Paidwork ချိုးဖောက်မှုကြောင့် အကောင့် ၂၃ သန်း၏ ငွေကြေးနှင့် ကိုယ်ရေးကိုယ်တာ အချက်အလက်များ ပေါက်ကြား

ဘာဖြစ်တာလဲ

Paidwork ဟုခေါ်သော microtask platform ၏ backend စနစ်များထဲသို့ ခွင့်ပြုချက်မရှိဘဲ ဝင်ရောက်မှုတစ်ခုသည် ၂၀၂၆ ခုနှစ် မတ်လတွင် ဖြစ်ပွားခဲ့သည်။ "hackformetome" အမည်ဖြင့် လည်ပတ်နေသော threat actor တစ်ဦးသည် Paidwork ၏ ထုတ်လုပ်မှု အခြေခံအဆောက်အအုံမှ တိုက်ရိုက်ယူထားသော 11 GB database dump ကို ရရှိခဲ့သည်ဟု စွပ်စွဲထားသည်။

၂၀၂၆ ခုနှစ် ဧပြီလတွင် သရုပ်ဆောင်သည် ခိုးယူခံရသောဒေတာစုကို ဆိုက်ဘာရာဇဝတ်မှုဖိုရမ်တစ်ခုတွင် ရောင်းချရန် ကြော်ငြာခဲ့ပြီး ၎င်းတွင် အသုံးပြုသူ ၂၂ သန်းခန့်နှင့် ဆက်စပ်နေသော အချက်အလက်များပါဝင်သည်ဟုဆိုသည်။ ၂၀၂၆ ခုနှစ် ဇူလိုင်လတွင် ၁၁ GB ဒေတာစုနီးပါးကို အွန်လိုင်းတွင် လူသိရှင်ကြားတင်ခဲ့သည်။

ဘယ်လိုပေါ်ပေါက်လာခဲ့လဲ

ခြိမ်းခြောက်မှုပြုလုပ်သူများသည် ခိုးယူခံရသောဒေတာဘေ့စ်ကို အွန်လိုင်းတွင်တင်ပြီးနောက် လုံခြုံရေးဖြစ်ရပ်သည် လူသိရှင်ကြားဖြစ်လာခဲ့သည်။ ၂၀၂၆ ခုနှစ်၊ ဇူလိုင်လ ၁၉ ရက်နေ့တွင် ဒေတာချိုးဖောက်မှုအကြောင်းကြားစာဝန်ဆောင်မှု Have I Been Pwned သည် ပေါက်ကြားလာသောဒေတာစုကို ခွဲခြမ်းစိတ်ဖြာပြီးနောက် ချိုးဖောက်မှုကို တရားဝင်စာရင်းသွင်းခဲ့သည်။

ပေါက်ကြားလာသောဖိုင်များကို ခွဲခြမ်းစိတ်ဖြာချက်အရ ခိုးယူမှုတွင် ပါဝင်ပတ်သက်နေသော ထူးခြားသည့် အီးမေးလ်လိပ်စာ ၂၃,၂၇၂,၇၆၅ ခုကို အတည်ပြုခဲ့သည်။ အများပြည်သူထံ ပေါက်ကြားမှုနှင့် နောက်ဆက်တွဲဒေတာဘေ့စ် အညွှန်းကိန်းများ မဖြစ်ပွားမီတွင် Paidwork သည် ခိုးယူမှုကို အများပြည်သူထံ ထုတ်ဖော်ခြင်း သို့မဟုတ် ဝန်ခံခြင်း မပြုခဲ့ပါ။

