วิธีติดตามขั้นตอนการรั่วไหลของข้อมูลจาก Revolut

Revolut ยืนยันว่าคำขอข้อมูลปลอมที่ส่งจากโดเมนอีเมลของหน่วยงานรัฐบาลที่ถูกต้องตามกฎหมายทำให้เกิดการเผยแพร่สำเนาหนังสือเดินทางของลูกค้าและประวัติธุรกรรม Bitcoin แบบเต็มสำหรับผู้ใช้จำนวน "จำกัด" ตามรายงานแยกกันจาก Decrypt, The Block และ BeInCrypto บริษัทฟินเทคดังกล่าวดำเนินการตามคำขอผ่านช่องทางการปฏิบัติตามข้อกำหนดมาตรฐานโดยไม่ตรวจพบว่าที่อยู่อีเมลภายในถูกปลอมแปลง การเปลี่ยนแปลงที่ได้รับการยืนยันคือการเจาะระบบจุดเดียวของกระบวนการตอบกลับ KYC ไม่ใช่การบุกรุกระบบในวงกว้าง.

นักสืบออนเชน ZachXBT คาดการณ์ว่าการโจมตีอาจมุ่งเป้าไปที่ผู้ใช้ที่มีมูลค่าสุทธิสูง แต่ทั้ง Decrypt และ BeInCrypto ไม่ได้ยืนยันเกณฑ์การคัดเลือกดังกล่าวโดยอิสระ จำนวนบัญชีที่ได้รับผลกระทบที่แน่นอนยังคงไม่ระบุในรายงานทั้งสามฉบับ และไม่มีสำนักพิมพ์ใดยืนยันว่าผู้โจมตีได้ใช้เอกสารแสดงตนหรือประวัติธุรกรรมที่รั่วไหลหรือไม่.

ก่อนเริ่มต้น: แผนผังเส้นทางคำขอที่ได้รับผลกระทบ

กระบวนการที่ได้รับผลกระทบคือขั้นตอนการตอบสนองต่อคำขอจากหน่วยงานรัฐของ Revolut ตามรายงานของ Decrypt คำขอปลอมดังกล่าวมาจากโดเมนอีเมลของหน่วยงานรัฐเอง ซึ่งทำให้ทีมปฏิบัติตามข้อกำหนดเห็นว่าคำขอดูถูกต้องตามกฎหมาย The Block รายงานว่าข้อมูล KYC ของลูกค้าและข้อมูลธุรกรรม Bitcoin ถูกเปิดเผยหลังจากคำขอปลอมดังกล่าว BeInCrypto ยืนยันว่า Revolut ส่งสำเนาหนังสือเดินทางและบันทึก Bitcoin เพื่อตอบกลับอีเมล.

สำหรับผู้ใช้ที่ถือ Bitcoin หรือเคยส่งเอกสาร KYC ให้กับ Revolut ผลกระทบในการดำเนินงานนั้นโดยตรง: มาตรการควบคุมที่ควรแยกแยะหมายเรียกจริงจากหมายปลอมนั้นไม่สามารถทำงานได้ รายงานจากสำนักข่าวทั้งสามเห็นด้วยกับกลไกนี้ แม้ว่าจะมีการนำเสนอที่แตกต่างกัน Decrypt เน้นประเภทของข้อมูลที่ถูกเปิดเผย The Block กล่าวถึงการคาดเดาของ ZachXBT เกี่ยวกับบุคคลที่มีทรัพย์สินสุทธิสูง และ BeInCrypto ยืนยันการเปิดเผยข้อมูลดังกล่าว.

ลำดับขั้นตอน: ติดตามกระบวนการพัฒนาของ Revolut

ขั้นตอนที่ 1: ระบุการเปิดเผยข้อมูลที่ได้รับการยืนยัน Revolut ส่งสำเนาหนังสือเดินทางและประวัติธุรกรรม Bitcoin ทั้งหมดให้กับผู้ร้องขอ แหล่งข้อมูลทั้งสามยืนยันหมวดหมู่ข้อมูลเหล่านี้ The Block ระบุข้อมูล KYC และข้อมูลธุรกรรม Bitcoin โดยเฉพาะ ในขณะที่ BeInCrypto ระบุหนังสือเดินทางและบันทึก Bitcoin.

