Kinumpirma ng Pathao ang pagnanakaw ng personal na datos; sinasabi ng mga di-napatunayang alegasyon na nalantad ang 19 milyong account

Kumpirmado ang pagnanakaw ng datos, ngunit hindi pa alam ang lawak nito

Kinumpirma ng Pathao na nakuha ng mga umaatake ang mga pangalan, email address at numero ng telepono ng ilang user sa isang insidente sa cybersecurity noong Oktubre 4 na nakaantala sa mga operasyon nito sa Bangladesh at Nepal. Hindi pa nito napapatunayan ang mas malawak na pahayag na nagnakaw ang mga kriminal ng 133 gigabyte ng impormasyon na sumasaklaw sa 19,063,918 account at humingi ng 400,000 USDT kapalit ng hindi paglalabas nito.

Mahalaga ang pagkakaibang ito: kinilala ng Pathao na may ilang personal na impormasyong ninakaw, samantalang hindi pa napapatunayan ang umano'y pagkakalantad ng mga rekord ng pagkakakilanlan, transaksiyong pinansyal, password at datos ng lokasyon. Hindi ibinunyag ng kumpanya kung ilang tao ang naapektuhan, paano nakapasok ang mga umaatake sa mga sistema nito o gaano katagal silang nagkaroon ng access.

Sa pahayag nito noong Oktubre 7 sa beripikadong Facebook page nito, unang kinumpirma ng Pathao sa publiko na may nakakuha ng personal na impormasyon. Inilarawan ng kumpanya ang impormasyong nauunawaan nitong napunta sa mga umaatake:

Nauunawaan naming nakuha ng mga mapanirang aktor ang ilang personal na impormasyon, kabilang ang mga pangalan, email address at numero ng telepono.

Ayon sa Pathao, pansamantala nitong isinara ang mga kritikal na sistema matapos matukoy ang insidente, ibinalik ang mga serbisyo di-nagtagal at kumuha ng mga panlabas na espesyalista sa cybersecurity. Maaari pa ring makaranas ng paminsan-minsang problema ang ilang user habang nagpapatuloy ang pagpapatatag ng platform.

Hindi lang iisang serbisyo ang saklaw ng insidente. Nagpapatakbo ang Pathao ng mga serbisyo sa transportasyon at paghahatid, gayundin ng mga produktong pinansyal, kabilang ang digital wallet nitong Pathao Pay at serbisyong Pathao Pay Later. Dahil sa lawak ng mga serbisyong ito, mahalagang matukoy kung aling mga sistema at rekord ang naapektuhan. Gayunman, hindi patunay ang pagkakaroon ng mga produktong pinansyal na ninakaw ang impormasyon sa pagbabayad.

Pagsapit ng Oktubre 9, iniimbestigahan pa rin ng kumpanya ang mga alegasyon tungkol sa mas malaking dataset. Kinumpirma nitong nagkaroon ng pagkaantala sa dalawang bansa, ngunit hindi ito nagbigay ng bilang ng mga apektadong user o rekord sa bawat bansa.

Kung paano naganap ang insidente

Saklaw ng pampublikong salaysay ang unang pagkaantala, pag-amin ng kumpanya at mga sumunod na tugon nito tungkol sa umano'y dataset. Itinatakda ng mga petsa kung kailan natukoy at pinag-usapan sa publiko ang insidente, ngunit hindi ang buong tagal ng access ng mga umaatake.

• Oktubre 4: Natukoy ng Pathao ang insidente sa cybersecurity, nakaranas ng pagkaantala sa serbisyo at pansamantalang isinara ang mga kritikal na sistema bilang pag-iingat.
• Oktubre 7: Kinilala ng Pathao sa publiko na may nakakuha ng ilang personal na impormasyon. Kumalat din sa X ang screenshot ng umano'y post sa isang kriminal na forum na naglalarawan ng mas malawak na pagnanakaw at kahilingan ng ransom.
• Oktubre 9: Kinumpirma sa mga karagdagang tugon ng kumpanya na naapektuhan ang mga operasyon sa Bangladesh at Nepal, habang iniimbestigahan pa rin ang umano'y dami ng datos, bilang ng mga rekord at mga kategorya ng sensitibong impormasyon.

