Revolut ผู้ถูกโจมตี เริ่มถูกเผยแพร่ภาพพาสปอร์ตลูกค้าและเซลฟี่ยืนยันตัวตนตั้งแต่สุดสัปดาห์ที่ผ่านมา โดยผู้โจมตีตั้งเงื่อนไขให้ชำระค่าไถ่ และขู่ปล่อยข้อมูลชุดใหม่ทุกวันจนกว่าแพลตฟินเทคจะยอมทำตามข้อเรียกร้อง
ประเด็นสำคัญ
- กลุ่มผู้ไม่หวังดีเริ่มโพสต์เอกสารยืนยันตัวตนและเซลฟี่ของลูกค้า Revolut พร้อมขู่ปล่อยข้อมูลรายวันจนกว่าจะได้รับค่าไถ่
- ข้อมูลที่รั่วไหลมีรายงานว่าครอบคลุมพาสปอร์ต หมายเลขบัญชี IBAN บันทึกการถอนเงิน และประวัติการซื้อขายแบบละเอียดครบถ้วน
- Revolut ระบุว่าเป็นลูกค้าจำนวน “จำกัดมาก” ที่ได้รับผลกระทบ และย้ำว่าระบบหลักและเงินในบัญชีลูกค้าไม่ได้ถูกเจาะ
การรั่วไหลของ Revolut ถูกเผยต่อสาธารณะ
บัญชีติดตามภัยไซเบอร์ International Cyber Digest เปิดเผย เมื่อวันที่ 13 กันยายนว่า กลุ่มแฮ็กเกอร์เลิกรอเงินค่าไถ่และเริ่มปล่อยไฟล์ของลูกค้าชื่อดังสู่สาธารณะ ชุดแรกเป็นเอกสารยืนยันตัวตนและภาพเซลฟี่ยืนยันตัวตน บัญชีเดียวกันระบุด้วยว่าก่อนหน้านั้นผู้โจมตีส่งอีเมลถึง Revolut พร้อมรายการข้อมูลที่ต้องการ ก่อนจะตัดสินใจเปิดโปง
เอกสารดังกล่าวเป็นของนักเทนนิส Alexander Shevchenko และ Felix Römer ประธานเจ้าหน้าที่บริหารเว็บไซต์คริปโทสายพนัน Gamdom สื่อสายคริปโทบางราย รายงาน ว่าค่าไถ่ถูกตั้งไว้ที่ 10,000 Bitcoin (BTC) หรือราว 780 ล้านดอลลาร์ตามราคาเมื่อวันจันทร์ ขณะที่อีกหลายแหล่งข่าวระบุว่ายังไม่มีตัวเลขที่ยืนยันชัดเจน
Revolut ปฏิเสธให้ความเห็น เกี่ยวกับยอดเงินค่าไถ่ โฆษกบริษัทระบุเพียงว่าระบบโครงสร้างพื้นฐานหลัก ฐานข้อมูล และบัญชีลูกค้า “ไม่ได้รับผลกระทบ”
อ่านเพิ่มเติม: กองทุน ETF XRP ทะยานแตะสถิติกว่า 1.7 พันล้านดอลลาร์ แม้ราคาเหรียญอ่อนตัวต่อเนื่อง 9 สัปดาห์
ZachXBT ชี้เป้าเป้าโจมตีเป็นกลุ่มวาฬ
นักสืบออนเชน ZachXBT เป็นผู้เผยแพร่ประกาศเตือนลูกค้าของ Revolut บน Telegram เขาได้ระบุ หมวดข้อมูลเพิ่มเติมที่ Revolut ไม่ได้เอ่ยถึงในอีเมลของตัวเอง รวมถึงหมายเลข IBAN บันทึกการถอนเงิน อาชีพของลูกค้า และประวัติการทำธุรกรรมบิตคอยน์ทั้งชุด โดยประเมินว่าการรั่วไหลมีขอบเขตจำกัด แต่กำหนดเป้าไปที่ลูกค้าทรัพย์สินสูงเป็นหลัก
Revolut ยังไม่ยืนยันหรือปฏิเสธการประเมินดังกล่าว และไม่ได้ระบุว่าผู้ถือครองคริปโทถูกเล็งเป็นกลุ่มเฉพาะหรือไม่ นักวิจัยด้านความปลอดภัยหลายรายเตือน ว่าการจับคู่ภาพพาสปอร์ตเข้ากับประวัติการซื้อขายแบบละเอียดสามารถเปิดทางให้ฟิชชิงแบบเจาะจงตัวเหยื่อ (spear phishing) และการวิเคราะห์ธุรกรรมบนบล็อกเชนที่เริ่มต้นจากชื่อจริงของบุคคล เอกสารยืนยันตัวตนและภาพใบหน้าสำหรับยืนยันตัวตนยังเพิ่มความเสี่ยงการปลอมแปลงตัวบุคคลสำหรับทุกคนที่ถูกเอ่ยชื่อในชุดข้อมูล
เผยที่มาช่องโหว่ Revolut
ต้นตอของการเปิดเผยข้อมูลโยงไปถึงอีเมลเพียงฉบับเดียวที่ถูกส่งจากกล่องเมลซึ่งสร้างขึ้นภายในโดเมนของหน่วยงานรัฐ “จริง” พร้อมการยืนยันตัวตนของโดเมนอีเมลที่ถูกต้อง ทำให้ผ่านระบบตรวจสอบของ Revolut ไปได้ ธนาคารและสถาบันการเงินมีพันธะต้องตอบสนองต่อคำร้องจากหน่วยงานรัฐ และเนื้อหาอีเมลถูกเขียนให้ดูเหมือนคำสั่งทางการเต็มรูปแบบ
สำเนาประกาศเตือนลูกค้า Revolut เริ่มถูกส่งต่อ กันเมื่อวันที่ 12 กันยายน โดยบริษัทระบุเหตุการณ์ครั้งนี้ว่าเป็น “การปลอมตัวจากภายนอกที่ซับซ้อน” และยืนยันว่าได้แจ้งหน่วยงานกำกับดูแลและเจ้าหน้าที่บังคับใช้กฎหมายแล้ว
ในวันเดียวกัน Mark Karpelès อดีตประธานเจ้าหน้าที่บริหารของ Mt. Gox ได้เผยแพร่ประกาศส่วนตัวของเขาเอง อย่างไรก็ดี ในฝั่งของ Revolut เองยังไม่ได้เปิดเผยจำนวนลูกค้าที่ได้รับผลกระทบ บริษัทปัจจุบันมีฐานลูกค้ามากกว่า 80 ล้านรายใน 30 ประเทศ และอยู่ระหว่างการทำดีลซื้อขายหุ้นรอง (secondary share sale) ที่ให้มูลค่ากิจการประมาณ 115,000 ล้านดอลลาร์
บทความถัดไป: Sam Altman ตัดความเป็นไปได้ IPO OpenAI ปี 2026 ชี้งานด้านความปลอดภัย AI ยังไม่พร้อม
