Pathao mengesahkan kecurian data peribadi, dakwaan tidak disahkan mendakwa 19 juta akaun terdedah

Kecurian data disahkan, tetapi skala masih belum diketahui

Pathao mengesahkan bahawa penyerang memperoleh nama, alamat e-mel dan nombor telefon sesetengah pengguna semasa insiden keselamatan siber pada 4 Oktober yang mengganggu operasinya di Bangladesh dan Nepal. Syarikat itu belum mengesahkan dakwaan jauh lebih besar bahawa penjenayah mencuri 133 gigabait maklumat melibatkan 19,063,918 akaun dan menuntut 400,000 USDT bagi menghalang data itu daripada didedahkan.

Perbezaan ini penting: Pathao mengakui berlaku kecurian sebahagian maklumat peribadi, manakala dakwaan pendedahan rekod pengenalan diri, transaksi kewangan, kata laluan dan data lokasi masih belum disahkan. Syarikat itu belum mendedahkan jumlah individu yang terjejas, cara penyerang menceroboh sistemnya atau tempoh mereka mempunyai akses.

Dalam kenyataannya pada 7 Oktober di halaman Facebook yang disahkan, Pathao buat pertama kalinya mengesahkan secara terbuka bahawa maklumat peribadi telah diperoleh. Syarikat itu memperincikan maklumat yang difahaminya telah sampai kepada penyerang:

Kami difahamkan bahawa pelaku berniat jahat telah memperoleh maklumat peribadi tertentu, termasuk nama, alamat e-mel dan nombor telefon.

Pathao berkata pihaknya menutup sementara sistem kritikal selepas mengesan insiden itu, memulihkan perkhidmatan tidak lama kemudian dan mendapatkan khidmat pakar keselamatan siber luar. Sesetengah pengguna mungkin masih mengalami gangguan sekali-sekala sementara usaha menstabilkan platform diteruskan.

Insiden itu melangkaui satu perkhidmatan sahaja. Pathao mengendalikan perkhidmatan pengangkutan dan penghantaran selain produk kewangan, termasuk dompet digital Pathao Pay dan perkhidmatan Pathao Pay Later. Kepelbagaian itu menjadikan usaha mengenal pasti sistem dan rekod yang terjejas penting, tetapi kewujudan produk kewangan itu sendiri tidak membuktikan bahawa maklumat pembayaran telah dicuri.

Sehingga 9 Oktober, syarikat itu masih menyiasat dakwaan mengenai set data yang lebih besar. Pathao mengesahkan gangguan di kedua-dua negara, tetapi belum memberikan pecahan pengguna atau rekod yang terjejas mengikut negara.

Kronologi insiden

Laporan awam merangkumi gangguan awal, pengakuan syarikat dan respons susulan mengenai dakwaan set data itu. Tarikh-tarikh tersebut menunjukkan bila insiden dikesan dan dibincangkan secara terbuka, bukan tempoh penuh penyerang mempunyai akses.

• 4 Oktober: Pathao mengesan insiden keselamatan siber, mengalami gangguan perkhidmatan dan menutup sementara sistem kritikal sebagai langkah berjaga-jaga.
• 7 Oktober: Pathao mengakui secara terbuka bahawa sebahagian maklumat peribadi telah diperoleh. Tangkapan skrin hantaran yang didakwa dimuat naik ke forum jenayah turut tersebar di X, dengan dakwaan kecurian yang jauh lebih besar dan tuntutan wang tebusan.
• 9 Oktober: Respons lanjut syarikat mengesahkan bahawa operasi di Bangladesh dan Nepal terjejas, sementara jumlah data, bilangan rekod dan kategori maklumat sensitif yang didakwa masih disiasat.

Pathao berkata perkhidmatan disambung semula tidak lama selepas penutupan sistem. Syarikat itu belum menerbitkan tempoh tepat gangguan atau laporan teknikal mengenai pemulihan. Memulihkan akses kepada aplikasi dan menyelesaikan siasatan kebocoran data ialah dua tugas berasingan: perkhidmatan boleh beroperasi semula sementara penyiasat terus mengenal pasti maklumat yang diambil.

Kandungan set data yang didakwa

Dakwaan penjenayah itu menyebut kira-kira 250 juta baris pangkalan data merentas 591 jadual, dengan set data akaun utama mengandungi 19,063,918 rekod. Satu baris pangkalan data ialah entri individu, manakala jadual menghimpunkan entri daripada jenis tertentu. Beberapa baris boleh berkaitan dengan seorang individu, maka 250 juta baris tidak bermakna 250 juta pengguna terjejas.