Ayon sa Pathao, nagbalik ang mga serbisyo di-nagtagal matapos ang pagsasara. Hindi nito inilathala ang eksaktong tagal ng pagkaantala o teknikal na paliwanag kung paano naibalik ang mga serbisyo. Magkaibang gawain ang pagbabalik ng access sa app at pagkumpleto ng imbestigasyon sa paglabag: maaaring maibalik ang mga serbisyo habang inaalam pa ng mga imbestigador kung anong impormasyon ang nakuha.

Ano ang nilalaman ng umano'y dataset

Binabanggit sa pahayag ng mga kriminal ang humigit-kumulang 250 milyong hanay ng datos sa 591 talahanayan, kung saan may 19,063,918 rekord ang pangunahing dataset ng account. Indibidwal na entry ang isang hanay ng datos, samantalang pinagpapangkat ng isang talahanayan ang mga entry na magkakapareho ang uri. Maaaring maiugnay sa isang tao ang maraming hanay, kaya hindi nangangahulugang 250 milyong user ang naapektuhan dahil may 250 milyong hanay ng datos.

Kabilang umano sa impormasyon ng account ang mga pangalan, numero ng telepono, email address, datos ng password, impormasyon ng GPS, mga Facebook identifier at access token. Digital na kredensyal ang access token na maaaring magbigay-daan sa isang application na ma-access ang account o serbisyo nang hindi paulit-ulit na hinihingi ang password.

Magkakaiba ang paglalarawan ng mga ulat sa ilang bahagi ng pahayag. Binabanggit sa isa ang mga naka-hash na password, samantalang basta password lang ang tawag sa mga ito sa isa pa. Binabago ng hashing ang password tungo sa nakaimbak na representasyon sa halip na panatilihin ito bilang nababasang teksto, bagaman maaari pa ring magkaroon ng panganib kapag nalantad ito, depende sa paraan ng pagprotekta rito. Hindi kinumpirma ng Pathao na nakuha ang alinman sa mga ito.

Magkakaiba rin ang paglalarawan sa estruktura ng datos: tinatawag ng ilang salaysay na mga talahanayan ng database ang 591 yunit, samantalang tinatawag naman itong mga database o imbakan ng datos sa isa pa. Hindi magkasingkahulugan ang mga terminong ito. Kung walang napatunayang dataset o teknikal na konklusyon, hindi matitiyak ang eksaktong estruktura.

Kabilang umano sa mga rekord ng pagkakakilanlan ang 19,059,387 numero ng national identity card at 19,046,583 entry ng lisensiya sa pagmamaneho. Kasama rin sa mga pahayag ang humigit-kumulang 5.7 milyong tirahan at, ayon sa ilang salaysay, mga 19 milyong litrato ng user. Wala sa mga kategoryang ito ang napatunayan ng Pathao.

Kahit ang eksaktong bilang ng mga account ay hindi nagpapatunay kung ilang natatanging tao ang sangkot. Kailangang alamin muna ng mga imbestigador kung tunay, napapanahon o magkakapareho ang mga rekord bago ituring ang bilang na dami ng mga apektadong user.

Inaaangkin ding nanakaw ang mga rekord ng empleyado, merchant at transaksiyon

Hindi lang mga profile ng customer ang saklaw ng sinasabing pagnanakaw. Kabilang umano sa dataset ang mga rekord tungkol sa 549 empleyado, kasama ang detalye ng national identity, suweldo, kinabibilangang relihiyon at mga numero ng tatawagan kapag may emergency. Binabanggit din sa iba pang mga pahayag ang mga rekord ng administratibong access, lokasyon ng paghahatid at mga biyahe ng driver.

