Coinbase ประสบกับการละเมิดที่เลวร้ายที่สุดในประวัติศาสตร์: รายละเอียดลูกค้า 69,000 รายรั่วไหลเนื่องจากการเอาท์ซอร์ส

ชื่อต้นฉบับ: "เปิดเผยการละเมิดที่เลวร้ายที่สุดของ Coinbase: ฝ่ายบริการลูกค้าแบบเอาท์ซอร์สแอบถ่ายภาพลูกค้าหลายหมื่นคน ขายแต่ละรูปในราคา 200 ดอลลาร์"
ที่มา: Ben Weiss, Fortune

คำแปลต้นฉบับ: Yuliya, PANews

ในเดือนพฤษภาคมปีนี้ Coinbase เปิดเผยว่าแฮกเกอร์ได้ขโมยข้อมูลส่วนบุคคลของลูกค้าหลายพันคน และใช้ข้อมูลนี้เพื่อหลอกล่อเหยื่อให้ส่งมอบสินทรัพย์คริปโตของพวกเขา Coinbase ระบุว่าเหตุการณ์นี้อาจส่งผลให้เกิดความสูญเสียสูงถึง 400 ล้านดอลลาร์ อย่างเป็นทางการ การแฮ็กนี้เกิดจากบุคคลภายในของบริษัทเอาท์ซอร์สแห่งหนึ่งในอินเดีย แต่ตลาดแลกเปลี่ยนคริปโตที่ใหญ่ที่สุดในสหรัฐอเมริกายังไม่ได้เปิดเผยบุคคลที่เกี่ยวข้อง เอกสารทางศาลล่าสุดเปิดเผยตัวตนของผู้ต้องสงสัยและบทบาทของเขาในเหตุการณ์นี้ ซึ่งถือเป็นการละเมิดความปลอดภัยที่ร้ายแรงที่สุดในประวัติศาสตร์ของ Coinbase ตามคำฟ้องที่แก้ไขเพิ่มเติมซึ่งยื่นเมื่อวันอังคารโดยบริษัทกฎหมาย Greenbaum Olbrantz ซึ่งเป็นบริษัทที่ดำเนินคดีแบบกลุ่ม ระบุว่าการแฮ็กครั้งนี้มีความเชื่อมโยงกับ Ashita Mishra ซึ่งเป็นพนักงานของ TaskUs TaskUs เป็นบริษัทมหาชนในรัฐเท็กซัสที่ให้บริการสนับสนุนลูกค้าแบบเอาท์ซอร์สแก่บริษัทเทคโนโลยีขนาดใหญ่ และดำเนินงานในตลาดแรงงานที่มีต้นทุนต่ำ Mishra ทำงานที่ศูนย์บริการของ TaskUs ในเมืองอินดอร์ ประเทศอินเดีย คำฟ้องระบุว่าตั้งแต่เดือนกันยายน 2567 Mishra เริ่มขโมยข้อมูลลูกค้าที่เป็นความลับ รวมถึงหมายเลขประกันสังคมและข้อมูลบัญชีธนาคาร เธอตกลงที่จะขายข้อมูลนี้ให้กับแฮ็กเกอร์ ซึ่งต่อมาได้ปลอมตัวเป็นพนักงานของ Coinbase และหลอกให้เหยื่อโอนสินทรัพย์ดิจิทัลของพวกเขา

ตั้งแต่เดือนกันยายน 2567 ถึงเดือนมกราคม 2568 Mishra และผู้สมรู้ร่วมคิดอีกรายหนึ่งได้จ้างพนักงานของ TaskUs เพิ่มเติมเพื่อขโมยข้อมูลลูกค้า ก่อให้เกิด "เครือข่ายสมคบคิดเชิงรัศมีที่ซับซ้อน" ซึ่งถ่ายโอนข้อมูลลูกค้าของ Coinbase ไปยังอาชญากรผ่านคอมพิวเตอร์ของ TaskUs คำร้องเรียนดังกล่าวอ้างถึงอดีตพนักงานของ TaskUs ซึ่งกล่าวว่าแม้แต่หัวหน้าทีมและผู้จัดการฝ่ายปฏิบัติการก็มีส่วนเกี่ยวข้องด้วย

