确认发生数据窃取，但影响规模仍不明
Pathao确认，10月4日发生的网络安全事件导致其在孟加拉国和尼泊尔的业务受到干扰，攻击者获取了部分用户的姓名、电子邮箱地址和电话号码。该公司尚未证实一项规模大得多的说法：犯罪分子窃取了涵盖19,063,918个账户的133 GB信息，并索要400,000 USDT以阻止数据泄露。
目录
这一区别十分重要：Pathao承认部分个人信息遭窃，但有关身份证明记录、金融交易、密码和位置数据泄露的说法仍未经证实。该公司尚未披露受影响人数、攻击者如何进入其系统，或他们取得系统访问权限的时间有多长。
Pathao于10月7日在其经过认证的Facebook主页发布声明，首次公开确认个人信息遭到获取。该公司称，据其了解，攻击者取得的信息包括：
我们了解到，恶意行为者获取了部分个人信息，包括姓名、电子邮箱地址和电话号码。
Pathao表示，在发现事件后，公司暂时关闭了关键系统，随后不久恢复服务，并聘请外部网络安全专家协助。平台稳定工作仍在进行，部分用户可能继续遇到间歇性问题。
此次事件影响的不止一项服务。Pathao除了运营交通和配送服务，还提供Pathao Pay数字钱包和Pathao Pay Later等金融产品。因此，查明哪些系统和记录受到影响至关重要；但提供金融产品本身并不能证明支付信息遭到窃取。
截至10月9日，该公司仍在调查有关大型数据集的说法。Pathao已确认两国业务均受到干扰，但尚未按国家公布受影响用户或记录的数量。
事件经过
目前公开的信息涵盖最初的业务中断、公司确认事件以及其后针对所谓数据集的回应。这些日期说明了事件何时被发现、何时进入公众视野，并不能确定攻击者实际取得访问权限的全部时长。
- 10月4日：Pathao发现网络安全事件，服务受到干扰，并出于预防考虑暂时关闭关键系统。
- 10月7日：Pathao公开承认部分个人信息遭到获取。一张据称来自犯罪论坛帖文的截图也在X平台流传，其中描述了规模大得多的数据窃取和赎金要求。
- 10月9日：公司进一步回应，确认孟加拉国和尼泊尔的业务受到影响；有关数据量、记录数量及敏感信息类别的说法仍在调查中。
Pathao表示，系统关闭后不久服务便已恢复。该公司尚未公布中断的准确时长，也未说明系统恢复的技术过程。恢复应用访问和完成数据泄露调查是两项不同的工作：服务可以恢复运行，同时调查人员仍在查明哪些信息遭到窃取。
所谓数据集包含哪些内容
犯罪方声称，窃取的数据约有2.5亿行，分布在591张表中，其中一个主要账户数据集包含19,063,918条记录。数据库中的一行是一条单独记录，表则按特定类型归纳记录。一个人可能对应多条记录，因此2.5亿行并不意味着有2.5亿名用户受影响。
据称，账户信息包括姓名、电话号码、电子邮箱地址、密码数据、GPS信息、Facebook标识符和访问令牌。访问令牌是一种数字凭证，可让应用访问账户或服务，而无需反复请求密码。
不同报道对部分说法的描述并不一致。一种说法明确提到密码经过哈希处理，另一种则只称为密码。哈希处理会将密码转换为存储用的表示形式，而不是以可读文本保存；不过，具体风险仍取决于密码受到何种保护。Pathao尚未确认这两种形式中的任何一种遭到窃取。
数据结构的说法也不一致：有些说法称这591个单位是数据库表，另一些则称其为数据库或数据存储库。这些术语并不能互换。若没有经过验证的数据集或技术调查结论，就无法确定其确切结构。
据称，被窃取的身份证明记录包括19,059,387个国民身份证号码和19,046,583条驾驶执照记录。相关说法还包括约570万条家庭住址，以及部分说法中约1900万张用户照片。Pathao尚未证实其中任何一种信息遭到泄露。
即便账户数量准确，也不能据此确定受影响的独立用户人数。调查人员必须先确认记录是否真实、是否为最新信息，以及是否存在重复，才能将该数字视为受影响用户数量。
据称员工、商户和交易记录也遭窃
所谓数据窃取范围并不限于客户资料。据称，数据集中还包括549名员工的记录，涉及国民身份证信息、薪资、宗教信仰和紧急联系人电话号码。其他说法还提及管理权限访问记录、配送地点和司机行程记录。
有关金融信息的说法包括17,943条商户银行账户及路由信息，以及845,872条直接借记交易记录。银行路由信息用于识别支付涉及的金融机构或分行。交易记录记录了一笔支付事件，但仅凭记录存在，并不能证明攻击者能够转移资金。
这些数字代表不同类型的记录，不能简单相加来得出受害者总数。员工信息、商户账户和重复交易记录可能与所谓数据集中的其他记录重叠。
Pathao合作与公关经理Md. Foyej表示，公司尚未核实有关敏感信息类别的说法。他在邮件回复中表示：
现阶段，关于国民身份证、驾驶执照、位置、地址或金融数据的说法尚未得到证实。如有进一步核实的信息，Pathao将通过官方渠道公布。
赎金要求尚未得到证实
据称，犯罪方在帖文中索要400,000 USDT，报道将其描述为约40万美元。USDT又称泰达币，是一种旨在追踪美元价值的加密货币。据报，该组织给Pathao 24小时付款，并威胁分阶段公布信息。