Kabilang sa mga alegasyong pinansyal ang 17,943 rekord ng bank account at routing ng merchant, gayundin ang 845,872 rekord ng direktang debit na transaksiyon. Tinutukoy ng impormasyon sa bank routing ang institusyon o sangay na sangkot sa isang bayad. Itinatala ng rekord ng transaksiyon ang isang pangyayari sa pagbabayad, ngunit hindi nito pinatutunayan sa sarili lamang na nakapaglipat ng pera ang isang umaatake.

Magkakaibang uri ng rekord ang mga bilang na ito, hindi iisang kabuuang bilang na maaaring pagdugtung-dugtungin upang matukoy ang dami ng mga biktima. Maaaring magkapareho o magkaugnay ang detalye ng empleyado, account ng merchant at mga paulit-ulit na transaksiyon sa iba pang entry sa umano'y dataset.

Ayon kay Md. Foyej, Manager of Partnership and PR ng Pathao, hindi pa napatunayan ng kumpanya ang mga pahayag tungkol sa mga sensitibong kategorya. Sa isang tugon sa email, sinabi niya:

Hindi pa napatutunayan sa yugtong ito ang mga pahayag tungkol sa NID, lisensiya sa pagmamaneho, lokasyon, tirahan o datos pinansyal. Ipaaalam ang anumang karagdagang impormasyong mapatutunayan sa pamamagitan ng mga opisyal na channel ng Pathao.

Hindi pa kumpirmado ang hinihinging ransom

Humingi umano ang mga kriminal sa kanilang post ng 400,000 USDT, na tinatayang katumbas ng $400,000 sa mga ulat. Ang USDT, na kilala rin bilang Tether, ay isang cryptocurrency na idinisenyo upang sumunod ang halaga sa dolyar ng Estados Unidos. Iniulat na binigyan ng grupo ang Pathao ng 24 oras para magbayad at nagbantang maglalabas ng impormasyon nang paunti-unti.

Iniulat na kabilang sa binalak ilabas ang mga detalye ng pagkakakilanlan, bangko, empleyado at administratibong impormasyon. Hindi nakumpirma sa paraang independiyente ang pahayag at ang takdang oras nito. Walang salaysay na nagtatakda ng kumpirmadong oras ng pagsisimula ng palugit, pasya tungkol sa pagbabayad o sumunod na paglalabas ng datos.

Tumangging patunayan ni Foyej, na nagsalita para sa Pathao, ang umano'y kahilingan:

Ayaw magkomento ng Pathao sa mga di-napatutunayang pahayag tungkol sa mga kahilingan ng ransom.

Isang uri ng pangingikil sa pamamagitan ng datos ang pagbabanta na ilalathala ang ninakaw na impormasyon. Hindi nito awtomatikong ibig sabihin na in-encrypt ng mga umaatake ang mga sistema o pinigilan ang kumpanya na ma-access ang sarili nitong mga file. Hindi naglabas ang Pathao ng ebidensiya ng encryption o paliwanag sa teknikal na paraan kung paano naganap ang pagkaantala.

Ayon sa Pathao, ito ang mga hakbang na ginawa nito

Tatlo ang pangunahing bahagi ng ipinahayag na tugon ng Pathao: pagsasara ng mga kritikal na sistema, pagkuha ng mga panlabas na espesyalista sa cybersecurity at pagpapaalam sa mga kinauukulang awtoridad. Ayon sa kumpanya, nagpadala ito ng mga abiso sa mga tagapagpatupad ng batas o ahensiya ng gobyerno alinsunod sa mga naaangkop na tuntunin, ngunit hindi nito tinukoy ang mga ahensiya o partikular na probisyon ng batas.

Sa pampublikong pahayag nito, inilarawan ng Pathao ang agarang tugon at papel ng mga espesyalista:

Agad kaming gumawa ng mga hakbang para mapigilan ang insidente, at kumuha ng mga panlabas na eksperto sa cybersecurity upang palakasin ang mga kontrol sa seguridad at tumulong na matiyak na mananatiling ligtas at matatag ang mga sistema ng Pathao.

