คาสิโนออนไลน์เปิดเผยข้อมูลส่วนบุคคลแก่ลูกค้ารายอื่น

คาสิโนออนไลน์เปิดเผยข้อมูลส่วนบุคคลแก่ลูกค้ารายอื่น

คาสิโนออนไลน์เปิดเผยข้อมูลส่วนบุคคลแก่ลูกค้ารายอื่น เซิร์ฟเวอร์“ ข้อผิดพลาด” ที่ 32Red หมายความว่าลูกค้าบางรายสามารถดูยอดเงินในบัญชีและรายละเอียดการ์ดบางส่วนของลูกค้ารายอื่นที่คาสิโนออนไลน์รวมถึงข้อมูลส่วนตัวบางส่วน

32Red ยืนยันต่อคำตัดสินว่า“ 118 บัญชีอาจได้รับผลกระทบจากปัญหาทางslotxoเทคนิค” ซึ่งบังคับให้ บริษัท ต้องปิดไซต์เพื่อการบำรุงรักษาเมื่อสัปดาห์ที่แล้ว

ในเช้าวันที่ 18 กุมภาพันธ์ผู้ใช้ 32Red ที่ลงชื่อเข้าใช้บัญชีของตนได้แสดงชื่อเจ้าของบัญชีตัวเลขสี่หลักสุดท้ายและวันหมดอายุของบัตรของลูกค้ารายอื่นแทนที่จะเป็นของตนเอง ยังมีการเปิดเผยชื่อผู้ใช้ชื่อที่อยู่อีเมลและหมายเลขโทรศัพท์มือถือจำนวน“ จำกัด ” แก่ลูกค้า 32Red คนอื่น ๆ ด้วย

คาสิโนออนไลน์เปิดเผยข้อมูลส่วนบุคคลแก่ลูกค้ารายอื่น

“ ปัญหาทางเทคนิคเกิดจากความผิดพลาดในเซิร์ฟเวอร์ที่จัดการข้อมูลเซสชัน” โฆษกของ Kindred Group ซึ่งเป็น บริษัท แม่ของ 32Red กล่าวกับ Verdict

การละเมิดยังหมายความว่ามีการแสดงยอดคงเหลือในบัญชีที่ไม่ถูกต้องให้กับผู้ที่เข้าสู่ระบบในขณะที่ปัญหาทางเทคนิคกำลังดำเนินอยู่

ลูกค้า 32Red รายหนึ่งซึ่งไม่ต้องการเปิดเผยชื่อบอกกับ Verdict ว่าเขากำลังเล่นรูเล็ตเมื่อเขาสังเกตเห็นว่ายอดคงเหลือของเขาเป็นครึ่งหนึ่งของสิ่งที่ควรจะเป็น
“ จากนั้นฉันสังเกตเห็นว่าเงินถูกหักตั้งแต่เริ่มหมุนและในตอนท้าย ตอนแรกฉันคิดว่ามันเป็นความผิดพลาดที่อาจแก้ไขตัวเองได้ถ้าฉันต้องการเติมเงิน” เขากล่าว

“ ในที่สุดฉันก็จำเป็นต้องเติมเงินเพราะเครดิตของฉันหมดเร็วมาก เมื่อพยายามเติมยอดคงเหลือบัตรของฉันไม่ปรากฏ แต่มีอีกสองใบ จากนั้นฉันสงสัยว่าถูกแฮ็กและมีคนตั้งค่าในบัญชีของฉันเพื่อขโมยเงินของฉัน”

หลังจากที่เขาติดต่อ บริษัท การพนัน 32Red กล่าวว่าทราบปัญหาและกำลังดำเนินการสอบสวนอย่างเต็มที่

ลูกค้ากล่าวเพิ่มเติมว่าเขาสามารถเห็น“ เงินและบัตรของคนอื่นในบัญชีของฉันโดยสุ่มเปลี่ยนแปลง”

ยอดเงิน 42.50 ปอนด์ของเขาถูกเปลี่ยนเป็น 5p อย่างไม่ถูกต้องและในขณะที่เผยแพร่ยังไม่ได้รับการแก้ไข

