Pathao xác nhận dữ liệu cá nhân bị đánh cắp, trong khi các tuyên bố chưa được xác minh nói 19 triệu tài khoản bị lộ

Xác nhận dữ liệu bị đánh cắp, nhưng quy mô vẫn chưa rõ

Pathao xác nhận những kẻ tấn công đã lấy được tên, địa chỉ email và số điện thoại của một số người dùng trong sự cố an ninh mạng ngày 4 tháng 10, làm gián đoạn hoạt động của công ty tại Bangladesh và Nepal. Công ty chưa xác minh tuyên bố lớn hơn nhiều rằng tin tặc đã đánh cắp 133 gigabyte thông tin liên quan đến 19.063.918 tài khoản và đòi 400.000 USDT để ngăn dữ liệu bị phát tán.

Sự phân biệt này rất quan trọng: Pathao thừa nhận một số thông tin cá nhân đã bị đánh cắp, còn cáo buộc dữ liệu định danh, giao dịch tài chính, mật khẩu và thông tin vị trí bị lộ vẫn chưa được xác minh. Công ty chưa công bố có bao nhiêu người bị ảnh hưởng, những kẻ tấn công xâm nhập hệ thống bằng cách nào hoặc chúng đã truy cập trong bao lâu.

Trong tuyên bố ngày 7 tháng 10 trên trang Facebook đã xác minh, Pathao lần đầu tiên công khai xác nhận thông tin cá nhân đã bị lấy cắp. Công ty mô tả những thông tin mà họ biết đã đến tay kẻ tấn công:

Chúng tôi được biết một số thông tin cá nhân, bao gồm tên, địa chỉ email và số điện thoại, đã bị các đối tượng xấu lấy cắp.

Pathao cho biết đã tạm thời ngắt các hệ thống trọng yếu sau khi phát hiện sự cố, khôi phục dịch vụ ngay sau đó và mời các chuyên gia an ninh mạng bên ngoài hỗ trợ. Một số người dùng vẫn có thể gặp trục trặc không liên tục trong khi công ty tiếp tục ổn định nền tảng.

Sự cố ảnh hưởng đến nhiều hơn một dịch vụ đơn lẻ. Pathao vận hành các dịch vụ vận tải và giao hàng, cùng các sản phẩm tài chính như ví điện tử Pathao Pay và dịch vụ Pathao Pay Later. Vì vậy, việc xác định hệ thống và hồ sơ nào bị ảnh hưởng là thiết yếu, nhưng sự tồn tại của các sản phẩm tài chính không tự nó chứng minh thông tin thanh toán đã bị đánh cắp.

Đến ngày 9 tháng 10, công ty vẫn đang điều tra các cáo buộc về tập dữ liệu quy mô lớn hơn. Pathao xác nhận hoạt động ở cả hai quốc gia bị gián đoạn, nhưng chưa cung cấp số liệu người dùng hay hồ sơ bị ảnh hưởng theo từng nước.

Diễn biến sự cố

Thông tin công khai bao gồm thời điểm gián đoạn ban đầu, xác nhận của công ty và các phản hồi sau đó về tập dữ liệu bị cáo buộc. Các mốc thời gian cho biết sự cố được phát hiện và đưa ra công chúng khi nào, chứ không xác định toàn bộ khoảng thời gian kẻ tấn công truy cập hệ thống.

• Ngày 4 tháng 10: Pathao phát hiện sự cố an ninh mạng, dịch vụ bị gián đoạn và công ty tạm thời ngắt các hệ thống trọng yếu để đề phòng.
• Ngày 7 tháng 10: Pathao công khai thừa nhận một số thông tin cá nhân đã bị lấy cắp. Một ảnh chụp màn hình bài đăng được cho là của tin tặc trên diễn đàn cũng lan truyền trên X, mô tả vụ đánh cắp quy mô lớn hơn nhiều và yêu cầu tiền chuộc.
• Ngày 9 tháng 10: Các phản hồi tiếp theo của công ty xác nhận hoạt động tại Bangladesh và Nepal bị ảnh hưởng, trong khi khối lượng dữ liệu, số lượng hồ sơ và các loại thông tin nhạy cảm bị cáo buộc vẫn đang được điều tra.

