Revolut ระบุว่ายังไม่ได้รับข้อเรียกค่าไถ่โดยตรงใดๆ หลังเหตุข้อมูลรั่วไหลเมื่อไม่นานมานี้ นักวิเคราะห์ของ Certik อย่าง Jonathan Riss เตือนว่า กฎบังคับรู้จักลูกค้าของคุณ (KYC) ทำให้แพลตฟอร์มต่างๆ ต้องจัดเก็บข้อมูลระบุตัวตนที่อ่อนไหว ส่งผลให้กลายเป็นเป้าหมายมูลค่าสูงของแฮกเกอร์
Revolut ปฏิเสธการติดต่อจากแฮ็กเกอร์เกี่ยวกับข้อกล่าวอ้างเรียกค่าไถ่ 3 ล้านดอลลาร์ที่มีรายงาน
เขียนโดย
แชร์
ประเด็นสำคัญ
- Revolut ระบุว่าไม่ได้รับข้อเรียกค่าไถ่โดยตรง หลังแฮกเกอร์ขโมยข้อมูลของลูกค้าชาวยุโรป 680 ราย
- Jonathan Riss นักวิเคราะห์ของ Certik เตือนว่า ข้อกำหนด KYC ที่เข้มงวดสร้างเป้าหมายมูลค่าสูงให้กับอาชญากรไซเบอร์
- หน่วยงานกำกับดูแลและแพลตฟอร์มฟินเทคอย่าง Revolut อาจจำเป็นต้องลดระยะเวลาการเก็บรักษาข้อมูลระบุตัวตน เพื่อบรรเทาความเสี่ยงด้านความปลอดภัย
Revolut ระบุว่าไม่ได้รับการติดต่อเรียกร้องโดยตรง
Revolut ระบุว่าไม่ได้รับการติดต่อโดยตรงหรือข้อเรียกร้องใดๆ จากกลุ่มใดที่อ้างความรับผิดชอบต่อเหตุข้อมูลรั่วไหลล่าสุด การปฏิเสธของบริษัทฟินเทคดังกล่าวเกิดขึ้นไม่ถึง 24 ชั่วโมงหลังมีรายงาน ว่าแฮกเกอร์เรียกร้อง 6,000 XMR มูลค่า 3 ล้านดอลลาร์ เพื่อไม่ให้นำไฟล์ลูกค้าที่เข้าถึงอย่างผิดกฎหมายออกสู่ตลาด
บริษัทฟินเทคที่มีฐานอยู่ในลอนดอนยืนยันเมื่อต้นเดือนนี้ว่า บุคคลที่สามซึ่งไม่ได้รับอนุญาตได้ข้อมูลอ่อนไหวของลูกค้าจำนวนจำกัด โดยใช้โดเมนอีเมลของหน่วยงานรัฐบาลที่ถูกต้องเพื่อยื่นคำขอข้อมูลปลอม แถลงการณ์สาธารณะที่โพสต์ออนไลน์ในสัปดาห์นี้โดยแฮกเกอร์ที่ใช้ชื่อ “IAmNotAVillain” ขู่ว่าจะเผยแพร่ หรือขายข้อมูลลูกค้า หาก Revolut ไม่ยอมจ่ายเงิน
“Revolut ยังไม่ได้รับการติดต่อโดยตรงหรือข้อเรียกร้องใดๆ จากบุคคลหรือกลุ่มที่กล่าวอ้างเหล่านี้” โฆษกของบริษัทถูกอ้างคำกล่าวว่า เหตุข้อมูลรั่วไหลดังกล่าวซึ่งรายงานว่าพุ่งเป้าไปยังลูกค้ามูลค่าสุทธิสูงราว 680 รายทั่วทั้งยุโรป ไม่ได้เกี่ยวข้องกับการเจาะระบบทางเทคนิคโดยตรงเข้าสู่ระบบหลักของ Revolut