ลูกค้า 32Red อีกรายกล่าวผ่าน Twitter:
“ ฉันเฝ้าดูเงินของฉันหมดไปจากบัญชีของฉัน จากนั้นฉันรีเฟรชเพื่อดูบัญชีของคนอื่นที่มีบัตรเดบิตของฉันอยู่ในรายการ เมื่อวานนี้ฉันชนะและถอนตัวได้ 150 ปอนด์ดังนั้นฉันหวังว่าสิ่งนี้จะไม่ส่งผลกระทบต่อสิ่งนั้น การที่พวกเขาไม่ได้แจ้งเตือนใครถือเป็นการกระทำที่ไม่ดีเลย”

32Red บอกกับ Verdict ว่าอยู่ระหว่างการกู้คืนยอดคงเหลือในบัญชีทั้งหมดที่ได้รับผลกระทบโดยเสริมว่า“ ไม่มีผลกระทบทางการเงินกับลูกค้า 32Red.com ใด ๆ ”

บริษัท ที่ได้รับอนุญาตจากยิบรอลตาร์กล่าวว่าได้แจ้งต่อหน่วยงานกำกับดูแลของยิบรอลตาร์แล้วและจะติดต่อลูกค้าที่ได้รับผลกระทบในวันนี้

โฆษกกล่าวย้ำว่า “ไม่มีการทำธุรกรรมทางการเงินไปยังหรือจากบัตรชำระเงินที่ไม่ถูกต้อง”

ในแถลงการณ์ต่อคำตัดสิน 32Red กล่าวว่า:

“ ในเช้าวันพฤหัสบดีที่ 32Red ซึ่งเป็นส่วนหนึ่งของ Kindred Group ประสบปัญหาทางเทคนิคบนแพลตฟอร์มและถูกออฟไลน์ ขณะนี้ปัญหาได้รับการแก้ไขแล้วและคืนค่าสิ่งอำนวยความสะดวกทั้งหมดอย่างสมบูรณ์ ปัญหานี้ทำให้เกิดการละเมิดข้อมูลเกี่ยวกับลูกค้าจำนวนเล็กน้อยที่เข้าสู่ระบบในเวลาที่เกี่ยวข้อง

“ เราได้ทำการสอบสวนอย่างครบถ้วนและได้รายงานไปยังหน่วยงานที่เกี่ยวข้องแล้ว นอกจากนี้เรายังอยู่ระหว่างการติดต่อลูกค้าที่ได้รับผลกระทบ”

ตามนโยบายความเป็นส่วนตัวของ 32Red รายละเอียดบัตรลูกค้า “จะถูกเข้ารหัสและส่งเพียงครั้งเดียวทางอินเทอร์เน็ตไปยัง 32Red จากนั้นจะจัดเก็บเข้ารหัสไว้ในระบบความปลอดภัยของ 32Red” นอกจากนี้ 32Red ยัง“ ได้รับการรับรองจาก” Payment Card Industries Data Security Standard ซึ่งออกแบบมาเพื่อลดการฉ้อโกงบัตรเครดิต

แม้ว่าจำนวนผู้ได้รับผลกระทบจะค่อนข้างน้อยและประเภทของข้อมูลที่เปิดเผยนั้นมีข้อ จำกัด ในบริบทของการละเมิดอื่น ๆ แต่ก็ยังมาพร้อมกับความเสี่ยงตามที่ Jake Moore ผู้เชี่ยวชาญด้านความปลอดภัยทางอินเทอร์เน็ตของ ESET บริษัท รักษาความปลอดภัยอินเทอร์เน็ตกล่าว

“ ผู้ก่อเหตุร้ายสามารถสร้างความเสียหายได้มากมายแม้กระทั่งข้อมูลส่วนหนึ่งที่รั่วไหลออกไปแม้กระทั่งตัวเลขสองสามหลักสุดท้ายของหมายเลขบัตรไปยังลูกค้ารายอื่นเนื่องจากสามารถนำไปสู่มือคนผิดได้อย่างง่ายดาย” เขากล่าวกับ Verdict

“ บ่อยครั้งที่ผู้คนไม่ตระหนักถึงความสำคัญของข้อมูลที่ถูกขโมยดังกล่าวและสิ่งที่สามารถทำได้กับข้อมูลที่ละเอียดอ่อนชุดเล็ก ๆ นี้ นอกจากนี้หากใช้ร่วมกับข้อมูลที่ถูกละเมิดอื่น ๆ ในไม่ช้าก็สามารถกลายเป็นการเข้าร่วมการออกกำลังกายจุดบนเว็บมืดและตลาดมืด