Pathao cho biết các dịch vụ được khôi phục ngay sau khi ngừng hoạt động. Công ty chưa công bố chính xác thời gian gián đoạn hoặc mô tả kỹ thuật về quá trình khôi phục. Khôi phục quyền truy cập vào ứng dụng và hoàn tất điều tra vụ rò rỉ là hai việc riêng biệt: dịch vụ có thể hoạt động trở lại trong khi các điều tra viên tiếp tục xác định thông tin nào đã bị lấy đi.

Tập dữ liệu bị cáo buộc chứa những gì

Cáo buộc của tin tặc mô tả khoảng 250 triệu hàng dữ liệu trong 591 bảng, trong đó tập dữ liệu tài khoản chính chứa 19.063.918 hồ sơ. Một hàng trong cơ sở dữ liệu là một mục riêng lẻ, còn bảng tập hợp các mục cùng một loại. Nhiều hàng có thể liên quan đến cùng một người, vì vậy 250 triệu hàng không đồng nghĩa với 250 triệu người dùng bị ảnh hưởng.

Thông tin tài khoản bị cáo buộc bao gồm tên, số điện thoại, địa chỉ email, dữ liệu mật khẩu, thông tin GPS, mã định danh Facebook và mã truy cập. Mã truy cập là thông tin xác thực kỹ thuật số có thể cho phép ứng dụng truy cập tài khoản hoặc dịch vụ mà không cần liên tục yêu cầu mật khẩu.

Các bản tin mô tả khác nhau về một số chi tiết trong cáo buộc. Một nguồn nói rõ mật khẩu đã được băm, trong khi nguồn khác chỉ đề cập đến mật khẩu. Băm biến mật khẩu thành dạng lưu trữ thay vì giữ nguyên văn bản có thể đọc được, dù việc bị lộ vẫn có thể gây rủi ro tùy thuộc vào cách bảo vệ. Pathao chưa xác nhận dữ liệu bị đánh cắp ở dạng nào.

Cấu trúc dữ liệu cũng được mô tả không thống nhất: một số nguồn gọi 591 đơn vị này là các bảng cơ sở dữ liệu, trong khi nguồn khác gọi là các cơ sở dữ liệu hoặc kho dữ liệu. Những thuật ngữ này không thể dùng thay thế cho nhau. Nếu không có tập dữ liệu được xác thực hoặc kết luận kỹ thuật, không thể xác định chính xác cấu trúc.

Hồ sơ định danh bị cáo buộc bao gồm 19.059.387 số căn cước quốc gia và 19.046.583 hồ sơ giấy phép lái xe. Các cáo buộc cũng đề cập khoảng 5,7 triệu địa chỉ nhà riêng và, theo một số nguồn, khoảng 19 triệu ảnh người dùng. Pathao chưa xác minh bất kỳ loại dữ liệu nào trong số này.

Ngay cả con số tài khoản chính xác cũng không cho biết số người riêng biệt bị ảnh hưởng. Trước khi xem con số này là số người dùng bị ảnh hưởng, các điều tra viên cần xác định hồ sơ có xác thực, còn hiệu lực hay bị trùng lặp hay không.

Các cáo buộc cũng đề cập hồ sơ nhân viên, đối tác bán hàng và giao dịch

Vụ đánh cắp bị cáo buộc không chỉ liên quan đến hồ sơ khách hàng. Tập dữ liệu được cho là bao gồm thông tin của 549 nhân viên, trong đó có số căn cước quốc gia, mức lương, tôn giáo và số điện thoại liên hệ khẩn cấp. Các cáo buộc khác đề cập đến hồ sơ truy cập quản trị, địa điểm giao hàng và hành trình của tài xế.

