กรณีข้อมูลลูกค้า Revolut ถูกเปิดเผย: ข้อเท็จจริงที่ยืนยันแล้ว กับข้ออ้างค่าไถ่ 3 ล้านดอลลาร์

Revolut ยืนยันว่าข้อมูลลูกค้าที่มีความอ่อนไหวถูกเปิดเผยให้บุคคลที่ไม่ได้รับอนุญาต หลังบริษัทได้รับคำขอข้อมูลปลอมซึ่งส่งมาจากโดเมนอีเมลของหน่วยงานรัฐที่เป็นโดเมนจริง บริษัทอธิบายเหตุการณ์นี้ว่าเป็นการปลอมตัวหรือวิศวกรรมสังคมจากภายนอก ไม่ใช่การยืนยันว่าระบบแกนหลักถูกเจาะ 12

ประเด็นนี้ยังมีข้ออ้างเรียกค่าไถ่จากกลุ่มที่ใช้ชื่อ “iamnotavillain” อย่างไรก็ดี ข้อเท็จจริงสำคัญคือ Revolut แจ้ง Reuters ว่า บริษัท ไม่ได้รับการติดต่อโดยตรงหรือข้อเรียกร้องค่าไถ่ จากบุคคลหรือกลุ่มที่อ้างความรับผิดชอบดังกล่าว 2

Revolut ยืนยันอะไรบ้าง

ตามคำแถลงของ Revolut ที่ Reuters รายงาน มิจฉาชีพใช้โดเมนอีเมลของหน่วยงานรัฐที่ถูกต้องเพื่อส่งคำขอข้อมูลลูกค้าอันหลอกลวง ก่อนที่ Revolut จะเปิดเผยข้อมูลอ่อนไหวแก่บุคคลที่ไม่ได้รับอนุญาต แล้วจึงตรวจพบการหลอกลวง 1

Revolut ระบุว่าได้แจ้งลูกค้าที่ได้รับผลกระทบแล้ว และในตอนแรกเรียกจำนวนดังกล่าวว่า “จำกัดมาก” ต่อมา Reuters รายงานว่ามีผู้ได้รับผลกระทบราว 680 ราย แม้ตัวเลขนี้ไม่ได้ปรากฏในคำแถลงสาธารณะฉบับแรกของบริษัท 12

รายงานที่อ้างอิงการแจ้งเตือนถึงลูกค้าที่ได้รับผลกระทบระบุว่า ข้อมูลที่อาจถูกเปิดเผยมีทั้งข้อมูลยืนยันตัวตนและข้อมูลติดต่อ เช่น วันเกิด ที่อยู่ หมายเลขโทรศัพท์ และสำเนาเอกสารยืนยันตัวตน TechCrunch รายงานด้วยว่า ข้อมูลอาจรวมถึงภาพเซลฟีเพื่อยืนยันตัวตน รายการเดินบัญชี และเอกสารอื่นที่เกี่ยวกับบัญชี 5

ระบบของ Revolut ถูกแฮ็กหรือไม่

จากคำอธิบายของ Revolut และรายงานที่อ้างแหล่งข่าวซึ่งทราบเรื่องนี้ โครงสร้างพื้นฐานหลัก ฐานข้อมูล และบัญชีลูกค้าของ Revolut ไม่ได้ถูกแฮ็ก โดยบริษัทยังระบุว่าระบบและเงินของลูกค้าไม่ได้รับผลกระทบ 12

ความแตกต่างนี้มีนัยสำคัญ เหตุการณ์ที่ยืนยันแล้วคือการเปิดเผยข้อมูลซึ่งเกิดจากคำขอปลอม ไม่ใช่การบุกรุกเชิงเทคนิคที่ยืนยันแล้วต่อระบบบัญชีหรือฐานข้อมูลของบริษัท อย่างไรก็ดี รายงานสาธารณะยังไม่ได้ยืนยันรายละเอียดเชิงเทคนิคทุกขั้นตอน จึงไม่ควรสรุปขอบเขตของเหตุการณ์เกินกว่าหลักฐานที่มี 12

ข้ออ้างเรียกค่าไถ่ 3 ล้านดอลลาร์

Reuters อ้างรายงานของ Financial Times ว่า ผู้ที่อ้างว่าอยู่เบื้องหลังเหตุการณ์ขู่ว่าจะขายข้อมูลลับของลูกค้าหลายร้อยรายให้กลุ่มอาชญากร หาก Revolut ไม่จ่ายเงิน 3 ล้านดอลลาร์ภายใน 24 ชั่วโมง 2