เขากล่าวเสริมว่า:“ อาชญากรไซเบอร์สามารถสร้างการสื่อสารแบบฟิชชิ่งได้อย่างชาญฉลาดและรวดเร็วโดยกำหนดเป้าหมายไปที่ผู้เหล่านั้นเพื่อดึงข้อมูลเพิ่มเติมในกรณีที่จำเป็น ดังนั้นจึงเป็นเรื่องสำคัญที่ผู้ที่ได้รับผลกระทบไม่เพียง แต่ต้องรับรู้ถึงการประนีประนอมโดยเร็วที่สุด แต่ยังต้องตื่นตัวต่อการฉ้อโกงและควรไตร่ตรองให้ดีก่อนที่จะสื่อสารกับอีเมลหรือโทรศัพท์ในอีกไม่กี่สัปดาห์ข้างหน้า”

บทความนี้ได้รับการอัปเดตเพื่อระบุว่ามีการเปิดเผยชื่อผู้ใช้ชื่อที่อยู่อีเมลและหมายเลขโทรศัพท์มือถือด้วย

แฮ็กเกอร์ที่เป็นอันตรายสามารถเข้าถึงอีเมลของพนักงานของผู้ให้บริการสล็อตแมชชีน Golden Entertainment ด้วยอีเมลเดียวซึ่งแฮ็กเกอร์อาจเข้าถึงได้ซึ่งมีข้อมูลส่วนตัวของลูกค้าจำนวนมาก

ในช่วง “เหตุการณ์ฟิชชิงอีเมล” บัญชีอีเมลแต่ละบัญชีที่เข้าถึงโดยไม่ได้รับอนุญาตในช่วงเวลาต่างๆระหว่างวันที่ 30 พฤษภาคม 2019 ถึง 6 ตุลาคม 2019

อีเมลฉบับหนึ่งที่แฮ็กเกอร์สามารถเข้าถึงได้มีข้อมูลส่วนบุคคลต่อไปนี้ซึ่งเป็นของลูกค้าพนักงานและผู้ขาย:

หมายเลขประกันสังคม
หมายเลขหนังสือเดินทาง
หมายเลขประจำตัวรัฐบาล
หมายเลขใบขับขี่
ข้อมูลทางการแพทย์ (หมายเลขประกันสุขภาพและข้อมูลการรักษา)
รายละเอียดบัตรชำระเงิน (วันหมดอายุรหัสรักษาความปลอดภัยของบัตรหมายเลขบัญชีการเงิน)
วันเดือนปีเกิด
ชื่อผู้ใช้และรหัสผ่าน
ในข่าวประชาสัมพันธ์ที่โพสต์บนเว็บไซต์เมื่อเวลา 22:20 น. ET วันศุกร์ที่ 31 มกราคม Golden Entertainment กล่าวว่าไม่ชัดเจนว่าอีเมลที่มีข้อมูลส่วนบุคคลนี้ถูกเข้าถึงโดยแฮกเกอร์หรือไม่ แต่ได้แจ้งให้ลูกค้าทราบเพื่อเป็นการป้องกันไว้ก่อน

บริษัท ในสหรัฐอเมริกาให้บริการอุปกรณ์เล่นเกมมากกว่า 10,000 เครื่องทั่วเนวาดาและมอนทาน่าและเป็นเจ้าของรีสอร์ทคาสิโน 10 แห่ง

การโจมตีแบบฟิชชิ่งของ Golden Entertainment เสี่ยงต่อการฉ้อโกง
Golden Entertainment เริ่มแจ้งผู้ที่ได้รับผลกระทบในวันที่ 7 พฤศจิกายน 2019 กระบวนการนี้ขยายไปจนถึงวันที่ 31 มกราคมปีนี้หลังจากที่ Golden Entertainment พบ “ที่อยู่เพิ่มเติมและระบุบัญชีอีเมลเพิ่มเติมที่เกี่ยวข้อง”
หลังจากการตรวจสอบความปลอดภัย Golden Entertainment กล่าวว่า“ ไม่มีหลักฐานว่ามีการใช้ข้อมูลใด ๆ ในทางที่ผิด” จนถึงปัจจุบัน