据称，威胁公布的信息包括身份证明、银行、员工和管理数据。这项说法及其最后期限均无法独立核实。现有说法也无法确定期限的起算时间、Pathao是否决定付款，或此后是否有信息被公布。
代表Pathao发言的Foyej拒绝证实这项所谓的要求：
对于未经证实的赎金要求，Pathao不予置评。
威胁公布窃取的信息属于数据勒索，但这不一定意味着攻击者加密了系统，或阻止公司访问自己的文件。Pathao尚未披露存在加密的证据，也未说明此次业务中断背后的技术原因。
Pathao称已采取的措施
Pathao公布的应对措施主要有三项：关闭关键系统、聘请外部网络安全专家，以及通知相关主管部门。公司表示，已根据适用规定通知执法或政府机构，但未说明具体机构或法律条款。
Pathao在公开声明中介绍了即时应对措施以及外部专家的作用：
我们立即采取了遏制措施，并聘请外部网络安全专家加强安全控制，协助确保Pathao系统保持安全稳定。
公司表示，调查仍在进行，并正配合有关部门。Pathao就事件及业务中断向用户、司机、商户和合作伙伴致歉，并承认自己有责任保护受托保管的信息。
Foyej还表示，出于预防考虑，部分用户可能被系统自动退出登录。这些用户可以重新登录使用服务。自动退出登录本身并不能证明某位用户的信息遭到窃取。
为何仅有联系方式也可能带来风险
已确认泄露的姓名、电子邮箱地址和电话号码会为攻击者提供信息，使欺诈性联系显得更可信。一条称呼对方姓名、提及其使用服务的信息，可能比匿名请求更容易让人相信。
网络钓鱼是指冒充可信机构或个人，诱使他人透露信息、点击恶意链接或授权某项操作。Pathao提醒用户注意这种可能性，但并未表示已发生与此次数据泄露有关的网络钓鱼或冒充攻击。
信息技术专家Suman Ahmed Sabir指出，如果更大范围的说法属实，可能带来身份盗用、银行欺诈、网络钓鱼、勒索和社交媒体账户被盗等风险。他评估的是潜在后果，并非已确认Pathao用户遭遇了这些犯罪行为。
泄露信息的类型会影响风险程度：联系方式可能被用于有针对性的欺骗；身份证明文件可能被用于冒充他人；位置和行程记录可能暴露个人行踪。访问令牌可能带来账户安全风险，具体取决于其权限以及是否仍然有效。Pathao尚未确认这些更敏感类别的信息遭到泄露。
Pathao对用户的建议
Pathao的核心建议是：谨慎对待任何自称代表公司、主动联系用户的意外信息、电话和链接。公司提醒用户不要因这类联系而透露密码、PIN码或一次性密码。
OTP是用于批准登录或交易的临时验证码。即使对方不知道账户的常用密码，分享OTP也可能让其完成该验证码所保护的操作。
公司建议用户通过官方沟通渠道获取经核实的最新信息。与事件相关的安全建议还包括不要点击陌生链接，并在Facebook及其他账户上启用双重身份验证。这会在密码之外增加一道验证步骤。
这些预防措施旨在应对信息可能遭到滥用的风险，并不意味着所有说法都属实。目前没有确凿数据表明此次事件导致Facebook账户被盗、欺诈交易或身份盗用案件。
调查仍需查明的问题
网络安全专家Tanvir Hassan Zoha建议开展独立数字取证调查，保存相关服务器和访问日志，并根据适用法律通知监管机构和执法部门。数字取证通过技术证据还原事件经过，包括哪些系统被访问以及攻击者采取了哪些操作。
保存日志十分重要，因为它们可能有助于查明攻击者的入侵方式、未经授权访问持续的时间，以及攻击者接触了哪些记录。Pathao已宣布聘请外部专家，但尚未披露其工作是否属于独立取证调查，也未公布调查结果。
Sabir还指出，孟加拉国的网络安全监管在人员和资源方面面临限制，包括负责应对事件的机构。他呼吁建立法律框架，对遭受损失的客户给予赔偿。这些是他的评估和建议，并非负责调查Pathao事件的主管部门所得出的结论。
当前仍待解答的问题包括：有多少用户受到影响、哪些类别的信息遭到窃取、两国的记录是否都曾泄露，以及据称涉及的金融信息或账户凭证是否真实。Pathao尚未宣布调查完成、公布结果或发布下一次更新的日期。
公司承诺只公布经核实的信息。用户应注意区分：部分个人数据遭窃已经得到确认；而所谓包含超过1900万个账户、大量身份证明记录和金融信息的133 GB数据集，尚未得到证实。
要点
- Pathao确认，10月4日事件中攻击者获取了部分用户的姓名、电子邮箱地址和电话号码。
- 孟加拉国和尼泊尔的业务受到干扰，平台稳定工作期间，部分用户可能遇到间歇性问题。
- 有关133 GB数据、19,063,918个账户和约2.5亿条数据库记录的说法仍未经证实。
- Pathao尚未确认密码、身份证明记录、位置数据或金融信息遭到泄露。
- 据称有人索要400,000 USDT并设下24小时期限，但该说法尚未得到公司证实。
- 外部网络安全专家已参与调查，相关主管部门也已收到通知；公司尚未公布调查完成日期。
- Pathao已提醒用户警惕主动联系，并告诫用户绝不要分享密码、PIN码或OTP。