แทนที่จะเป็นเช่นนั้น ผู้โจมตีใช้วิธีวิศวกรรมสังคมเพื่อปลอมเป็นหน่วยงานรัฐเป็นเวลาหลายเดือน จนได้ไฟล์ยืนยันตัวตนลูกค้า เอกสารระบุตัวตน และบันทึกรายการธุรกรรม Revolut เน้นย้ำว่าเงินของลูกค้าและระบบภายในยังคงปลอดภัยและไม่ได้รับผลกระทบ บริษัทระบุว่าได้บล็อกที่อยู่อีเมลหลอกลวงทันทีเมื่อพบเหตุ และได้รายงานเหตุการณ์ต่อเจ้าหน้าที่บังคับใช้กฎหมาย หน่วยงานคุ้มครองข้อมูล และหน่วยงานกำกับดูแลด้านการเงินแล้ว
นักวิเคราะห์เตือนช่องโหว่ของ KYC
เหตุการณ์นี้ชี้ให้เห็นช่องโหว่เชิงระบบที่กว้างขึ้นเกี่ยวกับวิธีที่สถาบันการเงินจัดการข้อมูลระบุตัวตนที่เป็นข้อบังคับ Jonathan Riss นักวิเคราะห์ด้านโอเพนซอร์สและข่าวกรองบล็อกเชนของบริษัทความปลอดภัย Certik โต้แย้งว่า สาเหตุรากฐานไม่ได้จำกัดอยู่แค่การป้องกันของแต่ละบริษัท แต่ยังรวมถึง ข้อกำหนดด้านกฎระเบียบ เองด้วย
“ปัญหาที่แท้จริงคือ KYC ได้สร้างชั้นข้อมูลระบุตัวตนที่อ่อนไหวอย่างยิ่ง ซึ่งแพลตฟอร์มการเงินถูกบังคับให้ต้องดูแลรักษาไว้ บ่อยครั้งเพราะรัฐบาลและหน่วยงานกำกับดูแลเรียกร้องข้อมูลลูกค้าที่ละเอียดมากขึ้นเรื่อยๆ” Riss กล่าว “ดังนั้น ความรับผิดชอบจึงไม่ได้อยู่แค่กับธนาคาร ฟินเทค หรือศูนย์แลกเปลี่ยนคริปโตเคอร์เรนซีเท่านั้น”
ตามคำกล่าวของ Riss หน่วยงานภาครัฐยังต้องพิจารณาด้วยว่าข้อมูลทุกชิ้นที่กำหนดให้ส่งนั้นจำเป็นจริงหรือไม่ และควรเก็บรักษาไว้นานเพียงใด อีกทั้งควรถามด้วยว่ากระบวนการที่มีอยู่สำหรับการขอข้อมูลลูกค้านั้นปลอดภัยเพียงพอหรือไม่
ขณะเดียวกัน Riss ชี้ว่า การเปิดเผยไฟล์ระบุตัวตนที่ละเอียดสามารถนำมาซึ่งความเสี่ยงในโลกจริงที่สูงขึ้นในภาคสินทรัพย์ดิจิทัล “แพลตฟอร์มยังควรลดการเก็บรักษาให้น้อยที่สุด จำกัดการเข้าถึง และเสริมความแข็งแกร่งในการยืนยันตัวตนของคำขอจากรัฐบาลและหน่วยงานบังคับใช้กฎหมาย ผ่านช่องทางตรวจสอบอิสระ” Riss กล่าวเสริม
แม้การถกเถียงเกี่ยวกับกลยุทธ์ของแฮกเกอร์จะยังดำเนินต่อไป Riss เชื่อว่าเหตุการณ์นี้ควรกระตุ้นให้ทั้งอุตสาหกรรมและหน่วยงานกำกับดูแลทบทวนโมเดลปัจจุบันใหม่ เป้าหมายไม่ควรถูกจำกัดอยู่แค่การปกป้องกระเป๋าเงินและเงินทุนเท่านั้น แต่ควรรวมถึงการปกป้องอัตลักษณ์ทางการเงินของผู้ใช้ด้วย
บทความนี้แปลจากภาษาอังกฤษโดยใช้ AI เวอร์ชันภาษาอังกฤษต้นฉบับเป็นแหล่งข้อมูลที่เชื่อถือได้ การแปลอัตโนมัติอาจมีความไม่ถูกต้อง โดยเฉพาะอย่างยิ่งในคำศัพท์ทางกฎหมายและข้อบังคับ
