Crypto.com ต้องเผชิญกับข้อกล่าวหาที่ปกปิดเหตุการณ์ช่องโหว่ด้านความปลอดภัยที่เปิดเผยข้อมูลผู้ใช้

Crypto.com หนึ่งในแพลตฟอร์มแลกเปลี่ยนสกุลเงินดิจิทัลที่ใหญ่ที่สุดในโลก ไม่เปิดเผยเหตุการณ์ช่องโหว่ด้านความปลอดภัยที่เกิดจากการโจมตีของกลุ่มแฮกเกอร์ Scattered Spider ตามรายงานจากการสอบสวนของ Bloomberg investigation การโจมตีนี้เกี่ยวข้องกับกลยุทธ์วิศวกรรมสังคมที่ทำให้ข้อมูลประจำตัวพนักงานรั่วไหล ทำให้เกิดความกังวลใหม่เกี่ยวกับแนวทางด้านความโปร่งใสของบริษัทแลกเปลี่ยนและการควบคุมดูแลในอุตสาหกรรมสกุลเงินดิจิทัล

ข้อควรรู้:

• Scattered Spider เป็นกลุ่มที่ประกอบด้วยวัยรุ่นส่วนใหญ่ สามารถเจาะระบบของ Crypto.com ผ่านกลยุทธ์วิศวกรรมสังคมที่เน้นเป้าหมายเป็นข้อมูลประจำตัวของพนักงาน
• ทางแพลตฟอร์มยังไม่ได้เปิดเผยเหตุการณ์นี้อย่างเป็นทางการแม้ว่าผู้เชี่ยวชาญด้านความปลอดภัยจะยืนยันว่าความโปร่งใสเป็นสิ่งจำเป็นต่อการปกป้องผู้ใช้
• เหตุการณ์นี้ชี้ให้เห็นถึงการถกเถียงในอุตสาหกรรมเกี่ยวกับความต้องการในการเก็บข้อมูลลูกค้าและผลกระทบด้านความปลอดภัย

การโจมตีวิศวกรรมสังคมเป้าหมายข้อมูลประจำตัวพนักงาน

ผู้โจมตีแกล้งเป็นพนักงาน IT เพื่อหลอกให้พนักงานของ Crypto.com ยอมมอบข้อมูลการเข้าสู่ระบบให้ แหล่งข่าวที่คุ้นเคยกับการสอบสวนอธิบายการดำเนินการว่าเหมาะกับวิธีการของ Scattered Spider กลุ่มนี้มุ่งเน้นการหลอกล่อลูกจ้างผ่านกลยุทธ์ด้านจิตวิทยามากกว่าการใช้ความซับซ้อนทางเทคนิค

เมื่อได้เข้าสู่ระบบของบริษัทแล้ว แฮกเกอร์ได้พยายามยกระดับสิทธิ์การเข้าถึง พวกเขามุ่งเน้นบัญชีของบุคลากรระดับสูงเพื่อขยายขอบเขตการควบคุมภายในโครงสร้างของแพลตฟอร์ม

เหตุการณ์นี้ส่งผลกระทบต่อบุคคลที่ Crypto.com อธิบายว่า "มีจำนวนไม่มากนัก"

ตัวแทนของ Crypto.com บอกกับ Bloomberg ว่าเงินทุนของลูกค้ายังคงปลอดภัยตลอดเหตุการณ์ บริษัทปฏิเสธที่จะให้รายละเอียดเพิ่มเติมเกี่ยวกับขอบเขตหรือกรอบเวลาของการโจมตี เจ้าหน้าที่ของแพลตฟอร์มไม่ได้ตอบกลับการขอข้อมูลเพิ่มเติมเกี่ยวกับสิ่งที่ล่วงละเมิดด้านความปลอดภัยนี้

ผู้เชี่ยวชาญในอุตสาหกรรมวิจารณ์การตัดสินใจไม่เปิดเผยข้อมูล

ผู้เชี่ยวชาญด้านความปลอดภัยแย้งว่าการตัดสินใจของ Crypto.com ที่จะไม่เปิดเผยข้อมูลเกี่ยวกับเหตุการณ์ช่องโหว่นี้ทำลายความไว้วางใจของผู้ใช้ ความลังเลใจของพวกเขาที่จะแบ่งปันรายละเอียดของเหตุการณ์ทำให้ลูกค้าไม่มั่นใจเกี่ยวกับความเสี่ยงที่อาจเกิดขึ้นจากการเปิดเผยข้อมูลที่อาจตามมา การปิดบังนี้ยังป้องกันไม่ให้ผู้ใช้ออกมาตรการป้องกันที่เหมาะสมกับการโจมตีที่อาจตามมา

เมื่อพิจารณาจากความล้มเหลวด้านความปลอดภัยของแพลตฟอร์มอื่นๆ การวิพากษ์วิจารณ์นี้ยิ่งมีน้ำหนักมากยิ่งขึ้น Coinbase มีช่องโหว่ที่คล้ายคลึงกันซึ่งทำให้ลูกค้าสูญเสียเงินกว่า 300 ล้านเหรียญต่อปี ผู้สังเกตการณ์ในอุตสาหกรรมบ่งชี้ว่าเหตุการณ์ปิดบังเหล่านี้สร้างความเสี่ยงในระบบให้แก่อุตสาหกรรมสกุลเงินดิจิทัล

นักสืบในห่วงโซ่การทำธุรกรรม ZachXBT กล่าวหา Crypto.com ว่าปกปิดเหตุการณ์นี้อย่างจงใจ