ဘာတွေ ဖော်ထုတ်ခံခဲ့ရလဲ

ခိုးယူခံရမှုကြောင့် အကောင့် ၂၃ သန်းကျော်၏ ကိုယ်ရေးကိုယ်တာနှင့် ငွေကြေးဆိုင်ရာ မှတ်တမ်းများနှင့်အတူ လုပ်ငန်းလည်ပတ်မှု ပလက်ဖောင်းဒေတာများ ပေါက်ကြားသွားခဲ့သည်။ ခိုးယူခံရသည့် ကွက်လပ်များတွင် အသုံးပြုသူ၏ အမည်အပြည့်အစုံ၊ အီးမေးလ်လိပ်စာများ၊ ဖုန်းနံပါတ်များ၊ နေရပ်လိပ်စာများ၊ မွေးသက္ကရာဇ်များ၊ ကျား/မ၊ ပညာရေးအဆင့်များ၊ ကိုယ်ရေးကိုယ်တာ စိတ်ဝင်စားမှုများ၊ ပရိုဖိုင်ဓာတ်ပုံများ၊ စက်ပစ္စည်းအချက်အလက်နှင့် IP လိပ်စာများ ပါဝင်သည်။

ပေါက်ကြားခဲ့သော ငွေကြေးနှင့် လုပ်ငန်းလည်ပတ်မှုဆိုင်ရာ အချက်အလက်များတွင် ဘဏ်အကောင့်နံပါတ်များ၊ ငွေကြေးလွှဲပြောင်းမှုမှတ်တမ်းများနှင့် အလုပ်သမားငွေပေးချေမှုမှတ်တမ်းများ ပါဝင်သည်။ အသုံးပြုသူစကားဝှက်များကို ဒေတာဘေ့စ်တွင် ထည့်သွင်းထားသော်လည်း plaintext အစား bcrypt hash များအဖြစ် သိမ်းဆည်းထားသည်။

အကြောင်းခံ

Paidwork ၏ ထုတ်လုပ်မှုဒေတာဘေ့စ်သို့ ခွင့်ပြုချက်မရှိဘဲ ဝင်ရောက်ခွင့်ရရန် အသုံးချခံရသည့် သီးခြား intrusion vector သို့မဟုတ် system vulnerability ကို ထုတ်ဖော်ပြောကြားခြင်း မရှိပါ။

ထိခိုက်ခံရရင် ဘာလုပ်ရမလဲ

ထိခိုက်ခံရသော အသုံးပြုသူများသည် ၎င်းတို့၏ Paidwork အကောင့် စကားဝှက်ကို ချက်ချင်းပြောင်းလဲသင့်ပြီး တူညီသော စကားဝှက်ကို ပြန်လည်အသုံးပြုထားသည့် အခြားဝန်ဆောင်မှုကို အပ်ဒိတ်လုပ်သင့်သည်။

ဘဏ်အကောင့်နံပါတ်များနှင့် အလုပ်သမားငွေပေးချေမှုမှတ်တမ်းများ ပေါက်ကြားမှုကြောင့် ထိခိုက်ခံရသူများသည် ခွင့်ပြုချက်မရှိဘဲ ငွေပေးငွေယူများ သို့မဟုတ် သံသယဖြစ်ဖွယ်လုပ်ဆောင်ချက်များ ရှိမရှိ ဘဏ်စာရင်းရှင်းတမ်းများနှင့် ငွေကြေးအကောင့်များကို အနီးကပ်စောင့်ကြည့်သင့်သည်။[1][7]

အသုံးပြုသူများသည် ပေါက်ကြားသွားသော ကိုယ်ရေးကိုယ်တာအချက်အလက်များ၊ ရုပ်ပိုင်းဆိုင်ရာလိပ်စာများ သို့မဟုတ် ငွေပေးချေမှုမှတ်တမ်းကို အသုံးပြုသည့် ပစ်မှတ်ထား phishing၊ SMS လိမ်လည်မှုများနှင့် ဖုန်းလူမှုရေးအင်ဂျင်နီယာကြိုးပမ်းမှုများကိုလည်း သတိထားသင့်သည်။[1] အရေးကြီးသောအကောင့်များတွင် multi-factor authentication ကိုဖွင့်ရန် အထူးအကြံပြုလိုပါသည်။[3]

ကိုးကားထားသော အခြားတွေ့ရှိချက်များ

ဤဖော်ပြချက်များတွင် ကိုယ်ပိုင်ကိုးကားချက်များ ရှိသော်လည်း အထက်ပါ စာပိုဒ်တစ်ခုနှင့်မျှ တွဲမရနိုင်ခဲ့ပါ။

