Pathao ยืนยันข้อมูลส่วนบุคคลถูกขโมย ขณะที่ข้อกล่าวหาที่ยังไม่ผ่านการยืนยันระบุว่ามีบัญชีถูกเปิดเผย 19 ล้านบัญชี

ยืนยันข้อมูลถูกขโมย แต่ยังไม่ทราบขอบเขต

Pathao ยืนยันว่า ผู้โจมตีได้ข้อมูลชื่อ ที่อยู่อีเมล และหมายเลขโทรศัพท์ของผู้ใช้บางส่วน ระหว่างเหตุการณ์ด้านความปลอดภัยทางไซเบอร์เมื่อวันที่ 4 ตุลาคม ซึ่งทำให้การดำเนินงานในบังกลาเทศและเนปาลหยุดชะงัก อย่างไรก็ตาม บริษัทยังไม่ได้ยืนยันข้อกล่าวหาที่มีขอบเขตกว้างกว่ามากว่า อาชญากรขโมยข้อมูลขนาด 133 กิกะไบต์ ซึ่งครอบคลุมบัญชี 19,063,918 บัญชี และเรียกเงิน 400,000 USDT เพื่อแลกกับการไม่นำข้อมูลออกเผยแพร่

ข้อแตกต่างนี้มีความสำคัญ กล่าวคือ Pathao ยอมรับว่ามีข้อมูลส่วนบุคคลบางส่วนถูกขโมย ส่วนข้อกล่าวหาว่ามีการเปิดเผยเอกสารยืนยันตัวตน ธุรกรรมทางการเงิน รหัสผ่าน และข้อมูลตำแหน่งที่ตั้งนั้นยังไม่ได้รับการยืนยัน บริษัทไม่ได้เปิดเผยว่ามีผู้ได้รับผลกระทบกี่คน ผู้โจมตีเข้าถึงระบบได้อย่างไร หรือเข้าถึงระบบนานเพียงใด

ในแถลงการณ์เมื่อวันที่ 7 ตุลาคมบนเพจ Facebook ที่ได้รับการยืนยัน Pathao ยืนยันต่อสาธารณะเป็นครั้งแรกว่ามีข้อมูลส่วนบุคคลถูกนำไป บริษัทระบุข้อมูลที่เข้าใจว่าตกไปถึงมือผู้โจมตีไว้ดังนี้:

เราเข้าใจว่าผู้ไม่หวังดีได้ข้อมูลส่วนบุคคลบางอย่างไป ซึ่งรวมถึงชื่อ ที่อยู่อีเมล และหมายเลขโทรศัพท์

Pathao ระบุว่าได้ปิดระบบสำคัญชั่วคราวหลังตรวจพบเหตุการณ์ จากนั้นจึงกลับมาให้บริการได้ไม่นาน และว่าจ้างผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์จากภายนอก ผู้ใช้บางรายอาจยังพบปัญหาเป็นระยะระหว่างที่บริษัทยังคงดำเนินงานเพื่อทำให้แพลตฟอร์มมีเสถียรภาพ

เหตุการณ์นี้ส่งผลครอบคลุมบริการมากกว่าหนึ่งประเภท Pathao ให้บริการขนส่งและจัดส่งสินค้า ควบคู่ไปกับผลิตภัณฑ์ทางการเงิน ซึ่งรวมถึงกระเป๋าเงินดิจิทัล Pathao Pay และบริการ Pathao Pay Later การให้บริการหลายประเภททำให้การตรวจสอบว่าระบบและข้อมูลใดได้รับผลกระทบเป็นเรื่องจำเป็น แต่การมีผลิตภัณฑ์ทางการเงินไม่ได้เป็นหลักฐานในตัวเองว่าข้อมูลการชำระเงินถูกขโมย