เมื่อ TaskUs ตระหนักถึงปัญหานี้ในที่สุด โทรศัพท์ของมิชรามีข้อมูลลูกค้า Coinbase มากกว่า 10,000 ราย คำร้องเรียนระบุว่ามิชราและผู้สมรู้ร่วมคิดของเธอได้รับเงิน 200 ดอลลาร์ต่อภาพ และบางครั้งเธอถ่ายภาพบัญชีลูกค้า Coinbase มากถึง 200 ภาพในหนึ่งวัน Coinbase เปิดเผยในเอกสารที่ยื่นต่อหน่วยงานกำกับดูแลว่าในท้ายที่สุดมีลูกค้ามากกว่า 69,000 รายที่ได้รับผลกระทบ

ตามที่ Fortune รายงานไว้ก่อนหน้านี้ ผู้วางแผนเบื้องหลังแผนการติดสินบนดูเหมือนจะเป็นคนหนุ่มสาวในช่วงวัยรุ่นหรือต้นวัยยี่สิบ ซึ่งเป็นสมาชิกของกลุ่มแฮ็กเกอร์หลวมๆ ที่ชื่อว่า "Comm"

ข้อกล่าวหาที่ว่าการโจรกรรมข้อมูลเริ่มต้นขึ้นในเดือนกันยายน 2567 มีความสำคัญอย่างยิ่ง เนื่องจาก Coinbase เคยกล่าวไว้ก่อนหน้านี้ว่าการโจมตีเกิดขึ้นในช่วงปลายเดือนธันวาคม