Maklumat akaun yang didakwa termasuk nama, nombor telefon, alamat e-mel, data kata laluan, maklumat GPS, pengecam Facebook dan token akses. Token akses ialah kelayakan digital yang membolehkan aplikasi mengakses akaun atau perkhidmatan tanpa perlu meminta kata laluan berulang kali.

Laporan berbeza dalam cara mereka menghuraikan sebahagian dakwaan itu. Satu laporan menyatakan kata laluan telah di-hash, manakala satu lagi hanya menyebut kata laluan. Proses hashing menukarkan kata laluan kepada representasi tersimpan dan bukannya menyimpan teks yang boleh dibaca, namun pendedahannya masih boleh menimbulkan risiko bergantung pada cara kata laluan itu dilindungi. Pathao belum mengesahkan bahawa mana-mana bentuk kata laluan itu telah diambil.

Strukturnya juga dihuraikan secara berbeza: sesetengah laporan menyebut 591 unit itu sebagai jadual pangkalan data, manakala laporan lain menyebutnya pangkalan data atau repositori data. Istilah-istilah itu tidak boleh saling menggantikan. Tanpa set data yang disahkan atau dapatan teknikal, struktur tepatnya tidak dapat dipastikan.

Rekod pengenalan diri yang didakwa merangkumi 19,059,387 nombor kad pengenalan kebangsaan dan 19,046,583 rekod lesen memandu. Dakwaan itu turut menyebut kira-kira 5.7 juta alamat rumah dan, dalam sesetengah laporan, sekitar 19 juta foto pengguna. Pathao belum mengesahkan mana-mana kategori itu.

Jumlah akaun yang dinyatakan dengan tepat sekalipun tidak membuktikan bilangan individu berbeza yang terjejas. Penyiasat perlu menentukan sama ada rekod itu tulen, terkini atau pendua sebelum menganggap angka tersebut sebagai jumlah pengguna terjejas.

Rekod pekerja, peniaga dan transaksi turut didakwa dicuri

Dakwaan kecurian itu melangkaui profil pelanggan. Set data yang didakwa mengandungi rekod 549 pekerja, termasuk butiran kad pengenalan kebangsaan, gaji, pegangan agama dan nombor untuk dihubungi ketika kecemasan. Dakwaan lain menyebut rekod akses pentadbiran, lokasi penghantaran dan rekod perjalanan pemandu.

Dakwaan berkaitan kewangan merangkumi 17,943 rekod akaun bank dan maklumat laluan bank peniaga, serta 845,872 rekod transaksi debit langsung. Maklumat laluan bank mengenal pasti institusi atau cawangan yang terlibat dalam pembayaran. Rekod transaksi mendokumenkan urus niaga pembayaran, tetapi kewujudannya sahaja tidak membuktikan bahawa penyerang boleh memindahkan wang.

Angka-angka ini merujuk kepada jenis rekod yang berbeza, bukan satu jumlah yang boleh dicampurkan untuk menentukan bilangan mangsa. Butiran pekerja, akaun peniaga dan transaksi berulang mungkin bertindih dengan entri lain dalam set data yang didakwa itu.

Pengurus Perkongsian dan Perhubungan Awam Pathao, Md. Foyej, berkata syarikat itu belum mengesahkan dakwaan mengenai kategori maklumat sensitif. Dalam respons melalui e-mel, beliau berkata:

Dakwaan mengenai NID, lesen memandu, lokasi, alamat atau data kewangan belum disahkan pada peringkat ini. Sebarang maklumat lanjut yang telah disahkan akan disampaikan melalui saluran rasmi Pathao.

Tuntutan wang tebusan belum disahkan

Hantaran penjenayah yang didakwa itu menuntut 400,000 USDT, yang menurut laporan bernilai kira-kira $400,000. USDT, juga dikenali sebagai Tether, ialah mata wang kripto yang direka untuk mengekalkan nilai sejajar dengan dolar AS. Kumpulan itu dilaporkan memberi Pathao tempoh 24 jam untuk membayar dan mengugut akan mendedahkan maklumat secara berperingkat.