ณ วันที่ 9 ตุลาคม บริษัทยังคงสอบสวนข้อกล่าวหาเกี่ยวกับชุดข้อมูลขนาดใหญ่ และยืนยันแล้วว่าการดำเนินงานในทั้งสองประเทศหยุดชะงัก แต่ยังไม่ได้แจกแจงจำนวนผู้ใช้หรือข้อมูลที่ได้รับผลกระทบแยกตามประเทศ

ลำดับเหตุการณ์

ข้อมูลที่เปิดเผยต่อสาธารณะครอบคลุมตั้งแต่ช่วงที่บริการหยุดชะงัก การยอมรับของบริษัท ไปจนถึงการชี้แจงภายหลังเกี่ยวกับชุดข้อมูลที่ถูกกล่าวอ้าง วันที่เหล่านี้ยืนยันว่าเหตุการณ์เกิดขึ้นและมีการกล่าวถึงต่อสาธารณะเมื่อใด แต่ไม่ได้บอกระยะเวลาทั้งหมดที่ผู้โจมตีเข้าถึงระบบ

• 4 ตุลาคม: Pathao ตรวจพบเหตุการณ์ด้านความปลอดภัยทางไซเบอร์ บริการหยุดชะงัก และปิดระบบสำคัญชั่วคราวเพื่อเป็นมาตรการป้องกัน
• 7 ตุลาคม: Pathao ยอมรับต่อสาธารณะว่ามีข้อมูลส่วนบุคคลบางส่วนถูกนำไป ขณะเดียวกัน ภาพหน้าจอของโพสต์ที่อ้างว่าเป็นของอาชญากรบนฟอรัมแห่งหนึ่งได้เผยแพร่บน X โดยระบุว่ามีการขโมยข้อมูลในวงกว้างและเรียกค่าไถ่
• 9 ตุลาคม: การชี้แจงเพิ่มเติมจากบริษัทระบุว่าการดำเนินงานในบังกลาเทศและเนปาลได้รับผลกระทบ ขณะที่ปริมาณข้อมูล จำนวนระเบียน และประเภทข้อมูลอ่อนไหวตามข้อกล่าวหายังคงอยู่ระหว่างการสอบสวน

Pathao ระบุว่าบริการกลับมาใช้งานได้ไม่นานหลังปิดระบบ บริษัทไม่ได้เปิดเผยระยะเวลาที่บริการหยุดชะงักอย่างแน่ชัด หรือรายละเอียดทางเทคนิคเกี่ยวกับการกู้คืนระบบ การเปิดให้เข้าใช้แอปได้อีกครั้งกับการสอบสวนเหตุข้อมูลรั่วไหลให้เสร็จสิ้นเป็นคนละเรื่องกัน บริการอาจกลับมาใช้งานได้ขณะที่ผู้สอบสวนยังตรวจสอบอยู่ว่าข้อมูลใดถูกนำออกไป

ชุดข้อมูลที่ถูกกล่าวอ้างมีอะไรบ้าง

ข้อกล่าวหาของอาชญากรระบุว่ามีแถวข้อมูลประมาณ 250 ล้านรายการจาก 591 ตาราง โดยชุดข้อมูลบัญชีหลักมี 19,063,918 ระเบียน แถวข้อมูลหนึ่งแถวคือรายการข้อมูลหนึ่งรายการ ส่วนตารางใช้จัดกลุ่มรายการข้อมูลประเภทเดียวกัน หลายแถวอาจเกี่ยวข้องกับบุคคลคนเดียว ดังนั้นข้อมูล 250 ล้านแถวจึงไม่ได้หมายความว่ามีผู้ได้รับผลกระทบ 250 ล้านคน

ข้อมูลบัญชีที่ถูกกล่าวอ้างประกอบด้วยชื่อ หมายเลขโทรศัพท์ ที่อยู่อีเมล ข้อมูลรหัสผ่าน ข้อมูล GPS ตัวระบุบัญชี Facebook และโทเคนสำหรับเข้าถึงบัญชี โทเคนสำหรับเข้าถึงบัญชีคือข้อมูลรับรองดิจิทัลที่อาจทำให้แอปพลิเคชันเข้าถึงบัญชีหรือบริการได้โดยไม่ต้องขอรหัสผ่านซ้ำทุกครั้ง

