Insiden Keamanan Pocket Bitcoin
Pada 3 September, Pocket Bitcoin mengungkapkan bahwa insiden keamanan yang terjadi pada bulan Agustus telah mengekspos informasi pribadi dan keuangan dari 5.411 pelanggan, memperluas ruang lingkup yang dijelaskan dalam pengungkapan awal. Penyedia layanan Bitcoin asal Swiss ini mengidentifikasi dua kelompok data yang berbeda setelah menyelesaikan penyelidikan forensik.
Kelompok Data yang Terpengaruh
Kelompok pertama berisi informasi transaksi bank yang melibatkan 5.120 pelanggan, sementara kelompok kedua mencakup korespondensi yang mengandung catatan yang berpotensi lebih sensitif dari 291 pelanggan. Kelompok yang lebih besar terdiri dari daftar transaksi yang dikirimkan oleh bank mitra kepada Pocket Bitcoin selama pemeriksaan kepatuhan. Daftar tersebut mencakup nama pelanggan, alamat tempat tinggal, jumlah transfer, dan tanggal transaksi. Beberapa di antaranya juga menyertakan IBAN yang terkait dengan transfer.
Pembaruan Insiden Keamanan
Dalam pembaruan mengenai insiden keamanan ini, Pocket Bitcoin menyatakan bahwa penyelidikan telah selesai. Dalam beberapa kasus, data tambahan terpengaruh dibandingkan dengan yang dijelaskan dalam pengungkapan awal. Kelompok yang lebih kecil melibatkan korespondensi yang dikirim oleh Pocket Bitcoin kepada bank mitra. Tergantung pada pelanggan, informasi yang terpapar termasuk nama, alamat pos, alamat Bitcoin publik, salinan dokumen identitas, dan catatan sumber dana. Perusahaan menegaskan bahwa informasi tersebut muncul dalam kombinasi yang berbeda, sehingga tidak semua pelanggan dalam kelompok 291 orang memiliki setiap jenis data yang terpapar.
Komunikasi dengan Pelanggan
Pocket Bitcoin telah menghubungi pelanggan yang terpengaruh secara individu dengan rincian tentang kasus mereka. Secara keseluruhan, kedua kelompok mencakup 5.411 pelanggan. Pelanggan lain mungkin telah memiliki alamat email atau percakapan dukungan yang terpapar berdasarkan pengungkapan awal perusahaan. Namun, Pocket Bitcoin menyatakan bahwa mereka yang tidak menerima pemberitahuan pribadi baru harus terus mengandalkan pemberitahuan awal tersebut.
Keamanan Data Pelanggan
Perusahaan menegaskan bahwa penyerang tidak mengkompromikan basis data pelanggan atau transaksi utamanya. Sebaliknya, catatan tersebut berasal dari korespondensi dan daftar yang dihasilkan oleh bank yang disimpan dalam cadangan yang terintegrasi dalam sistem dukungan yang terpengaruh. Perbedaan ini menjelaskan mengapa data yang menyerupai catatan transaksi dan identitas terpapar meskipun basis data yang mendasarinya tetap aman. Materi dukungan yang terpengaruh berisi salinan informasi yang diproduksi atau diterima selama prosedur kepatuhan regulasi.
Operasional Pocket Bitcoin
Pocket Bitcoin beroperasi sebagai layanan non-kustodian dan tidak menyimpan kunci pribadi pelanggan. Perusahaan menegaskan bahwa saldo Bitcoin tidak pernah dapat diakses oleh penyerang, sementara layanan pembelian dan penjualan terus beroperasi secara normal. Alamat Bitcoin yang terungkap tidak dapat mengotorisasi transfer. Namun, menghubungkan alamat publik dengan identitas pelanggan dapat memungkinkan orang lain untuk memeriksa aktivitas blockchain yang terlihat. Pocket mencatat bahwa memindahkan Bitcoin tidak dapat menghapus riwayat transaksi yang ada dari alamat tersebut.
Risiko Penyalahgunaan Data
Saat ini, Pocket Bitcoin tidak memiliki indikasi bahwa informasi yang terpapar telah disalahgunakan. Pernyataan ini mencerminkan informasi yang tersedia setelah penyelidikannya dan tidak menjamin bahwa penyalahgunaan tidak akan terjadi di kemudian hari. Pocket Bitcoin juga mengidentifikasi surat palsu dan komunikasi fisik lainnya sebagai risiko tertentu, karena nama dan alamat pos disertakan. Seorang penipu dapat merujuk pada transfer bank yang sah atau transaksi Bitcoin untuk membuat upaya peniruan tampak kredibel.
Keamanan Email dan Kredensial
Alamat email dan kredensial login tidak terkait dengan dua kelompok data yang baru diidentifikasi, menurut Pocket Bitcoin. Oleh karena itu, perusahaan tidak melihat risiko phishing email yang ditargetkan secara langsung yang muncul khusus dari catatan tersebut. Insiden ini mengikuti beberapa pengungkapan yang melibatkan informasi pelanggan yang disimpan di luar sistem inti crypto. Seperti yang dilaporkan oleh crypto.news, tiga pelanggaran terbaru mengekspos 253.487 catatan, meningkatkan kekhawatiran bahwa data tempat tinggal dan transaksi dapat mendukung phishing atau penargetan fisik bertahun-tahun kemudian.
Laporan dan Tindakan Selanjutnya
Insiden terpisah pada bulan Agustus di Bits of Gold berpotensi mengekspos identitas pelanggan, informasi perbankan, dan dompet melalui sistem pihak ketiga. Penyelidikan itu juga menemukan bahwa dana dan kata sandi pelanggan tetap tidak terpengaruh. Pocket Bitcoin melaporkan insiden tersebut kepada Komisioner Perlindungan Data dan Informasi Federal Swiss serta Kantor Perlindungan Data Liechtenstein. Perusahaan juga mengajukan laporan polisi tetapi tidak mengidentifikasi penyerang yang dicurigai atau memberikan rincian tentang penyelidikan.
Penutupan Kerentanan
Pocket Bitcoin menyatakan bahwa kerentanan di balik insiden tersebut telah ditutup dan langkah-langkah perlindungan tambahan telah diterapkan. Mereka sedang meninjau bagaimana korespondensi bank dan catatan kepatuhan terkait disimpan dan ditransfer. Pocket berharap untuk menerbitkan lebih banyak informasi tentang perubahan tersebut dalam beberapa minggu mendatang. Mereka tidak mengharapkan untuk mengidentifikasi kategori paparan lebih lanjut, meskipun mereka akan memberi tahu pelanggan jika temuan selanjutnya mengubah penilaian tersebut. Pengguna yang terpengaruh disarankan untuk memantau aktivitas bank dan memperlakukan surat, panggilan, atau pesan yang tidak terduga dengan hati-hati. Pocket Bitcoin menegaskan bahwa mereka tidak akan pernah meminta pelanggan untuk mengungkapkan frasa benih atau mentransfer Bitcoin melalui panggilan telepon atau surat yang tidak diminta.