เขาเน้นย้ำว่าเหตุการณ์นี้แสดงถึงรูปแบบของเหตุการณ์ช่องโหว่ที่ไม่ได้เปิดเผยจากแพลตฟอร์มนี้ ข้อกล่าวหาของเขาสะท้อนถึงความไม่พอใจในอุตสาหกรรมที่กว้างขึ้นต่อแพลตฟอร์มที่ลดทอนการเปิดเผยข้อมูลช่องโหว่เพื่อปกป้องชื่อเสียงของบริษัท

กรอบการกำกับดูแลต้องเผชิญกับการวิพากษ์วิจารณ์อย่างต่อเนื่อง

เหตุการณ์นี้ได้เพิ่มความเข้มงวดในการวิพากษ์วิจารณ์ข้อกำหนด Know Your Customer ที่กำหนดให้มีการเก็บข้อมูลขนาดใหญ่ นักวิจัยด้านความปลอดภัย Pcaversaccio ผู้ใช้ชื่อปลอมกล่าวว่า ระบบ KYC สร้างเป้าหมายที่น่าสนใจให้แก่อาชญากรไซเบอร์ นักวิจัยกล่าวว่าขณะที่รหัสผ่านสามารถเปลี่ยนแปลงได้ง่าย แต่เอกสารแสดงตัวตนส่วนบุคคลไม่สามารถเปลี่ยนแปลงได้ง่ายเท่า

"คุณสามารถเปลี่ยนรหัสผ่านได้ง่าย แต่ ไม่ใช่ หนังสือเดินทางของคุณและพวกเขารู้ดี" Pcaversaccio กล่าว "เราก็แค่เป็นตัวค้ำประกันในระบบการสอดส่องพวกเขา"

มุมมองนี้สอดคล้องกับความไม่เชื่อมั่นที่เพิ่มขึ้นต่อวิธีการกำกับดูแลปัจจุบันเกี่ยวกับอุตสาหกรรมสกุลเงินดิจิทัล เมื่อต้นปีที่ผ่านมา Brian Armstrong ซีอีโอของ Coinbase วิพากษ์มาตรการติดตามของ Bank Secrecy Act และกฎระเบียบป้องกันการฟอกเงินว่าล้าสมัยและไม่มีประสิทธิภาพ เขาอ้างว่า บริษัทต้องการเก็บข้อมูลลูกค้าที่ซับซ้อนซึ่งขัดแย้งกับผลประโยชน์ทางธุรกิจของพวกเขา

"เราไม่ต้องการจะเก็บมันและลูกค้าของเราก็เกลียดมัน" Armstrong อธิบาย "เราถูกบังคับให้เก็บมันทั้งๆ ที่เราไม่ต้องการ และมันยังไม่แม้แต่จะมีประสิทธิภาพในการหยุดอาชญากรรม ถ้าคุณดูข้อมูลที่อยู่ข้างหลังมัน"

การทำความเข้าใจคำหลัก

การโจมตีวิศวกรรมสังคมอาศัยการหลอกล่อทางจิตวิทยามากกว่าช่องโหว่ทางเทคนิคในการเจาะระบบรักษาความปลอดภัย ผู้โจมตีมักแกล้งทำเป็นบุคคลที่เชื่อถือได้ เช่น เจ้าหน้าที่ IT เพื่อหลอกให้เป้าหมายเปิดเผยข้อมูลสำคัญ กลยุทธ์เหล่านี้พิสูจน์ได้ว่าได้ผลมากเพราะพวกเขาใช้ประโยชน์จากจิตวิทยาของมนุษย์มากกว่าจุดอ่อนของซอฟต์แวร์

กฎ Know Your Customer กำหนดให้สถาบันการเงินต้องตรวจสอบตัวตนของลูกค้าผ่านเอกสารที่ครบถ้วน กฎเหล่านี้มีเป้าหมายในการป้องกันการฟอกเงินและการสนับสนุนการก่อการร้ายโดยการสร้างบันทึกของบัญชีผู้ถืออย่างละเอียด อย่างไรก็ตาม ผู้วิพากษ์วิจารณ์แย้งว่าแหล่งข้อมูลส่วนกลางสร้างความเสี่ยงด้านความปลอดภัยที่มีน้ำหนักมากกว่าประโยชน์ในการป้องกันอาชญากรรม

Scattered Spider แสดงถึงเจเนอเรชั่นใหม่ขององค์กรอาชญากรรมไซเบอร์ที่เน้นการหลอกลวงทางสังคมมากกว่าความซับซ้อนทางเทคนิค ความสำเร็จของกลุ่มนี้ชี้ให้เห็นว่าปัจจัยของมนุษย์มักเป็นจุดที่อ่อนแอที่สุดในเชนความปลอดภัยของบริษัท

ข้อคิดสรุป

เหตุการณ์ของ Crypto.com ชี้ให้เห็นถึงความท้าทายที่ยังคงมีอยู่ในการรักษาความปลอดภัยของแพลตฟอร์มแลกเปลี่ยนสกุลเงินดิจิทัลและการปฏิบัติตามกฎระเบียบ ความตึงเครียดระหว่างความต้องการโปร่งใสกับการจัดการชื่อเสียงของบริษัทยังคงเป็นตัวกำหนดแนวทางปฏิบัติในอุตสาหกรรมเกี่ยวกับการเปิดเผยข้อมูลช่องโหว่