รายงานต่าง ๆ ระบุรายละเอียดบางส่วนของข้อกล่าวหาไม่ตรงกัน รายงานหนึ่งระบุว่าเป็นรหัสผ่านที่ผ่านการแฮช ขณะที่อีกรายงานเรียกเพียงว่ารหัสผ่าน การแฮชคือการแปลงรหัสผ่านเป็นข้อมูลรูปแบบหนึ่งเพื่อจัดเก็บ แทนการเก็บเป็นข้อความที่อ่านได้ แต่การเปิดเผยข้อมูลก็ยังอาจก่อความเสี่ยง ขึ้นอยู่กับวิธีที่ใช้ปกป้องข้อมูล Pathao ยังไม่ได้ยืนยันว่ามีการขโมยข้อมูลรหัสผ่านในรูปแบบใด

รายละเอียดโครงสร้างข้อมูลก็แตกต่างกันเช่นกัน บางแหล่งเรียกหน่วยข้อมูลทั้ง 591 หน่วยว่าตารางฐานข้อมูล ขณะที่อีกแหล่งเรียกว่าฐานข้อมูลหรือคลังข้อมูล คำเหล่านี้ใช้แทนกันไม่ได้ หากไม่มีชุดข้อมูลที่ตรวจสอบความถูกต้องแล้วหรือข้อค้นพบทางเทคนิค ก็ยังไม่อาจระบุโครงสร้างที่แน่นอนได้

เอกสารยืนยันตัวตนที่ถูกกล่าวอ้างประกอบด้วยหมายเลขบัตรประชาชน 19,059,387 รายการ และข้อมูลใบอนุญาตขับขี่ 19,046,583 รายการ ข้อกล่าวหายังระบุว่ามีที่อยู่บ้านประมาณ 5.7 ล้านรายการ และบางแหล่งอ้างว่ามีภาพถ่ายผู้ใช้ประมาณ 19 ล้านภาพ Pathao ยังไม่ได้ยืนยันว่ามีข้อมูลประเภทใดในรายการเหล่านี้ถูกเปิดเผย

แม้แต่จำนวนบัญชีที่ระบุอย่างเจาะจงก็ไม่ได้บอกจำนวนบุคคลที่ได้รับผลกระทบ ผู้สอบสวนต้องตรวจสอบก่อนว่าระเบียนเหล่านั้นเป็นข้อมูลจริง เป็นข้อมูลปัจจุบัน หรือมีรายการซ้ำหรือไม่ จึงจะใช้ตัวเลขดังกล่าวแทนจำนวนผู้ได้รับผลกระทบได้

มีข้อกล่าวหาเรื่องข้อมูลพนักงาน ร้านค้า และธุรกรรมด้วย

การขโมยข้อมูลที่ถูกกล่าวอ้างไม่ได้จำกัดอยู่แค่ประวัติลูกค้า ชุดข้อมูลดังกล่าวยังรวมระเบียนที่เกี่ยวข้องกับพนักงาน 549 คน ซึ่งมีรายละเอียดบัตรประชาชน เงินเดือน ความนับถือทางศาสนา และหมายเลขติดต่อฉุกเฉิน ข้อกล่าวหาอื่น ๆ ระบุถึงข้อมูลการเข้าถึงระบบผู้ดูแลระบบ สถานที่จัดส่ง และประวัติเส้นทางของพนักงานขับรถ

ข้อกล่าวหาเกี่ยวกับข้อมูลทางการเงินประกอบด้วยรายละเอียดบัญชีธนาคารและรหัสเส้นทางธนาคารของร้านค้า 17,943 รายการ รวมถึงระเบียนธุรกรรมหักบัญชีโดยตรง 845,872 รายการ ข้อมูลเส้นทางธนาคารใช้ระบุสถาบันหรือสาขาที่เกี่ยวข้องกับการชำระเงิน ส่วนระเบียนธุรกรรมบันทึกเหตุการณ์การชำระเงิน แต่การมีข้อมูลดังกล่าวไม่ได้พิสูจน์ด้วยตัวเองว่าผู้โจมตีสามารถโอนเงินได้

