Robinhood 500 萬用戶資料外洩！

美國網路券商羅賓漢（Robinhood）11月8日發布公告透露，該公司在 11 月 3 日遭遇了「數據安全事故」，一名駭客盜走了數百萬客戶的電郵地址，還盜取了少數客戶的其他個人資訊。針對駭客事件經過，羅賓漢在公告中說明，這名「未經授權的第三方」是透過電話假冒為該公司負責客戶支援的員工，成功進行社交工程攻擊，得以存取特定的客戶支援系統。

羅賓漢透露，約 500 萬用戶的電郵地址外洩，另外 200 萬用戶的全名也外洩，駭客還獲取了約 310 名用戶的額外個人資訊，包括姓名、出生日期、郵遞區號等，另有 10 名客戶被盜走更多的個資。

不過羅賓漢表示：根據我們的調查，攻擊已經獲得控制，我們相信，沒有社會安全號碼、銀行帳號或借記卡號碼外洩，也沒有任何客戶因此蒙受經濟損失。

駭客要求支付贖金

羅賓漢透露，在控制住駭客攻擊後，這名「未經授權的一方」還要求支付贖金，而該公司已迅速通知執法部門，並在主要的網路安全公司 Mandiant 的幫助下，繼續調查此攻擊事件。羅賓漢並未透露還會採取哪些其他措施來解決此事件。不過羅賓漢建議，希望確保帳戶安全的客戶，可以前往羅賓漢應用程式中的「帳戶安全」設置查看。

羅賓漢並未說明此次駭客攻擊事件，是否影響了其不斷增長的加密貨幣業務。目前羅賓漢正在展開加密貨幣錢包測試計畫，羅賓漢共同創辦人兼執行長特內夫（Vladimir Tenev）上月 21 日曾透露，已有超過 100 萬用戶加入白名單申請。

社交工程攻擊

《Decrypt》指出，此次駭客攻擊事件凸顯了「社交工程」（Social Engineering）攻擊構成的風險，社交工程指的是為了竊取金錢或數據而冒充成公司高管。具有諷刺意味的是，此次駭客攻擊事件，恰好發生在羅賓漢成為第一家提供 24/7 客戶服務的加密貨幣業務公司的幾週之後。這種不間斷服務反而為駭客提供了竊取數據的機會。

事實上，羅賓漢並非是唯一一家遭遇社交工程攻擊的交易平台。Coinbase 上月就透露，今年 3 月到 5 月期間，駭客透過社交工程盜走用戶個資與 Email 帳密，藉此通過 2FA 驗證機制，至少 6,000 多人的資產被偷。