Ayon sa kumpanya, nakikipagtulungan ito sa mga awtoridad habang nagpapatuloy ang imbestigasyon. Humingi ito ng paumanhin sa mga user, driver, merchant at partner dahil sa insidente at pagkaantala, at kinilala ang pananagutan nitong protektahan ang impormasyong ipinagkatiwala rito.

Sinabi rin ni Foyej na maaaring awtomatikong na-log out ang ilang user bilang pag-iingat. Maaari silang mag-log in muli upang magamit ang serbisyo. Hindi patunay sa sarili lamang ang awtomatikong pag-log out na ninakaw ang impormasyon ng isang partikular na tao.

Bakit may panganib kahit mga detalye lang sa pakikipag-ugnayan ang nalantad

Ang kumpirmadong pagkakalantad ng mga pangalan, email address at numero ng telepono ay nagbibigay sa mga umaatake ng impormasyong makatutulong para magmukhang kapani-paniwala ang mga mapanlinlang na mensahe. Maaaring mas kapani-paniwala ang mensaheng bumabanggit sa isang tao sa pangalan at tumutukoy sa serbisyong ginagamit niya kaysa sa isang mensaheng mula sa hindi kilalang nagpadala.

Ang phishing ay pagpapanggap bilang isang pinagkakatiwalaang organisasyon o tao upang mahikayat ang isang tao na magbunyag ng impormasyon, magbukas ng mapanirang link o mag-apruba ng isang aksiyon. Nagbabala ang Pathao sa posibilidad na ito, ngunit hindi nito sinabi na naganap na ang phishing o mga pag-atakeng may pagpapanggap na kaugnay ng paglabag.

Itinuro ng espesyalista sa teknolohiya ng impormasyon na si Suman Ahmed Sabir ang pagnanakaw ng pagkakakilanlan, pandaraya sa bangko, phishing, pangingikil at pagkompromiso ng mga social media account bilang posibleng panganib kung mapatutunayang totoo ang mas malawak na mga alegasyon. Tumutukoy ang kanyang pagtatasa sa mga posibleng kahihinatnan, hindi sa mga kumpirmadong krimen laban sa mga user ng Pathao.

Nakadepende sa uri ng impormasyong nalantad ang panganib. Maaaring gamitin ang mga detalye sa pakikipag-ugnayan para sa naka-target na panlilinlang; maaaring gamitin ang mga dokumento ng pagkakakilanlan sa mga pagtatangkang magpanggap bilang ibang tao; at maaaring magbunyag ang datos ng lokasyon at biyahe ng mga pribadong kilos at pinupuntahan. Maaaring magdulot ng panganib sa seguridad ng account ang mga access token, depende sa mga pahintulot ng mga ito at kung may bisa pa ang mga ito. Hindi kinumpirma ng Pathao na nalantad ang mga mas sensitibong kategoryang ito.

Mga ipinayo sa mga user

Pangunahing tagubilin ng Pathao na mag-ingat sa mga di-inaasahang mensahe, tawag at link mula sa sinumang nagsasabing kinakatawan niya ang kumpanya. Sinabihan nito ang mga user na huwag magbahagi ng password, PIN o one-time password bilang tugon sa gayong mga komunikasyon.

Pansamantalang code ang OTP na ginagamit upang aprubahan ang pag-login o transaksiyon. Kapag ibinahagi ito, maaaring makumpleto ng ibang tao ang aksiyong pinoprotektahan nito, kahit hindi niya alam ang karaniwang password ng account.

Pinayuhan ng kumpanya ang mga user na umasa sa mga opisyal nitong channel ng komunikasyon para sa mga beripikadong balita. Kabilang din sa mga payo sa seguridad na tinalakay kaugnay ng insidente ang pag-iwas sa mga di-pamilyar na link at pag-enable ng two-factor authentication sa Facebook at iba pang account. Nagdaragdag ito ng ikalawang hakbang ng beripikasyon bukod sa password.