ตัวเลขเหล่านี้หมายถึงระเบียนคนละประเภท ไม่ใช่จำนวนเดียวที่นำมาบวกกันเพื่อระบุจำนวนผู้เสียหายได้ ข้อมูลพนักงาน บัญชีร้านค้า และธุรกรรมที่เกิดซ้ำอาจทับซ้อนกับข้อมูลรายการอื่นในชุดข้อมูลที่ถูกกล่าวอ้าง

Md. Foyej ผู้จัดการฝ่ายพันธมิตรและประชาสัมพันธ์ของ Pathao ระบุว่าบริษัทยังไม่ได้ตรวจสอบข้อกล่าวหาเกี่ยวกับข้อมูลอ่อนไหว ในการตอบทางอีเมล เขากล่าวว่า:

ขณะนี้ยังไม่มีการยืนยันข้อกล่าวหาเกี่ยวกับข้อมูลบัตรประชาชน ใบขับขี่ ตำแหน่งที่ตั้ง ที่อยู่ หรือข้อมูลทางการเงิน หากมีข้อมูลเพิ่มเติมที่ผ่านการตรวจสอบแล้ว Pathao จะแจ้งผ่านช่องทางอย่างเป็นทางการของบริษัท

ข้อเรียกค่าไถ่ยังไม่ได้รับการยืนยัน

โพสต์ที่อ้างว่าเป็นของอาชญากรเรียกเงิน 400,000 USDT ซึ่งรายงานต่าง ๆ ระบุว่ามีมูลค่าประมาณ 400,000 ดอลลาร์สหรัฐ USDT หรือที่รู้จักกันในชื่อ Tether เป็นคริปโทเคอร์เรนซีที่ออกแบบมาให้มีมูลค่าอิงกับเงินดอลลาร์สหรัฐ มีรายงานว่ากลุ่มดังกล่าวให้เวลา Pathao 24 ชั่วโมงในการชำระเงิน และขู่ว่าจะทยอยเผยแพร่ข้อมูล

ข้อมูลที่จะเผยแพร่ตามคำขู่มีทั้งข้อมูลยืนยันตัวตน บัญชีธนาคาร พนักงาน และผู้ดูแลระบบ ไม่สามารถตรวจสอบข้อกล่าวหาและกำหนดเวลาดังกล่าวได้อย่างเป็นอิสระ รายงานที่มีอยู่ไม่ได้ยืนยันเวลาเริ่มนับกำหนดเส้นตาย การตัดสินใจชำระเงิน หรือการเผยแพร่ข้อมูลในเวลาต่อมา

Foyej ในนามของ Pathao ปฏิเสธที่จะแสดงความเห็นยืนยันข้อเรียกดังกล่าว:

Pathao ไม่ประสงค์จะแสดงความเห็นเกี่ยวกับข้อกล่าวหาที่ยังไม่ได้รับการยืนยันเรื่องการเรียกค่าไถ่

การขู่ว่าจะเผยแพร่ข้อมูลที่ขโมยมาเป็นการรีดไถข้อมูลรูปแบบหนึ่ง แต่ไม่ได้หมายความเสมอไปว่าผู้โจมตีเข้ารหัสระบบหรือขัดขวางไม่ให้บริษัทเข้าถึงไฟล์ของตนเอง Pathao ไม่ได้เปิดเผยหลักฐานว่ามีการเข้ารหัสหรืออธิบายกลไกทางเทคนิคที่ทำให้บริการหยุดชะงัก