Các cáo buộc về tài chính bao gồm 17.943 hồ sơ tài khoản ngân hàng và mã định tuyến của đối tác bán hàng, cùng 845.872 hồ sơ giao dịch ghi nợ trực tiếp. Thông tin định tuyến ngân hàng xác định tổ chức hoặc chi nhánh liên quan đến một khoản thanh toán. Hồ sơ giao dịch ghi lại một sự kiện thanh toán, nhưng sự hiện diện của chúng tự nó không chứng minh kẻ tấn công có thể chuyển tiền.

Các con số này mô tả những loại hồ sơ khác nhau, không phải một tổng số có thể cộng lại để xác định số nạn nhân. Thông tin nhân viên, tài khoản đối tác bán hàng và các giao dịch lặp lại có thể trùng với những mục khác trong tập dữ liệu bị cáo buộc.

Md. Foyej, Giám đốc Quan hệ đối tác và Quan hệ công chúng của Pathao, cho biết công ty chưa xác minh các cáo buộc liên quan đến những loại dữ liệu nhạy cảm. Trong thư điện tử phản hồi, ông nói:

Ở thời điểm này, các cáo buộc liên quan đến số NID, giấy phép lái xe, dữ liệu vị trí, địa chỉ hoặc tài chính chưa được xác minh. Mọi thông tin khác đã được xác minh sẽ được thông báo qua các kênh chính thức của Pathao.

Yêu cầu tiền chuộc vẫn chưa được xác nhận

Bài đăng bị cho là của tin tặc yêu cầu 400.000 USDT, được các bản tin ước tính tương đương khoảng 400.000 USD. USDT, còn gọi là Tether, là một loại tiền mã hóa được thiết kế để duy trì giá trị tương ứng với đồng đô la Mỹ. Theo thông tin được đưa ra, nhóm này cho Pathao 24 giờ để trả tiền và đe dọa sẽ phát tán thông tin theo từng đợt.

Các đợt phát tán được đe dọa được cho là sẽ bao gồm thông tin định danh, ngân hàng, nhân viên và quản trị. Cáo buộc và thời hạn không thể được xác minh độc lập. Các nguồn tin không xác định được thời điểm bắt đầu tính thời hạn, quyết định trả tiền hay việc dữ liệu sau đó có được phát tán hay không.

Foyej, đại diện Pathao, từ chối xác nhận yêu cầu bị cáo buộc:

Pathao không muốn bình luận về những tuyên bố chưa được xác minh liên quan đến yêu cầu tiền chuộc.

Đe dọa công bố thông tin bị đánh cắp là một hình thức tống tiền bằng dữ liệu. Điều đó không nhất thiết có nghĩa kẻ tấn công đã mã hóa các hệ thống hoặc ngăn công ty truy cập tệp của chính mình. Pathao chưa công bố bằng chứng về việc mã hóa hay giải thích cơ chế kỹ thuật gây ra gián đoạn.

Pathao cho biết đã làm gì

Phản ứng được Pathao công bố gồm ba phần chính: ngắt các hệ thống trọng yếu, mời chuyên gia an ninh mạng bên ngoài hỗ trợ và thông báo cho các cơ quan chức năng liên quan. Công ty cho biết đã thông báo cho cơ quan thực thi pháp luật hoặc cơ quan nhà nước theo quy định hiện hành, nhưng không nêu tên các cơ quan hay điều khoản pháp lý cụ thể.

Trong tuyên bố công khai, Pathao mô tả phản ứng tức thời và vai trò của các chuyên gia:

Chúng tôi đã thực hiện ngay các biện pháp ngăn chặn và mời các chuyên gia an ninh mạng bên ngoài củng cố các biện pháp kiểm soát an ninh, đồng thời hỗ trợ bảo đảm hệ thống của Pathao tiếp tục an toàn và ổn định.