ขั้นตอนที่ 2: แยกแยะความล้มเหลวในการตรวจสอบ คำขอมาจากโดเมนอีเมลของหน่วยงานรัฐเอง ซึ่งทำให้หลุดจากการตรวจสอบมาตรฐาน Decrypt รายงานกลไกนี้โดยตรง ทีมปฏิบัติตามข้อกำหนดดำเนินการตามคำขอโดยไม่มีการตรวจสอบเพิ่มเติมเนื่องจากโดเมนดังกล่าวดูถูกต้องตามกฎหมาย นี่คือข้อบกพร่องของกระบวนการที่ได้รับการยืนยัน.

ขั้นตอนที่ 3: ประเมินกลุ่มผู้ใช้ที่ได้รับผลกระทบ จำนวนผู้ใช้ที่ "จำกัด" ไม่ได้ถูกระบุในรายงานของผู้เผยแพร่รายใด การคาดเดาของ ZachXBT เกี่ยวกับเป้าหมายที่มีมูลค่าสุทธิสูง ซึ่งรายงานโดย The Block ทำให้กรอบความเสี่ยงแคบลง แต่ยังไม่ได้รับการยืนยัน ผลกระทบในการดำเนินงานร่วมกันนี้ใช้กับผู้ใช้ Revolut ทุกคนที่มีเอกสาร KYC หรือประวัติธุรกรรม Bitcoin เนื่องจากการละเมิดยืนยันว่าโดเมนปลอมเพียงโดเมนเดียวสามารถทำให้เกิดการเปิดเผยข้อมูลทั้งหมดได้.

ขั้นตอนที่ 4: แยกการเปลี่ยนแปลงที่ยืนยันแล้วออกจากรายละเอียดที่ยังไม่ได้รับการแก้ไข ยืนยันแล้ว: การเปิดเผยข้อมูลเกิดขึ้น คำขอใช้โดเมนของรัฐบาลที่ถูกต้องตามกฎหมาย และข้อมูลที่ถูกเปิดเผยรวมถึงเอกสาร KYC และประวัติธุรกรรม Bitcoin ยังไม่ได้รับการยืนยัน: จำนวนผู้ใช้ที่แน่นอน ไม่ว่าบัญชีที่มีมูลค่าสุทธิสูงถูกกำหนดเป้าหมายเฉพาะหรือไม่ และไม่ว่ามีการแจ้งเตือนภายในใดๆ เกิดขึ้นก่อนการดำเนินการหรือไม่.

การตรวจสอบ: ตรวจสอบจุดข้อมูลที่ยังไม่ได้รับการแก้ไข

การตรวจสอบ 1: จำนวนผู้ใช้ที่ได้รับผลกระทบ Decrypt รายงานว่าการเปิดเผยข้อมูลครอบคลุมผู้ใช้จำนวน "จำกัด" ในขณะที่ The Block และ BeInCrypto ไม่ได้ระบุจำนวนที่แน่นอน ผลกระทบในการดำเนินงานจะเปลี่ยนแปลงอย่างมีนัยสำคัญหากการละเมิดส่งผลกระทบต่อบัญชีหลายสิบเทียบกับหลายพันบัญชี จำเป็นต้องตรวจสอบเอกสารต้นทางเทียบกับรายงานเหตุการณ์อย่างเป็นทางการของ Revolut หรือการยื่นต่อหน่วยงานกำกับดูแลเพื่อยืนยันตัวเลขนี้.

การตรวจสอบ 2: เกณฑ์การกำหนดเป้าหมาย The Block รายงานว่านักสืบบนเครือข่าย ZachXBT คาดเดาว่าคำขอดังกล่าวอาจมุ่งเป้าไปที่ผู้ใช้ที่มีมูลค่าสูง แต่ทั้ง Decrypt และ BeInCrypto ไม่ได้ยืนยันการกำหนดเป้าหมายดังกล่าวโดยอิสระ จนกว่าเอกสารต้นทางจาก Revolut หรือนักสืบจะระบุเกณฑ์การคัดเลือก การกำหนดเป้าหมายยังคงเป็นรายละเอียดที่ไม่ได้รับการยืนยัน.