สิ่งที่ Pathao ระบุว่าได้ดำเนินการ

มาตรการตอบสนองที่ Pathao ประกาศมีสามส่วนหลัก ได้แก่ การปิดระบบสำคัญ การว่าจ้างผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์จากภายนอก และการแจ้งหน่วยงานที่เกี่ยวข้อง บริษัทระบุว่าได้แจ้งหน่วยงานบังคับใช้กฎหมายหรือหน่วยงานภาครัฐตามข้อกำหนดที่ใช้บังคับ แต่ไม่ได้เปิดเผยชื่อหน่วยงานหรือข้อกฎหมายที่เกี่ยวข้องโดยเฉพาะ

ในแถลงการณ์ต่อสาธารณะ Pathao อธิบายการรับมือในทันทีและบทบาทของผู้เชี่ยวชาญไว้ว่า:

เราได้ดำเนินมาตรการควบคุมเหตุการณ์ในทันที และว่าจ้างผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์จากภายนอกเพื่อเสริมมาตรการรักษาความปลอดภัย และช่วยให้ระบบของ Pathao ยังคงปลอดภัยและมีเสถียรภาพ

บริษัทระบุว่ากำลังให้ความร่วมมือกับหน่วยงานต่าง ๆ ระหว่างการสอบสวน พร้อมขออภัยผู้ใช้ พนักงานขับรถ ร้านค้า และพันธมิตรต่อเหตุการณ์และการหยุดชะงัก โดยยอมรับความรับผิดชอบในการปกป้องข้อมูลที่ได้รับความไว้วางใจให้ดูแล

Foyej ยังระบุว่า มาตรการป้องกันอาจทำให้ผู้ใช้บางรายออกจากระบบโดยอัตโนมัติ ผู้ใช้เหล่านั้นสามารถเข้าสู่ระบบอีกครั้งเพื่อใช้บริการได้ การออกจากระบบอัตโนมัติไม่ได้เป็นหลักฐานด้วยตัวเองว่าข้อมูลของบุคคลใดบุคคลหนึ่งถูกขโมย

เหตุใดข้อมูลติดต่อจึงก่อความเสี่ยงได้

การเปิดเผยชื่อ ที่อยู่อีเมล และหมายเลขโทรศัพท์ที่ได้รับการยืนยันแล้ว ทำให้ผู้โจมตีมีข้อมูลที่ช่วยให้การติดต่อหลอกลวงดูน่าเชื่อถือขึ้น ข้อความที่เรียกชื่อผู้รับและกล่าวถึงบริการที่ใช้ อาจดูน่าเชื่อถือกว่าคำขอจากผู้ส่งนิรนาม

ฟิชชิงคือการแอบอ้างเป็นองค์กรหรือบุคคลที่น่าเชื่อถือ เพื่อหลอกให้ผู้อื่นเปิดเผยข้อมูล กดลิงก์อันตราย หรืออนุมัติการดำเนินการ Pathao เตือนถึงความเป็นไปได้นี้ แต่ไม่ได้ระบุว่าเกิดการโจมตีแบบฟิชชิงหรือการแอบอ้างที่เกี่ยวข้องกับเหตุข้อมูลรั่วไหลแล้ว

Suman Ahmed Sabir ผู้เชี่ยวชาญด้านเทคโนโลยีสารสนเทศระบุว่า การโจรกรรมข้อมูลอัตลักษณ์ การฉ้อโกงทางธนาคาร ฟิชชิง การแบล็กเมล และการเข้าควบคุมบัญชีโซเชียลมีเดียเป็นความเสี่ยงที่อาจเกิดขึ้น หากข้อกล่าวหาในวงกว้างได้รับการยืนยัน การประเมินของเขากล่าวถึงผลกระทบที่อาจเกิดขึ้น ไม่ใช่อาชญากรรมที่ยืนยันแล้วว่าเกิดกับผู้ใช้ Pathao