Pendedahan yang diugut itu dilaporkan merangkumi maklumat pengenalan diri, bank, pekerja dan pentadbiran. Dakwaan itu dan tarikh akhir yang dinyatakan tidak dapat disahkan secara bebas. Laporan yang ada tidak mengesahkan bila tempoh itu bermula, sama ada keputusan pembayaran dibuat atau sama ada maklumat kemudiannya didedahkan.

Foyej, yang bercakap bagi pihak Pathao, enggan mengesahkan tuntutan yang didakwa itu:

Pathao tidak mahu mengulas dakwaan yang belum disahkan mengenai tuntutan wang tebusan.

Ugutan untuk menerbitkan maklumat yang dicuri ialah satu bentuk pemerasan data. Ia tidak semestinya bermakna penyerang menyulitkan sistem atau menghalang syarikat daripada mengakses failnya sendiri. Pathao belum mendedahkan bukti penyulitan atau menjelaskan mekanisme teknikal yang menyebabkan gangguan itu.

Langkah yang menurut Pathao telah diambil

Respons yang diumumkan Pathao mempunyai tiga elemen utama: menutup sistem kritikal, mendapatkan khidmat pakar keselamatan siber luar dan memaklumkan pihak berkuasa berkaitan. Syarikat itu berkata pihaknya telah memaklumkan agensi penguatkuasaan undang-undang atau badan kerajaan mengikut peraturan yang berkenaan, tetapi tidak mengenal pasti agensi atau peruntukan undang-undang tertentu.

Dalam kenyataan awamnya, Pathao menghuraikan respons segera dan peranan pakar yang dilantik:

Langkah pembendungan segera telah diambil, dan pakar keselamatan siber luar telah dilantik untuk memperkukuh kawalan keselamatan serta membantu memastikan sistem Pathao kekal selamat dan stabil.

Syarikat itu berkata pihaknya bekerjasama dengan pihak berkuasa sepanjang siasatan diteruskan. Pathao memohon maaf kepada pengguna, pemandu, peniaga dan rakan kongsi atas insiden serta gangguan itu, sambil mengakui tanggungjawabnya untuk melindungi maklumat yang diamanahkan kepadanya.

Foyej turut berkata langkah berjaga-jaga mungkin menyebabkan sesetengah pengguna dilog keluar secara automatik. Pengguna berkenaan boleh log masuk semula untuk menggunakan perkhidmatan. Log keluar automatik sahaja bukan bukti bahawa maklumat seseorang telah dicuri.

Risiko yang boleh timbul daripada maklumat hubungan

Pendedahan nama, alamat e-mel dan nombor telefon yang disahkan memberikan maklumat kepada penyerang yang boleh menjadikan komunikasi palsu kelihatan meyakinkan. Mesej yang menyebut nama seseorang dan merujuk kepada perkhidmatan yang digunakannya mungkin kelihatan lebih dipercayai berbanding permintaan tanpa nama.

Pancingan data berlaku apabila seseorang menyamar sebagai organisasi atau individu yang dipercayai untuk memujuk orang lain mendedahkan maklumat, membuka pautan berbahaya atau membenarkan sesuatu tindakan. Pathao memberi amaran mengenai kemungkinan ini, tetapi tidak mengatakan bahawa serangan pancingan data atau penyamaran yang berkaitan dengan kebocoran itu telah berlaku.

Pakar teknologi maklumat Suman Ahmed Sabir menyatakan kecurian identiti, penipuan perbankan, pancingan data, pemerasan dan pencerobohan akaun media sosial sebagai risiko yang mungkin berlaku jika dakwaan lebih luas itu terbukti benar. Penilaiannya merujuk kepada kemungkinan akibat, bukan jenayah yang telah disahkan terhadap pengguna Pathao.

Jenis maklumat yang terdedah mempengaruhi tahap risiko. Maklumat hubungan boleh digunakan untuk penipuan yang disasarkan; dokumen pengenalan diri boleh digunakan dalam cubaan menyamar; rekod lokasi dan perjalanan boleh mendedahkan pergerakan peribadi. Token akses boleh menimbulkan risiko keselamatan akaun, bergantung pada kebenaran yang diberikan dan sama ada token itu masih sah. Pathao belum mengesahkan pendedahan kategori yang lebih sensitif ini.

Nasihat kepada pengguna

Nasihat utama Pathao ialah supaya pengguna berhati-hati dengan mesej, panggilan dan pautan yang tidak dijangka daripada sesiapa yang mendakwa mewakili syarikat itu. Pathao meminta pengguna supaya tidak berkongsi kata laluan, PIN atau kata laluan sekali guna sebagai respons kepada komunikasi sedemikian.