Tumutugon ang mga pag-iingat na ito sa posibleng maling paggamit ng impormasyon nang hindi ipinapalagay na totoo ang bawat alegasyon. Walang kumpirmadong bilang ng mga nakompromisong Facebook account, mapanlinlang na transaksiyon o kaso ng pagnanakaw ng pagkakakilanlan na nagmula sa insidenteng ito.

Ano pa ang kailangang matukoy ng imbestigasyon

Iminungkahi ng espesyalista sa cybersecurity na si Tanvir Hassan Zoha ang isang independiyenteng digital forensic investigation, pangangalaga sa mga kaugnay na server at access log, at pagpapaalam sa mga regulator at tagapagpatupad ng batas alinsunod sa naaangkop na batas. Gumagamit ang digital forensics ng teknikal na ebidensiya upang buuing muli ang mga nangyari, kabilang ang mga sistemang na-access at mga ginawang hakbang.

Mahalaga ang pag-iingat sa mga log dahil makatutulong ang mga ito upang matukoy ang paraan ng pagpasok, tagal ng di-awtorisadong access at mga rekord na narating ng umaatake. Inanunsiyo ng Pathao na kumuha ito ng mga panlabas na espesyalista, ngunit hindi nito isiniwalat kung nagsasagawa ang mga ito ng independiyenteng forensic investigation o inilathala ang kanilang mga natuklasan.

Sinabi rin ni Sabir na nahaharap sa kakulangan ng tauhan at mga mapagkukunan ang pangangasiwa sa cybersecurity sa Bangladesh, kabilang ang mga institusyong responsable sa pagtugon sa mga insidente. Nanawagan siya ng legal na balangkas para mabayaran ang mga customer na nalugi. Mga pagtatasa at rekomendasyon niya ang mga ito, hindi mga konklusyon ng awtoridad na nag-iimbestiga sa Pathao.

Mas tiyak ang mga agarang tanong na hindi pa nasasagot: ilang user ang naapektuhan, aling mga kategorya ng impormasyon ang nakuha, nalantad ba ang mga rekord mula sa dalawang bansa at tunay ba ang mga umano'y kredensyal sa pananalapi o account. Hindi pa nag-aanunsiyo ang Pathao ng petsa kung kailan matatapos ang imbestigasyon, ilalabas ang mga natuklasan o ibibigay ang susunod na update.

Itinatampok ng pangako ng kumpanya na magbahagi ng napatunayang impormasyon ang pagkakaibang dapat tandaan ng mga user. Kumpirmado ang pagnanakaw ng ilang personal na datos. Hindi pa napapatunayan ang pahayag tungkol sa 133 gigabyte na dataset na naglalaman ng mahigit 19 milyong account, maraming rekord ng pagkakakilanlan at impormasyong pinansyal.

Mahahalagang Punto

• Kinumpirma ng Pathao na nakuha ng mga umaatake ang ilang pangalan, email address at numero ng telepono sa insidente noong Oktubre 4.
• Naantala ang mga operasyon sa Bangladesh at Nepal, at maaaring makaranas ng paminsan-minsang problema ang ilang user habang isinasagawa ang pagpapatatag ng serbisyo.
• Hindi pa napapatunayan ang mga pahayag tungkol sa 133 gigabyte, 19,063,918 account at humigit-kumulang 250 milyong hanay ng datos sa database.
• Hindi kinumpirma ng Pathao ang umano'y pagkakalantad ng mga password, rekord ng pagkakakilanlan, datos ng lokasyon o impormasyong pinansyal.
• Hindi pa napatutunayan ng kumpanya ang iniulat na kahilingan ng 400,000 USDT at palugit na 24 oras.
• Kabilang sa imbestigasyon ang mga panlabas na espesyalista sa cybersecurity, ipinaalam ito sa mga kinauukulang awtoridad at wala pang inanunsiyong petsa ng pagkumpleto.
• Binalaan ang mga user tungkol sa mga di-hinihinging mensahe o tawag at sinabihang huwag kailanman magbahagi ng password, PIN o OTP.