ประเภทของข้อมูลที่ถูกเปิดเผยมีผลต่อระดับความเสี่ยง ข้อมูลติดต่ออาจนำไปใช้หลอกลวงแบบเจาะจง เอกสารยืนยันตัวตนอาจใช้แอบอ้างเป็นบุคคลอื่น ส่วนข้อมูลตำแหน่งที่ตั้งและเส้นทางการเดินทางอาจเผยให้เห็นการเคลื่อนไหวส่วนตัว โทเคนสำหรับเข้าถึงบัญชีอาจก่อความเสี่ยงต่อความปลอดภัยของบัญชี ขึ้นอยู่กับสิทธิ์ที่กำหนดและโทเคนยังใช้งานได้หรือไม่ Pathao ยังไม่ได้ยืนยันว่าข้อมูลอ่อนไหวเหล่านั้นถูกเปิดเผย

คำแนะนำสำหรับผู้ใช้

คำแนะนำหลักจาก Pathao คือให้ระมัดระวังข้อความ โทรศัพท์ และลิงก์ที่ไม่คาดคิดจากบุคคลที่อ้างว่าเป็นตัวแทนของบริษัท บริษัทแจ้งผู้ใช้ว่าอย่าเปิดเผยรหัสผ่าน PIN หรือรหัสผ่านใช้ครั้งเดียวเมื่อตอบกลับการติดต่อดังกล่าว

OTP คือรหัสชั่วคราวที่ใช้อนุมัติการเข้าสู่ระบบหรือธุรกรรม การเปิดเผยรหัสนี้อาจทำให้ผู้อื่นดำเนินการที่รหัสดังกล่าวใช้ปกป้องได้ แม้คนนั้นจะไม่รู้รหัสผ่านปกติของบัญชีก็ตาม

บริษัทแนะนำให้ผู้ใช้ติดตามข้อมูลที่ผ่านการยืนยันจากช่องทางสื่อสารอย่างเป็นทางการของ Pathao คำแนะนำด้านความปลอดภัยที่กล่าวถึงเกี่ยวกับเหตุการณ์นี้ยังรวมถึงการหลีกเลี่ยงลิงก์ที่ไม่คุ้นเคย และการเปิดใช้การยืนยันตัวตนสองขั้นตอนบน Facebook และบัญชีอื่น ๆ ซึ่งเป็นการเพิ่มขั้นตอนยืนยันอีกชั้นนอกเหนือจากรหัสผ่าน

มาตรการเหล่านี้ช่วยรับมือกับความเสี่ยงจากการนำข้อมูลไปใช้ในทางที่ผิด โดยไม่ตั้งสมมติฐานว่าข้อกล่าวหาทุกข้อเป็นความจริง ขณะนี้ยังไม่มีการยืนยันจำนวนบัญชี Facebook ที่ถูกเจาะ ธุรกรรมฉ้อโกง หรือกรณีโจรกรรมข้อมูลอัตลักษณ์ที่เกิดจากเหตุการณ์นี้

สิ่งที่การสอบสวนยังต้องตรวจสอบ

Tanvir Hassan Zoha ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ แนะนำให้มีการตรวจพิสูจน์หลักฐานดิจิทัลโดยหน่วยงานอิสระ เก็บรักษาเซิร์ฟเวอร์และบันทึกการเข้าถึงที่เกี่ยวข้อง และแจ้งหน่วยงานกำกับดูแลกับหน่วยงานบังคับใช้กฎหมายตามกฎหมายที่ใช้บังคับ การตรวจพิสูจน์หลักฐานดิจิทัลใช้หลักฐานทางเทคนิคเพื่อสร้างลำดับเหตุการณ์ขึ้นใหม่ รวมถึงตรวจสอบว่ามีการเข้าถึงระบบใดและดำเนินการอะไรบ้าง

การเก็บรักษาบันทึกมีความสำคัญ เพราะอาจช่วยตรวจสอบวิธีที่ผู้โจมตีใช้เข้าสู่ระบบ ระยะเวลาที่เข้าถึงระบบโดยไม่ได้รับอนุญาต และข้อมูลที่ผู้โจมตีเข้าถึง Pathao ประกาศว่าได้ว่าจ้างผู้เชี่ยวชาญจากภายนอก แต่ไม่ได้เปิดเผยว่างานดังกล่าวเป็นการตรวจพิสูจน์หลักฐานอย่างเป็นอิสระหรือไม่ และยังไม่ได้เผยแพร่ผลการตรวจสอบ