การโจมตีแบบฟิชชิงมองว่าอาชญากรไซเบอร์แอบอ้างเป็นบุคคลจากองค์กรที่มีชื่อเสียงเพื่อชักจูงให้เหยื่อเข้ามามีส่วนร่วมกับข้อมูลส่วนบุคคลหรือเงินสด

Jake Moore ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ของ ESET กล่าวกับ Verdict ว่าผู้ที่ได้รับผลกระทบจากการโจมตีฟิชชิ่งของ Golden Entertainment ควรตรวจสอบว่าพวกเขาไม่ได้ใช้รหัสผ่านที่ถูกบุกรุกสำหรับบัญชีออนไลน์อื่น ๆ

“ แฮกเกอร์สร้างเครื่องมือเพื่อใช้ซ้ำรหัสผ่านที่ขโมยมาจากการละเมิดข้อมูลเช่นนี้ซึ่งเรียกว่า ‘การยัดรหัสผ่าน’” เขากล่าว

“ นอกจากนี้ยังเป็นการดีสำหรับผู้ใช้ทุกคนที่อาจถูกละเมิดการตรวจสอบว่าพวกเขามีการใช้การรับรองความถูกต้องด้วยสองปัจจัยเนื่องจากทำให้การโจมตีด้วยรหัสผ่านยากขึ้นมากสำหรับอาชญากรไซเบอร์

“ เนื่องจากรายละเอียดของธนาคารอาจถูกบุกรุกเช่นกันผู้คนจึงต้องระวังการโจมตีแบบฟิชชิงที่กำลังจะมาถึงมากขึ้นและควรเปิดใช้งานการแจ้งเตือนการฉ้อโกงเพิ่มเติมในบัญชีของตน”
Golden Entertainment ให้บริการผู้ที่มีหมายเลขประกันสังคมหรือหมายเลขใบขับขี่รวมอยู่ในบริการตรวจสอบเครดิตฟรีทางอีเมลและบริการป้องกันข้อมูลระบุตัวตน

ในตอนนี้การโจมตีแบบฟิชชิงซึ่งผู้โจมตีแอบอ้างเป็นองค์กรที่เชื่อถือได้เพื่อรับข้อมูลที่ละเอียดอ่อนเป็นที่คุ้นเคยสำหรับผู้ใช้อินเทอร์เน็ตจำนวนมาก อย่างไรก็ตามถ้าการโจมตีมาจากเจ้านายเพื่อนร่วมงานหรือเพื่อนที่ไว้ใจได้ล่ะ? จะเกิดอะไรขึ้นถ้าพวกเขามีส่วนร่วมในการสนทนาและสามารถจำรายละเอียดของการแลกเปลี่ยนอีเมลก่อนหน้านี้ได้ ในกรณีนี้ผู้โจมตีจะพบเห็นได้ยากขึ้น

การโจมตีประเภทนี้เรียกว่าการยึดบัญชีและกำลังเพิ่มขึ้น เช่นเดียวกับฟิชชิงผู้โจมตีสามารถเข้าถึงบัญชีได้โดยหลอกให้ผู้ใช้แชร์ชื่อผู้ใช้และรหัสผ่านของตน เมื่อเข้ามาแล้วผู้โจมตีที่สวมรอยเป็นผู้ใช้ที่ถูกต้องจะได้รับความไว้วางใจจากผู้ที่อยู่ในเครือข่ายของผู้ใช้อยู่แล้วและอาจหลุดผ่านระบบรักษาความปลอดภัยโดยไม่ติดธงสีแดงเหมือนกับการโจมตีประเภทอื่น ๆ นั่นคือจนกว่าจะสายเกินไป

จากที่นี่พวกเขาสามารถเข้าถึงข้อมูลที่ละเอียดอ่อนและกำหนดเป้าหมายผู้ใช้รายอื่นภายในองค์กรโดย 78% ของการยึดบัญชีนำไปสู่การโจมตีแบบฟิชชิ่งตามข้อมูลของ Barracuda Networks