Công ty cho biết đang phối hợp với các cơ quan chức năng trong quá trình điều tra. Pathao xin lỗi người dùng, tài xế, đối tác bán hàng và các đối tác vì sự cố và gián đoạn, đồng thời thừa nhận trách nhiệm bảo vệ thông tin được giao cho mình.

Foyej cũng cho biết một số người dùng có thể đã tự động bị đăng xuất như một biện pháp phòng ngừa. Những người này có thể đăng nhập lại để sử dụng dịch vụ. Việc tự động đăng xuất tự nó không phải bằng chứng cho thấy thông tin của một người cụ thể đã bị đánh cắp.

Vì sao ngay cả thông tin liên hệ cũng có thể tạo ra rủi ro

Việc xác nhận tên, địa chỉ email và số điện thoại bị lộ cung cấp cho kẻ tấn công thông tin giúp những liên hệ lừa đảo trông có vẻ đáng tin hơn. Một tin nhắn gọi người nhận bằng tên và nhắc đến dịch vụ họ sử dụng có thể thuyết phục hơn một yêu cầu nặc danh.

Lừa đảo giả mạo là hành vi đóng giả một tổ chức hoặc người đáng tin cậy để dụ ai đó tiết lộ thông tin, nhấp vào liên kết độc hại hoặc cho phép thực hiện một hành động. Pathao cảnh báo về nguy cơ này, nhưng không cho biết các cuộc tấn công lừa đảo hoặc giả danh liên quan đến vụ rò rỉ đã xảy ra hay chưa.

Chuyên gia công nghệ thông tin Suman Ahmed Sabir nêu hành vi đánh cắp danh tính, gian lận ngân hàng, lừa đảo giả mạo, tống tiền và chiếm đoạt tài khoản mạng xã hội là những rủi ro có thể xảy ra nếu các cáo buộc rộng hơn được xác nhận. Nhận định của ông nói về hậu quả tiềm ẩn, không phải các hành vi phạm tội đã được xác nhận nhằm vào người dùng Pathao.

Loại thông tin bị lộ làm thay đổi mức độ rủi ro. Thông tin liên hệ có thể hỗ trợ các thủ đoạn lừa đảo có chủ đích; giấy tờ định danh có thể bị dùng để giả mạo; dữ liệu vị trí và hành trình có thể tiết lộ việc di chuyển riêng tư. Mã truy cập có thể gây rủi ro cho tài khoản, tùy vào quyền được cấp và việc mã còn hiệu lực hay không. Pathao chưa xác nhận các loại dữ liệu nhạy cảm hơn này bị lộ.

Pathao khuyến cáo người dùng làm gì

Khuyến cáo chính của Pathao là thận trọng với các tin nhắn, cuộc gọi và liên kết không mong đợi từ bất kỳ ai tự nhận đại diện cho công ty. Công ty yêu cầu người dùng không chia sẻ mật khẩu, mã PIN hoặc mật khẩu dùng một lần để phản hồi những liên hệ như vậy.

Mật khẩu dùng một lần (OTP) là mã tạm thời được sử dụng để xác nhận đăng nhập hoặc giao dịch. Chia sẻ mã này có thể giúp người khác hoàn tất hành động mà mã được dùng để bảo vệ, ngay cả khi họ không biết mật khẩu thông thường của tài khoản.

Công ty khuyên người dùng dựa vào các kênh liên lạc chính thức để nhận thông tin đã xác minh. Các khuyến nghị an ninh được đưa ra liên quan đến sự cố cũng bao gồm tránh các liên kết lạ và bật xác thực hai yếu tố trên Facebook cùng những tài khoản khác. Cách này bổ sung một bước xác minh thứ hai bên cạnh mật khẩu.

