคุณหลังการละเมิดที่ไม่ใช่ทางเทคนิค

แม้ว่าเหตุการณ์ประเภทนี้ไม่ได้เกิดจากช่องโหว่ทางเทคนิค การตอบสนองสำหรับบุคคลที่ได้รับผลกระทบก็ดูคล้ายกับเหตุการณ์เปิดเผยข้อมูลอื่นๆ:

  • เฝ้าดูบัญชีของคุณอย่างใกล้ชิดสำหรับการเข้าสู่ระบบ ธุรกรรม หรือความพยายามรีเซ็ตรหัสผ่านที่ผิดปกติ โดยเฉพาะในบัญชีฟินเทคที่เกี่ยวข้องและบริการทางการเงินที่เชื่อมโยงใดๆ
  • ระแวงต่อการติดต่อที่ไม่คาดคิดที่อ้างว่ามาจากธนาคาร หน่วยงานรัฐบาล หรือผู้ให้บริการฟินเทคของคุณ โดยเฉพาะหากมันอ้างถึงการละเมิดและขอให้คุณ "ยืนยัน" ข้อมูลส่วนตัว
  • พิจารณาการวางการแจ้งเตือนการฉ้อโกงหรืออายัดเครดิต หากเอกสารระบุตัวตนหรือรายละเอียดทางการเงินเป็นส่วนหนึ่งของข้อมูลที่ถูกเปิดเผย
  • ตรวจสอบว่าผู้ให้บริการฟินเทคของคุณถือข้อมูลส่วนตัวอะไรจริงๆ และคุณสามารถจำกัดหรืออัปเดตมันได้หรือไม่ เนื่องจากข้อมูลที่จัดเก็บน้อยลงหมายถึงการเปิดเผยที่น้อยลงหากเกิดเหตุการณ์แบบนี้อีก
  • ติดตามการสื่อสารอย่างเป็นทางการจากบริษัทโดยตรง แทนที่จะคลิกลิงก์ในอีเมลหรือข้อความที่อ้างถึงการละเมิด เนื่องจากเหตุการณ์เรียกค่าไถ่มักสร้างโอกาสสำหรับฟิชชิ่งที่ตามมา

ภาพรวมที่ใหญ่ขึ้นเกี่ยวกับการละเมิดข้อมูลเรียกค่าไถ่ของ Revolut

การละเมิดข้อมูลเรียกค่าไถ่ของ Revolut เป็นกรณีศึกษาที่มีประโยชน์ precisely เพราะมันทำให้เส้นแบ่งระหว่างการฉ้อโกงและการแฮกพร่ามัว ไม่มีระบบใดถูกบุกรุก แต่ข้อมูลลูกค้าก็ยังถูกเปิดเผยและถูกใช้เป็นเครื่องต่อรองกับบริษัท ในขณะที่ผู้ประกันตนปรับปรุงคำจำกัดความของสิ่งที่ถือเป็นเหตุการณ์ไซเบอร์ใหม่ ลูกค้าก็เหลือเพียงข้อคิดง่ายๆ: วิธีการละเมิดสำคัญน้อยกว่าว่าคุณสังเกตและตอบสนองได้เร็วแค่ไหน การตื่นตัวต่อกิจกรรมบัญชีที่ผิดปกติ การตรวจสอบคำขอข้อมูลส่วนตัวที่ไม่คาดคิด และการเข้าใจว่าผู้ให้บริการทางการเงินของคุณถือข้อมูลอะไรอยู่ คือการป้องกันที่ปฏิบัติได้จริงที่สุดในตอนนี้ ไม่ว่าการละเมิดครั้งต่อไปจะเกิดขึ้นอย่างไรก็ตาม