Sabir ยังให้ความเห็นว่าการกำกับดูแลด้านความปลอดภัยทางไซเบอร์ของบังกลาเทศเผชิญข้อจำกัดด้านบุคลากรและทรัพยากร รวมถึงในหน่วยงานที่รับผิดชอบการตอบสนองต่อเหตุการณ์ เขาเรียกร้องให้มีกรอบกฎหมายสำหรับชดเชยลูกค้าที่ได้รับความเสียหาย นี่เป็นความเห็นและข้อเสนอแนะของเขา ไม่ใช่ข้อค้นพบจากหน่วยงานที่สอบสวน Pathao

คำถามเร่งด่วนที่ยังไม่มีคำตอบมีความเฉพาะเจาะจงกว่านั้น ได้แก่ มีผู้ใช้ได้รับผลกระทบกี่คน ข้อมูลประเภทใดถูกนำไป มีการเปิดเผยระเบียนจากทั้งสองประเทศหรือไม่ และข้อมูลทางการเงินหรือข้อมูลรับรองบัญชีที่ถูกกล่าวอ้างเป็นของจริงหรือไม่ Pathao ยังไม่ได้ประกาศกำหนดเวลาสิ้นสุดการสอบสวน เผยแพร่ผล หรือแจ้งความคืบหน้าครั้งต่อไป

คำมั่นของบริษัทที่จะสื่อสารเฉพาะข้อมูลที่ตรวจสอบแล้ว ทำให้ผู้ใช้ควรแยกข้อเท็จจริงสองเรื่องออกจากกัน ยืนยันแล้วว่ามีข้อมูลส่วนบุคคลบางส่วนถูกขโมย ส่วนข้อกล่าวหาเรื่องชุดข้อมูลขนาด 133 กิกะไบต์ ซึ่งมีบัญชีมากกว่า 19 ล้านบัญชี เอกสารยืนยันตัวตนจำนวนมาก และข้อมูลทางการเงินนั้นยังไม่ได้รับการยืนยัน

ประเด็นสำคัญ

• Pathao ยืนยันว่าผู้โจมตีได้ชื่อ ที่อยู่อีเมล และหมายเลขโทรศัพท์บางส่วนในเหตุการณ์เมื่อวันที่ 4 ตุลาคม
• การดำเนินงานในบังกลาเทศและเนปาลหยุดชะงัก และผู้ใช้บางรายอาจพบปัญหาเป็นระยะระหว่างการปรับระบบให้มีเสถียรภาพ
• ข้อกล่าวหาเรื่องข้อมูลขนาด 133 กิกะไบต์ บัญชี 19,063,918 บัญชี และแถวข้อมูลในฐานข้อมูลประมาณ 250 ล้านรายการ ยังไม่ได้รับการยืนยัน
• Pathao ยังไม่ได้ยืนยันว่ามีการเปิดเผยรหัสผ่าน เอกสารยืนยันตัวตน ข้อมูลตำแหน่งที่ตั้ง หรือข้อมูลทางการเงินตามที่กล่าวอ้าง
• บริษัทไม่ได้ยืนยันรายงานเรื่องการเรียกเงิน 400,000 USDT และกำหนดเวลา 24 ชั่วโมง
• มีผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์จากภายนอกเข้าร่วม และมีการแจ้งหน่วยงานที่เกี่ยวข้องแล้ว แต่ยังไม่ได้ประกาศกำหนดเวลาสิ้นสุดการสอบสวน
• ผู้ใช้ได้รับคำเตือนให้ระวังการติดต่อที่ไม่พึงประสงค์ และห้ามเปิดเผยรหัสผ่าน PIN หรือ OTP