จากการสำรวจของ Javelin ในปี 2560 การโจมตีเพื่อยึดบัญชีทำให้เกิดความสูญเสียกว่า 5.1 พันล้านดอลลาร์ทำให้องค์กรเหล่านี้เป็นประเด็นที่น่ากังวลอย่างมาก

คำตัดสินพูดคุยกับ Hatem Naguib ซีโอโอของ บริษัท รักษาความปลอดภัยด้านไอที Barracuda Networks ซึ่งมีประสบการณ์เกือบ 30 ปีในอุตสาหกรรมไอทีเกี่ยวกับวิธีหยุดการโจมตีประเภทนี้ในเส้นทางและเครื่องมือที่จำเป็นในการต่อสู้กับภัยคุกคามในอนาคต

Ellen Daniel: Barracuda Networks ย้ายเข้ามาอยู่ในพื้นที่ของการป้องกันการครอบครองบัญชีได้อย่างไร?
Hatem Naguib:“ เราเริ่มต้นด้วยการระบุการโจมตีแบบฟิชชิงหอกซึ่งมีความเฉพาะเจาะจงมากสำหรับวิศวกรรมสังคม ดังนั้นผู้คนจะใช้อีเมลและสื่อสารกัน…การตักเตือนใครสักคนเช่น CFO หรือ CEO ฉันสามารถเข้าถึงข้อมูลประจำตัวข้อมูลทางการเงินหรือ IP ได้ทันที
“ ดังนั้นเราจึงสร้างโซลูชันที่เรียกว่า Sentinel ซึ่งต้องใช้สภาพแวดล้อมของลูกค้าในกล่องจดหมายโดยเฉพาะและสามารถสร้างชุดรูปแบบเกี่ยวกับประเภทของอีเมลที่ปกติส่งโดยใครพวกเขาพูดถึงเงินเมื่อใด ของวันนี้น้ำเสียงลักษณะหลายสิบอย่างที่จะแจ้งเตือนกลับไปยังรูปแบบการเรียนรู้ของเครื่องที่ควรกำหนดและคาดการณ์ว่านี่คือการโจมตีแบบฟิชชิงหอก

“ ในขณะที่เราได้รับคลังข้อมูลนี้เกี่ยวกับสิ่งที่เราเห็นเราก็รู้ว่าเราสามารถระบุการยึดบัญชีได้ด้วย เช่นเดียวกับที่ฉันสามารถบอกได้เมื่อมีอีเมลมาจากภายนอกว่าไม่ได้เป็น CEO จริงๆฉันยังบอกได้ด้วยว่าเมื่อกล่องจดหมายของคุณเริ่มแสดงพฤติกรรมที่ไม่ใช่คุณ”

ED: ลักษณะของการโจมตีเข้าครอบครองบัญชีคืออะไร?
HN:“ สิ่งที่มีแนวโน้มที่จะเกิดขึ้นในการยึดบัญชีคือโดยพื้นฐานแล้วผู้โจมตีจะถือว่าเป็นตัวตนของบุคคลดังนั้นมันจะเป็นคุณในสภาพแวดล้อมไม่มีใครสามารถบอกได้เลยว่าไม่ใช่คุณเพราะฉันได้รับ ข้อมูลประจำตัวของ Office 365 และฉันจะเริ่มส่งอีเมลอย่างช้าๆเพื่อให้มีความมั่นใจและไว้วางใจมากขึ้น ฉันมักจะไปที่เป้าหมายที่มีมูลค่าสูงซึ่งจำได้ทันทีว่าเป็นฉันที่ส่งอีเมลจากนั้นฉันจะสามารถเข้าถึงข้อมูลทางการเงินที่เป็นไปได้ทุกอย่างที่ต้องการ

“ เราสามารถระบุและหยุดมันได้จากนั้นจึงสร้างกลไกที่เราจะล้างข้อมูลจากการโจมตีเหล่านั้นได้ มีลักษณะที่น่าสนใจที่เราพบในการโจมตียึดบัญชี ดูเหมือนว่าจะแบ่งออกเป็นสองประเภทมาโคร หนึ่งคือคู่มืออื่น ๆ ฉันจะบอกว่าขับเคลื่อนด้วยตนเองมากขึ้น และอีกอย่างคือการโจมตีแบบบังคับที่ดุร้ายกว่า”