OTP ialah kod sementara yang digunakan untuk meluluskan log masuk atau transaksi. Perkongsian kod itu boleh membolehkan orang lain menyelesaikan tindakan yang dilindunginya, walaupun mereka tidak mengetahui kata laluan biasa akaun berkenaan.

Syarikat itu menasihatkan pengguna supaya merujuk saluran komunikasinya yang rasmi untuk mendapatkan maklumat terkini yang telah disahkan. Nasihat keselamatan berkaitan insiden itu turut menyarankan pengguna mengelakkan pautan yang tidak dikenali dan mengaktifkan pengesahan dua faktor pada Facebook serta akaun lain. Langkah ini menambah satu tahap pengesahan selain kata laluan.

Langkah berjaga-jaga ini menangani kemungkinan penyalahgunaan maklumat tanpa menganggap semua dakwaan itu benar. Tiada jumlah akaun Facebook yang diceroboh, transaksi penipuan atau kes kecurian identiti yang berpunca daripada insiden ini telah disahkan.

Perkara yang masih perlu dipastikan dalam siasatan

Pakar keselamatan siber Tanvir Hassan Zoha mengesyorkan siasatan forensik digital bebas, pemeliharaan pelayan dan log akses yang berkaitan serta pemakluman kepada pengawal selia dan agensi penguatkuasaan undang-undang mengikut undang-undang yang berkenaan. Forensik digital menggunakan bukti teknikal untuk membina semula apa yang berlaku, termasuk sistem yang diakses dan tindakan yang dilakukan.

Pemeliharaan log penting kerana maklumat itu boleh membantu mengenal pasti kaedah pencerobohan, tempoh akses tanpa kebenaran dan rekod yang dicapai penyerang. Pathao telah mengumumkan penglibatan pakar luar, tetapi belum mendedahkan sama ada kerja mereka merupakan siasatan forensik bebas atau menerbitkan dapatan mereka.

Sabir turut berpendapat bahawa pemantauan keselamatan siber Bangladesh berdepan kekangan kakitangan dan sumber, termasuk dalam institusi yang bertanggungjawab menangani insiden. Beliau menyeru supaya diwujudkan rangka kerja undang-undang bagi membayar pampasan kepada pelanggan yang mengalami kerugian. Itu ialah penilaian dan saranannya, bukannya dapatan pihak berkuasa yang menyiasat Pathao.

Persoalan segera yang masih belum terjawab lebih khusus: berapa ramai pengguna terjejas, kategori maklumat yang mana telah diambil, sama ada rekod dari kedua-dua negara terdedah dan sama ada kelayakan kewangan atau akaun yang didakwa itu tulen. Pathao belum mengumumkan tarikh siasatan akan selesai, dapatan akan diterbitkan atau kemas kini seterusnya akan dikeluarkan.

Janji syarikat untuk menyampaikan maklumat yang telah disahkan mengekalkan satu perbezaan penting yang perlu diberi perhatian pengguna. Kecurian sebahagian data peribadi telah disahkan. Dakwaan mengenai set data 133 gigabait yang mengandungi lebih 19 juta akaun, rekod pengenalan diri yang luas dan maklumat kewangan masih belum disahkan.

Perkara Utama

• Pathao mengesahkan bahawa penyerang memperoleh nama, alamat e-mel dan nombor telefon sesetengah pengguna semasa insiden pada 4 Oktober.
• Operasi di Bangladesh dan Nepal terganggu, dan sesetengah pengguna mungkin mengalami gangguan sekali-sekala semasa kerja penstabilan dijalankan.
• Dakwaan mengenai 133 gigabait, 19,063,918 akaun dan kira-kira 250 juta baris pangkalan data masih belum disahkan.
• Pathao belum mengesahkan dakwaan pendedahan kata laluan, rekod pengenalan diri, data lokasi atau maklumat kewangan.
• Dakwaan mengenai tuntutan 400,000 USDT dan tempoh 24 jam belum disahkan oleh syarikat.
• Pakar keselamatan siber luar telah dilibatkan, pihak berkuasa berkaitan telah dimaklumkan dan tarikh siasatan akan selesai belum diumumkan.
• Pengguna telah diberi amaran tentang komunikasi yang tidak diminta dan dinasihatkan supaya tidak berkongsi kata laluan, PIN atau OTP.