ตรวจสอบ 3: รายการข้อมูลทั้งหมดที่ถูกเปิดเผย ผู้ให้ข้อมูลทั้งสามรายเห็นพ้องกันว่ามีการรวมสำเนาหนังสือเดินทางและประวัติธุรกรรม Bitcoin ด้วย รายละเอียดที่ยังไม่ชัดเจนคือ ภาพเซลฟี่สำหรับ KYC เอกสารพิสูจน์ที่อยู่ หรือบันทึกธุรกรรมเงินตราถูกส่งไปด้วยหรือไม่ Revolut ยังไม่ได้เผยแพร่รายการข้อมูลที่รั่วไหล ดังนั้น การตรวจสอบสินค้าคงคลังทั้งหมดของสิ่งที่ออกจากระบบจึงเป็นข้อเท็จจริงถัดไปที่ต้องยืนยัน.

ข้อจำกัด: สิ่งที่รายงานทั้งสามฉบับไม่ได้พิสูจน์

รายงานจากผู้ให้ข้อมูลทั้งสามไม่ได้ยืนยันว่า Revolut ได้ปรับปรุงขั้นตอนการตรวจสอบของตนต่อสาธารณะนับตั้งแต่เกิดเหตุการณ์หรือไม่ ไม่มีแหล่งข้อมูลใดยืนยันว่ามีการทบทวนหลังเกิดเหตุ การเปลี่ยนแปลงขั้นตอนการตอบสนองต่อคำขอของรัฐบาล หรือกลไกแจ้งเตือนภายในที่จะตรวจจับโดเมนปลอมในอนาคต จนกว่า Revolut จะเผยแพร่รายงานหลังเกิดเหตุหรือเอกสารยื่นต่อหน่วยงานกำกับดูแลพร้อมจำนวนผู้ใช้ที่ได้รับผลกระทบและประเภทข้อมูลที่ยืนยันแล้ว การละเมิดครั้งนี้ยังไม่สามารถถือว่ามีขอบเขตสมบูรณ์.

สำหรับผู้ใช้ที่ได้รับผลกระทบ ความเสี่ยงในทันทีคือสำเนาหนังสือเดินทางและประวัติธุรกรรมคริปโตทั้งหมดถูกเปิดเผยนอกเหนือการควบคุมของ Revolut ทำให้สามารถโจมตีแบบฟิชชิ่งหรือขโมยข้อมูลส่วนตัวแบบเจาะจงเป้าหมายได้ การจัดหมวดหมู่ความเสี่ยงในที่นี้รวมถึงความเสี่ยงจากข้อผิดพลาดในการดำเนินงานในขั้นตอนการตรวจสอบ และความเสี่ยงในการเก็บรักษาเอกสารประจำตัวที่ฟินเทคถืออยู่ ผู้ใช้ควรถือว่าการสื่อสารที่ไม่พึงประสงค์ใดๆ ที่อ้างถึงหนังสือเดินทางหรือประวัติคริปโตของตนอาจเป็นการฉ้อโกง เนื่องจากผู้โจมตีมีข้อมูลเดียวกันกับที่ทีมปฏิบัติตามกฎระเบียบของ Revolut ปล่อยออกไป.

การตรวจสอบเอกสารต้นทางถัดไปคือว่า Revolut ได้แก้ไขขั้นตอนการตรวจสอบยืนยันของตนอย่างเปิดเผยหรือไม่ เนื่องจากไม่มีสำนักพิมพ์ใดยืนยันขั้นตอนดังกล่าว หากยังไม่ได้แก้ไข ผู้ใช้ควรสันนิษฐานว่าช่องโหว่ในเส้นทางคำขอยังคงเปิดอยู่ ผลกระทบในการดำเนินงานที่เหมือนกันจากรายงานอิสระสามฉบับคือ เวิร์กโฟลว์การตรวจสอบยืนยันของ Revolut ยอมรับอีเมลโดเมนของรัฐบาลเป็นอำนาจที่เพียงพอ โดยเผยแพร่สำเนาหนังสือเดินทางและประวัติการทำธุรกรรม Bitcoin ก่อนที่คำขอจะได้รับการตรวจสอบความถูกต้อง สิ่งนี้ยืนยันถึงข้อบกพร่องของเวิร์กโฟลว์ ไม่ใช่แค่การรั่วไหลของข้อมูล.

เอกสารอ้างอิง

• https://decrypt.co/378114/revolut-passports-bitcoin-activity-data-breach
• https://www.theblock.co/news/business/2026-09-12-revolut-says-customer-kyc-bitcoin-transaction-data-exposed-after-fake-request-from-govt-domain-414516
• https://beincrypto.com/revolut-data-breach-fake-government-request