• "hackformetome" အမည်ဖြင့် လည်ပတ်နေသော threat actor သည် Paidwork ၏ ထုတ်လုပ်မှု အခြေခံအဆောက်အအုံမှ တိုက်ရိုက်ယူထားသော 11 GB database dump ကို ရရှိခဲ့သည်ဟု စွပ်စွဲခံရသည်။[1][5]
• ၂၀၂၆ ခုနှစ် ဧပြီလတွင် သရုပ်ဆောင်သည် ခိုးယူခံရသောဒေတာစုကို ဆိုက်ဘာရာဇဝတ်မှုဖိုရမ်တစ်ခုတွင် ရောင်းချရန် ကြော်ငြာခဲ့ပြီး ၎င်းတွင် အသုံးပြုသူ ၂၂ သန်းခန့်နှင့် ဆက်စပ်နေသော အချက်အလက်များပါဝင်သည်ဟု ဆိုခဲ့သည်။[2][5]
• ၂၀၂၆ ခုနှစ် ဇူလိုင်လတွင် ၁၁ GB ဒေတာဘေ့စ်နီးပါးကို အွန်လိုင်းတွင် လူသိရှင်ကြားတင်ခဲ့သည်။[5][6]
• ၂၀၂၆ ခုနှစ်၊ ဇူလိုင်လ ၁၉ ရက်နေ့တွင် ဒေတာချိုးဖောက်မှုအကြောင်းကြားစာဝန်ဆောင်မှု Have I Been Pwned သည် ပေါက်ကြားလာသောဒေတာအစုကို ခွဲခြမ်းစိတ်ဖြာပြီးနောက် ချိုးဖောက်မှုကို တရားဝင်စာရင်းပြုစုခဲ့သည်။[3][4]
• ပေါက်ကြားလာသောဖိုင်များကို ခွဲခြမ်းစိတ်ဖြာချက်အရ ခိုးယူမှုတွင် ပါဝင်သည့် ထူးခြားသော အီးမေးလ်လိပ်စာ ၂၃,၂၇၂,၇၆၅ ခုကို အတည်ပြုခဲ့သည်။[3][5]
• အများပြည်သူထံ ပေါက်ကြားမှုနှင့် နောက်ဆက်တွဲ ဒေတာဘေ့စ် အညွှန်းကိန်းများ မဖြစ်ပွားမီတွင် Paidwork သည် ချိုးဖောက်မှုကို အများပြည်သူထံ ထုတ်ဖော်ခြင်း သို့မဟုတ် ဝန်ခံခြင်း မပြုခဲ့ပါ။[3][5]
• အသုံးပြုသူ၏ အမည်အပြည့်အစုံ၊ အီးမေးလ်လိပ်စာများ၊ ဖုန်းနံပါတ်များ၊ နေရပ်လိပ်စာများ၊ မွေးသက္ကရာဇ်များ၊ ကျား/မ၊ ပညာရေးအဆင့်များ၊ ကိုယ်ရေးကိုယ်တာစိတ်ဝင်စားမှုများ၊ ပရိုဖိုင်ဓာတ်ပုံများ၊ စက်ပစ္စည်းအချက်အလက်နှင့် IP လိပ်စာများ အပါအဝင် ခိုးယူခံရသည့် သီးခြားအကွက်များ ပါဝင်သည်။[1][3][5]
• ဘဏ်အကောင့်နံပါတ်များ၊ ငွေကြေးလွှဲပြောင်းမှုမှတ်တမ်းများနှင့် အလုပ်သမားငွေပေးချေမှုမှတ်တမ်းများ အပါအဝင် ငွေကြေးနှင့် လုပ်ငန်းလည်ပတ်မှုဆိုင်ရာ အချက်အလက်များ ပေါက်ကြားခဲ့သည်။[3][5][6]
• အသုံးပြုသူစကားဝှက်များကို ဒေတာဘေ့စ်တွင် ထည့်သွင်းထားသော်လည်း plaintext အစား bcrypt hashes များအဖြစ် သိမ်းဆည်းထားသည်။[3][5]