ED: การโจมตีเหล่านี้มาจากไหน?
HN:“ การโจมตีแบบแมนนวลมากขึ้นดูเหมือนจะมาจากไนจีเรียอินเดียและมาเลเซีย และการโจมตีแบบใช้กำลังเดรัจฉานอัตโนมัติมากขึ้นดูเหมือนจะมาจากจีนรัสเซียและบราซิล

“ ไม่ใช่ว่าฉันมีข้อมูล แต่ดูเหมือนว่า [การโจมตีด้วยตนเอง] จะมีการขับเคลื่อนทีละคนมากกว่าในขณะที่ [การโจมตีอัตโนมัติ] เหล่านี้ดูเหมือนจะเป็นกลุ่มคนมากกว่าโดยพื้นฐานแล้วจะสามารถส่งอีเมลได้เป็นล้านฉบับและหาก ฉันเพิ่งได้รับสิ่งที่ฉันต้องการ”
ED: อะไรคือแรงจูงใจเบื้องหลังการยึดบัญชี?
HN:“ ปกติแล้วมันคือเงิน แต่ตอนนี้เมื่อคุณเห็นการมีส่วนร่วมของรัฐชาติมากขึ้นเห็นได้ชัดว่าฉันสามารถเข้าถึงทรัพย์สินทางปัญญาได้ และการเข้าถึงทรัพย์สินทางปัญญาฉันคิดว่ากระตุ้นให้เกิดความสามารถมากมายใน บริษัท องค์กรและการแข่งขัน

“ จากนั้นประเภทที่สามที่ฉันจะพูดก็คือฉันคิดว่ามีเจตนาร้ายกาจมากกว่าเกี่ยวกับวิศวกรรมสังคม หากฉันสามารถปลอมบัญชี Twitter และฉันสามารถปลอมบัญชี Facebook จากนั้นฉันสามารถสร้างเนื้อหารอบ ๆ บัญชีปลอมดังที่เราเห็นในการเลือกตั้งล่าสุดซึ่งสามารถเปลี่ยนแปลงผลลัพธ์ในระดับมหภาคได้มากขึ้น และการยึดบัญชีก็สมบูรณ์แบบสำหรับสิ่งนั้น”

ED: มีสัญญาณอะไรบ้างที่ผู้คนควรระวังบัญชีของพวกเขาอาจตกเป็นเหยื่อของสิ่งนี้?
HN:“ โดยปกติโมเดลแมชชีนเลิร์นนิงจะมองหาอีเมลจำนวนมากที่ส่งออกไปพร้อม ๆ กัน…อีเมลนั้นมาจากภายนอกที่ปกติจะมาจากไหน? คุณอยู่ที่ซานฟรานซิสโกเมื่อสองสัปดาห์ก่อนคุณสามารถเข้าถึงได้จากที่นั่น คุณไม่ได้อยู่ในจีนหรืออินเดียหรือไนจีเรีย นั่นอาจเป็นข้อบ่งชี้

“ ลูกค้าจำนวนมากไม่มีเครื่องมือที่ซับซ้อนในการพิจารณาว่าสิ่งต่างๆมาจากไหนเพื่อให้สามารถระบุได้ว่าตัวตนนั้นเป็นความท้าทายหรือไม่ แล้วรูปแบบของอีเมลก็กลายเป็นสิ่งที่ชัดเจนที่สุด แต่ผู้คนไม่ได้รับสิ่งนั้นอย่างรวดเร็ว

“ โดยปกติคุณจะไม่ส่งอีเมลไปที่ฝ่ายบัญชีโดยถามว่าเวลาสั่งตัดสำหรับใบสั่งซื้อคืออะไร นั่นไม่ใช่สิ่งที่คุณมักจะทำ ดังนั้นคุณจะสามารถเลือกได้ว่านั่นคือรูปแบบที่ตอนนี้คน ๆ นี้พูดถึงเรื่องเงิน พวกเขามักไม่ทำเช่นนั้น เราควรหยุดอีเมลเหล่านั้นและระบุว่านี่เป็นการครอบครองบัญชี” คาสิโนออนไลน์เปิดเผยข้อมูลส่วนบุคคลแก่ลูกค้ารายอื่น

อ่านเพิ่มเติม