รายงานอื่นระบุว่าจำนวนที่เรียกร้องคือ 6,000 Monero (XMR) ซึ่งในขณะนั้นมีมูลค่าราว 3 ล้านดอลลาร์ และเรียกผู้กระทำที่อ้างตัวว่า “iamnotavillain” โดยกลุ่มดังกล่าวมีรายงานว่าเผยแพร่คำขาดพร้อมนาฬิกานับถอยหลังบนออนไลน์ และอ้างว่าไม่มีการเจรจาเกิดขึ้น 46

อย่างไรก็ตาม รายละเอียดเหล่านี้เป็นข้ออ้างของ หรือเป็นข้อมูลที่ระบุถึง ผู้ที่ถูกกล่าวหาว่าเป็นผู้โจมตี ไม่ได้ยืนยันว่าตัวตนของกลุ่มเป็นของจริง กลุ่มนี้มีข้อมูลครบทั้งหมดตามที่อ้าง หรือสามารถขายข้อมูลได้จริง ข้อเท็จจริงที่ Revolut ระบุว่าไม่ได้รับข้อเรียกร้องโดยตรง ยิ่งทำให้สถานะของคำขาดที่เผยแพร่ต่อสาธารณะยังไม่แน่ชัด 26

อะไรที่รู้แล้ว และอะไรที่ยังไม่ยืนยัน

ข้อมูลที่มีคำแถลงจาก Revolut และรายงานสำนักข่าวหลักรองรับ

• คำขอข้อมูลปลอมที่ส่งมาจากโดเมนอีเมลหน่วยงานรัฐจริง นำไปสู่การเปิดเผยข้อมูลลูกค้าที่อ่อนไหวแก่บุคคลที่ไม่ได้รับอนุญาต 1
• Revolut ระบุว่าระบบและเงินของลูกค้าไม่ได้รับผลกระทบ 1
• Reuters รายงานว่า Revolut ไม่ได้รับการติดต่อโดยตรงหรือคำเรียกค่าไถ่จากผู้ที่ถูกกล่าวหาว่าอยู่เบื้องหลัง 2
• รายงานประเมินว่ามีลูกค้าได้รับผลกระทบราว 680 ราย 24

สิ่งที่ยังไม่ยืนยัน หรือขึ้นอยู่กับข้ออ้างของผู้โจมตี

• “iamnotavillain” คือบุคคลหรือกลุ่มที่อยู่เบื้องหลังการเปิดเผยข้อมูลจริงหรือไม่ 26
• กลุ่มดังกล่าวครอบครองข้อมูลครบถ้วนตามที่อ้างหรือไม่ 26
• มีข้อมูลใดถูกขาย ส่งต่อ หรือถูกนำไปใช้โดยกลุ่มอาชญากรรมอื่นแล้วหรือไม่ 2
• ลำดับขั้นตอนด้านเทคนิคและการปฏิบัติงานทั้งหมดที่ทำให้คำขอปลอมดูน่าเชื่อถือ 12

สรุป

หลักฐานที่มีในขณะนี้ชี้ไปยังข้อสรุปที่แคบกว่า แต่ยังร้ายแรง คือ Revolut เปิดเผยข้อมูลลูกค้าที่อ่อนไหวหลังถูกหลอกด้วยคำขอที่ดูเหมือนส่งมาจากโดเมนอีเมลหน่วยงานรัฐที่ถูกต้อง ขณะที่บริษัทปฏิเสธว่ามีการเจาะโครงสร้างพื้นฐานหลักหรือบัญชีลูกค้า 12

ส่วนคำขอ Monero มูลค่า 3 ล้านดอลลาร์ เส้นตาย 24 ชั่วโมง นาฬิกานับถอยหลัง และชื่อ “iamnotavillain” เป็นข้อมูลที่มีรายงานต่อสาธารณะ แต่ยังเป็นข้อกล่าวหาที่ผูกกับผู้ที่อ้างตัวว่าเป็นผู้โจมตี จนกว่าจะมีการยืนยันโดยอิสระ ควรแยกข้ออ้างเหล่านี้ออกจากเหตุเปิดเผยข้อมูลที่ Revolut ยืนยันแล้ว 26