แพลตฟอร์มการซื้อขาย Robinhood ได้ประกาศว่าลูกค้ามากกว่า XNUMX ล้านรายได้รับผลกระทบจากการละเมิดข้อมูล “จากการสืบสวนของเรา การโจมตีดังกล่าวถูกควบคุมได้ และเราเชื่อว่าไม่มีการเปิดเผยหมายเลขประกันสังคม หมายเลขบัญชีธนาคาร หรือหมายเลขบัตรเดบิต และไม่มีการสูญเสียทางการเงินแก่ลูกค้าใดๆ อันเป็นผลมาจากเหตุการณ์ดังกล่าว” Robinhood เปิดเผยในรายงาน เป็นเจ้าของ. แพลตฟอร์มดังกล่าวซึ่งได้รับความอื้อฉาวในช่วงตำนาน GameStop อธิบายว่าการโจมตีดังกล่าวได้รับการควบคุมโดยวิศวกรรมสังคมโดยผู้จัดการฝ่ายสนับสนุนลูกค้าที่แยกทางทางโทรศัพท์เพื่อเข้าถึงระบบสนับสนุนลูกค้าบางระบบ ด้วยการเข้าถึงนี้ ผู้โจมตีสามารถแยกรายชื่อที่อยู่อีเมลของผู้คนประมาณห้าล้านคนและชื่อเต็มของกลุ่มอีกสองล้านคนที่แยกจากกัน
จำกัดความเสียหาย
ผู้ใช้กลุ่มเล็กๆ ประมาณ 310 รายสูญเสียข้อมูลส่วนบุคคล (PII) ซึ่งรวมถึงชื่อ วันเกิด และรหัสไปรษณีย์ ในขณะที่ "รายละเอียดบัญชีโดยละเอียดเพิ่มเติม" สำหรับลูกค้าอีก XNUMX รายถูกเปิดเผย Robinhood กล่าวว่าสามารถระงับเหตุการณ์ดังกล่าวได้ และกำลังสอบสวนเหตุการณ์ดังกล่าวต่อไปโดยได้รับความช่วยเหลือจาก Mandiant บริษัทรักษาความปลอดภัยทางไซเบอร์ Robinhood ยังเล่าอีกว่าผู้โจมตีเข้ามาหาเขาเพื่อขอ “เงินค่ากรรโชกทรัพย์” อย่างไรก็ตาม แพลตฟอร์มดังกล่าวระบุว่าได้แจ้งตำรวจแทน แม้ว่าจะไม่ได้ระบุอย่างชัดเจนว่าไม่ได้ติดต่อกับผู้กระทำผิดก็ตาม
ลิงค์ที่อ่อนแอที่สุด
ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ TechRadar Pro กล่าวว่าเหตุการณ์ดังกล่าวเป็นการเตือนใจว่ามนุษย์มักเป็นจุดอ่อนที่สุดในระบบนิเวศ “เพื่อลดความเสี่ยง บริษัทต่างๆ ต้องใช้การควบคุมหลายชั้นพร้อมข้อจำกัดว่าใครสามารถเข้าถึงข้อมูลสำคัญได้ สิ่งนี้อาจพิสูจน์ได้ยากสำหรับบริษัทผู้ให้บริการทางการเงินที่พนักงานทำงานจากระยะไกลจากที่บ้าน และข้อมูลและระบบของลูกค้ามีการกระจายมากขึ้นในโครงสร้างพื้นฐานภายในองค์กร คลาวด์ และ SaaS” เคน เวสติน ผู้อำนวยการฝ่ายกลยุทธ์ความปลอดภัยของ Cybereason กล่าว Alicia Townsend ผู้เผยแพร่เทคโนโลยีสำหรับผู้เชี่ยวชาญด้านการจัดการข้อมูลประจำตัวของ OneLogin เห็นด้วยโดยเสริมว่า “เหตุการณ์นี้เน้นประเด็นสำคัญสองประเด็น: การให้ความรู้แก่พนักงานเกี่ยวกับภัยคุกคามความปลอดภัยทางไซเบอร์ที่อาจเกิดขึ้น โดยเฉพาะอย่างยิ่งภัยคุกคามทางวิศวกรรมทางสังคม และการจำกัดการเข้าถึงข้อมูลลูกค้าให้เหลือน้อยที่สุดสำหรับพนักงานตามบทบาทของพวกเขา . "
เอาชนะการโจมตีทางวิศวกรรมสังคม
อย่างไรก็ตาม Trevor Morgan ผู้จัดการผลิตภัณฑ์ของ Comforte AG ซึ่งเป็นผู้เชี่ยวชาญด้านความปลอดภัยของข้อมูลกล่าวว่าการฝึกอบรมไม่ได้แก้ปัญหาพื้นฐานที่เอื้อต่อการโจมตีทางวิศวกรรมสังคมเช่นนี้ Morgan กล่าวว่าพนักงานส่วนใหญ่ทำงานในสภาพแวดล้อมของข้อมูลที่มีการเร่งความเร็วมากเกินไป ซึ่งความล่าช้าในการให้หรือแบ่งปันข้อมูลสามารถหยุดความคืบหน้าได้ เขาเชื่อว่านั่นคือช่องโหว่ที่เกิดจากวิศวกรรมสังคม เพื่อขจัดปัญหา มอร์แกนแนะนำให้บริษัทต่างๆ สร้างวัฒนธรรมองค์กรที่ให้ความสำคัญกับความเป็นส่วนตัวของข้อมูล และส่งเสริมให้พนักงานชะลอและพิจารณาการแยกย่อยทั้งหมดก่อนที่จะดำเนินการตามคำขอข้อมูลที่ละเอียดอ่อน นอกจากนี้ยังแนะนำว่าผู้จัดการฝ่ายไอทีถือว่าการรักษาความปลอดภัยที่เน้นข้อมูลเป็นวิธีหนึ่งในการปกป้องข้อมูลที่ละเอียดอ่อนมากกว่าขอบเขตรอบข้อมูล “ตัวอย่างเช่น การทำให้เป็นโทเค็นไม่เพียงแต่ทำให้ข้อมูลที่ละเอียดอ่อนไม่สามารถเข้าใจได้ แต่ยังรักษารูปแบบของข้อมูลเพื่อให้แอปพลิเคชันทางธุรกิจและผู้ใช้สามารถทำงานกับข้อมูลในสถานะที่ได้รับการป้องกันได้ตลอดเวลา หากคุณไม่เคยตรวจสอบข้อมูล มีโอกาสที่ดีที่แม้ว่าจะตกไปอยู่ในมือของคนผิด แต่ข้อมูลที่ละเอียดอ่อนจะไม่ถูกบุกรุก” มอร์แกนอธิบาย