อีกหนึ่งความคืบหน้าที่น่าจับตามอง TaskUs อ้างในเดือนนี้ว่า ไม่เพียงแต่ผู้ขายภายนอกเท่านั้น แต่ยังรวมถึงพนักงานภายในของ Coinbase ด้วย แต่บริษัทไม่ได้ให้รายละเอียดเพิ่มเติม หลังจากเหตุการณ์ถูกเปิดเผย โฆษกของ Coinbase บอกกับ Fortune ว่า “เราได้แจ้งผู้ใช้และหน่วยงานกำกับดูแลที่ได้รับผลกระทบทันที ชดเชยเงินให้กับลูกค้าที่ได้รับผลกระทบ เพิ่มความเข้มงวดในการควบคุมซัพพลายเออร์และบุคลากรภายใน และยุติความร่วมมือกับ TaskUs เราปฏิเสธที่จะจ่ายค่าไถ่ให้กับอาชญากร และเสนอรางวัล 20 ล้านดอลลาร์สำหรับข้อมูลที่นำไปสู่การจับกุมและตัดสินลงโทษผู้ต้องสงสัยแทน” TaskUs ไม่ได้ตอบสนองต่อข้อร้องเรียนที่แก้ไขแล้วในทันที Fortune ไม่สามารถติดต่อ Ashita Mishra ได้ทันที ก่อนหน้านี้ TaskUs ได้แจ้งกับ Fortune ว่า "บริษัทให้ความสำคัญกับความปลอดภัยของลูกค้าและข้อมูลผู้ใช้เป็นอันดับแรก และยังคงเสริมสร้างโปรโตคอลความปลอดภัยระดับโลกและโปรแกรมการฝึกอบรมอย่างต่อเนื่อง" การปกปิดข้อมูลหลายชุด คดีความนี้เผยให้เห็นรายละเอียดที่ละเอียดที่สุดเท่าที่เคยมีมาเกี่ยวกับการแฮ็กสกุลเงินดิจิทัลครั้งใหญ่ที่สุดครั้งหนึ่งของปี และการละเมิดที่ร้ายแรงที่สุดในประวัติศาสตร์กว่าทศวรรษของ Coinbase ทนายความของโจทก์รายอื่นๆ เคยฟ้องร้อง Coinbase เกี่ยวกับการแฮ็กนี้มาก่อน และ Coinbase ได้ผลักดันให้มีการฟ้องร้องเหล่านี้เข้าสู่กระบวนการอนุญาโตตุลาการ กระบวนการอนุญาโตตุลาการมีประวัติในการช่วยบริษัทต่างๆ บรรเทาความสูญเสียทางการเงินและภาพลักษณ์เชิงลบ ซึ่งอาจอธิบายได้ว่าทำไมบริษัทที่ดำเนินคดีแบบกลุ่มจึงเลือกที่จะฟ้องร้อง TaskUs ซึ่งเป็นบริษัทผู้ให้บริการเอาท์ซอร์ส แทนที่จะฟ้องร้อง Coinbase โดยตรง ในคดีความนี้ TaskUs กล่าวหาว่า "กำลังดำเนินการเพื่อปิดปากผู้ที่ทราบเรื่องการละเมิด" ดังที่ Fortune เคยรายงานไว้ก่อนหน้านี้ TaskUs ได้เลิกจ้างพนักงาน 226 คนในอินดอร์เมื่อเดือนมกราคม คดีความดังกล่าวอ้างคำกล่าวของอดีตพนักงานคนหนึ่ง โดยอ้างว่าบริษัทได้ดำเนินการขั้นเด็ดขาดนี้เนื่องจากกลุ่มสมคบคิดได้ "แทรกซึมเข้าไปในระบบของ TaskUs อย่างละเอียดถี่ถ้วนจนบริษัทไม่สามารถระบุตัวผู้ที่เกี่ยวข้องทั้งหมดได้" ต่อมาในวันที่ 10 กุมภาพันธ์ TaskUs ได้ตัดสินใจไล่ทีมทรัพยากรบุคคลซึ่งเดิมทีเป็นผู้รับผิดชอบในการสืบสวนการละเมิดข้อมูลดังกล่าวออก คดีความกล่าวหาว่านี่เป็นส่วนหนึ่งของ "การปกปิดข้อมูลอย่างร้ายแรง"คำฟ้องต่อศาลฉบับใหม่โดย Greenbaum Olbrantz เป็นฉบับแก้ไขเพิ่มเติมจากคำฟ้องเดิมที่ยื่นในเดือนพฤษภาคม ประมาณสองสัปดาห์หลังจากที่ Coinbase เปิดเผยข้อมูลการแฮ็ก ก่อนหน้านี้ Coinbase ได้ยื่นฟ้องคดีความที่มีชื่อเสียงหลายคดี รวมถึงคดีหนึ่งที่กล่าวหาว่าสายการบินขาย "ที่นั่งติดหน้าต่าง" แต่กลับให้ผู้โดยสารนั่งชิดผนังโดยไม่มีหน้าต่าง Coinbase กำลังพยายามรวมคดีนี้เข้ากับคดีอื่นๆ ทั้งหมดที่เกี่ยวข้องกับการแฮ็กของ Coinbase TaskUs ได้ยื่นคำร้องเพื่อยกฟ้องคดีนี้และป้องกันไม่ให้รวมอยู่ในคดีความรวมที่ครอบคลุมยิ่งขึ้น “คำฟ้องฉบับแก้ไขของเราเปิดเผยรายละเอียดที่ไม่เคยมีมาก่อนเกี่ยวกับเหตุการณ์การละเมิดข้อมูลครั้งนี้ และเราจะทำงานอย่างขยันขันแข็งต่อไปเพื่อให้ทุกฝ่ายต้องรับผิดชอบ” คาร์เตอร์ กรีนบอม ผู้ร่วมก่อตั้ง Greenbaum Olbrantz กล่าวในแถลงการณ์

ยินดีต้อนรับสู่ชุมชนทางการของ BlockBeats:

กลุ่ม Telegram สมัครสมาชิก: https://t.me/theblockbeats

กลุ่ม Telegram พูดคุย: https://t.me/BlockBeats_App

บัญชี Twitter ทางการ: https://twitter.com/BlockBeatsAsia