Các biện pháp phòng ngừa này nhằm hạn chế khả năng thông tin bị sử dụng sai mục đích, chứ không mặc định rằng mọi cáo buộc đều đúng. Chưa có con số nào được xác nhận về các tài khoản Facebook bị xâm phạm, giao dịch gian lận hay vụ đánh cắp danh tính phát sinh từ sự cố này.

Những điều cuộc điều tra cần làm rõ

Chuyên gia an ninh mạng Tanvir Hassan Zoha khuyến nghị tiến hành điều tra pháp chứng kỹ thuật số độc lập, bảo toàn các máy chủ và nhật ký truy cập liên quan, đồng thời thông báo cho cơ quan quản lý và thực thi pháp luật theo luật hiện hành. Pháp chứng kỹ thuật số sử dụng bằng chứng kỹ thuật để tái dựng sự việc, bao gồm hệ thống nào đã bị truy cập và những hành động nào đã được thực hiện.

Việc bảo toàn nhật ký rất quan trọng vì chúng có thể giúp xác định phương thức xâm nhập, khoảng thời gian truy cập trái phép và những hồ sơ mà kẻ tấn công đã tiếp cận. Pathao đã công bố việc mời các chuyên gia bên ngoài tham gia, nhưng chưa cho biết công việc của họ có phải là một cuộc điều tra pháp chứng độc lập hay không và cũng chưa công bố kết quả.

Sabir cũng cho rằng công tác giám sát an ninh mạng của Bangladesh gặp hạn chế về nhân lực và nguồn lực, kể cả tại các cơ quan chịu trách nhiệm ứng phó sự cố. Ông kêu gọi xây dựng khuôn khổ pháp lý để bồi thường cho khách hàng chịu tổn thất. Đây là đánh giá và khuyến nghị của ông, không phải kết luận của cơ quan đang điều tra Pathao.

Những câu hỏi cấp bách chưa được giải đáp cụ thể hơn: có bao nhiêu người dùng bị ảnh hưởng, những loại thông tin nào bị lấy cắp, hồ sơ từ cả hai quốc gia có bị lộ hay không và các thông tin tài chính hoặc thông tin xác thực tài khoản bị cáo buộc có xác thực hay không. Pathao chưa công bố thời hạn hoàn tất điều tra, công bố kết quả hoặc đưa ra cập nhật tiếp theo.

Cam kết chỉ thông báo thông tin đã xác minh của công ty cho thấy người dùng cần lưu ý sự khác biệt sau: việc đánh cắp một số dữ liệu cá nhân đã được xác nhận. Còn tuyên bố về tập dữ liệu 133 gigabyte chứa hơn 19 triệu tài khoản, nhiều hồ sơ định danh và thông tin tài chính thì chưa được xác minh.

Điểm chính

• Pathao xác nhận những kẻ tấn công đã lấy được một số tên, địa chỉ email và số điện thoại trong sự cố ngày 4 tháng 10.
• Hoạt động tại Bangladesh và Nepal bị gián đoạn, và một số người dùng có thể gặp trục trặc không liên tục trong quá trình ổn định hệ thống.
• Các cáo buộc về 133 gigabyte dữ liệu, 19.063.918 tài khoản và khoảng 250 triệu hàng trong cơ sở dữ liệu vẫn chưa được xác minh.
• Pathao chưa xác nhận các cáo buộc về việc mật khẩu, hồ sơ định danh, dữ liệu vị trí hoặc thông tin tài chính bị lộ.
• Yêu cầu được cho là đòi 400.000 USDT cùng thời hạn 24 giờ chưa được công ty xác minh.
• Các chuyên gia an ninh mạng bên ngoài đang tham gia, cơ quan chức năng liên quan đã được thông báo và chưa có thời hạn hoàn tất điều tra.
• Người dùng được cảnh báo về các liên hệ không mong đợi và được yêu cầu tuyệt đối không chia sẻ mật khẩu, mã PIN hoặc OTP.