Nagpatunay ang Betterment ng Paglabag sa Data Matapos ang Pangingisda sa Cryptocurrency

Nakumpirma ng Betterment ang isang insidente sa seguridad kung saan ginamit ng mga manlulupig ang social engineering upang makapag-access sa mga tool ng third-party na ginagamit ng kumpanya, na nagpapakilala ng data ng contact ng customer at nagpapagana ng isang targetadong phishing na may temang cryptocurrency. Ayon sa kumpanya, ang paglabag, na natuklasan noong Enero 9, ay hindi kabilang ang kompromiso ng mga password o mga account ng customer. Gayunpaman, ang kaganapan ay nagpapakita kung paano maaaring maging mahinang link ang mga platform ng marketing at operasyon, lalo na kung ginagamit ng mga manlulupig ang mga channel ng komunikasyon na itinuturing na mapagkakatiwalaan upang mapag-deceit ang mga user.

• Nagawa ang hindi paaprubahang pag-access noong 9 ng Enero sa pamamagitan ng social engineering na tumutok sa mga third-party platform na ginagamit para sa marketing at operasyon.
• Ang mga data na inilabas ay kabilang ang mga pangalan at mga address ng email, at sa ilang mga kaso, mga postal address, mga numero ng telepono, at mga petsa ng kapanganakan.
• Nagpadala ang mga mananakop ng isang panghuhula na mensahe tungkol sa crypto sa isang sub-set ng mga customer, subalit nagsisikap silang kumolekta ng pera.
• Ayon sa pagsusuri ng kumpanya, walang napasok na customer account, password, o mga kredensyal ng pag-login.
• Nag-engage ang Betterment ng CrowdStrike para sa forensics at may plano ng post-incident review sa loob ng 60 araw.

Konteksto ng merkado: Ang social engineering at phishing ay patuloy na nasa gitna ng pinaka-karaniwang vector ng pag-atake sa fintech, kasama ang mga third-party na SaaS na tool na kumikilos pa rin bilang mga target habang lumalawak ang mga kumpanya sa digital na komunikasyon at customer outreach.

Ang insidente ay nagpapakita ng mga panganib na kaakibat ng mga platform na in-outsource na nagbibigay-daan sa komunikasyon ng customer. Kahit na ang pangunahing istruktura ay nananatiling ligtas, maaaring maabuso ng mga manlulupig ang mga peripheral na sistema upang maabot ang mga user sa iskal.

Para sa mga customer, ang paglabag ay isang paalala na ang mga mensahe na tila legimitibo ay maaaring mapanlinlang, lalo na kapag sila ay tumutukoy sa mga sikat na tema ng investment tulad ng crypto. Para sa mga fintech na kumpaniya, ito ay nagpapalakas ng pangangailangan upang maprotektahan hindi lamang ang mga panloob na sistema kundi pati na rin ang malawak na ekosistema ng vendor.

• Paghahayag ng pagsusuri matapos ang insidente ng Betterment sa loob ng susunod na 60 araw.
• Mga resulta mula sa independiyenteng pagsusuri ng data analytics na nagmameter ng potensyal na mga panganib sa privacy.
• Anumang regulasyon o abiso sa customer na sumusunod sa wakas ng imbestigasyon.
• Mga pagbabago sa mga kontrol at pagsasanay ng Betterment na naglalayong maiiwasan ang social engineering.

• Mga nai-publish na update ng customer ng Betterment sa pagitan ng Pebrero 3, 2026.
• Mga pahayag ng kumpanya na nagpapatunay ng mga natuklasan ng forensic at mga hakbang sa paggamot.
• Mga detalye ng mensahe ng phishing at mga kategorya ng apektadong data na inilarawan sa opisyales na mga update.

Inilathala ng Betterment na nakakuha ng isang hindi awtorisadong indibidwal ng access sa ilang mga sistema ng kumpanya no Enero 9 sa pamamagitan ng pag-iiyak bilang mga tunay na mga user at pagmamapa ng mga workflow batay sa tiwala. Sa halip na masira ang pangunahing teknikal na istruktura, inilapat ng manlulupig ang mga taktika ng social engineering laban sa mga third-party na platform ng software na sumusuporta sa marketing at mga function ng operasyon.

Nagbigay ang access na ito sa attacker upang tingnan at kumuha ng impormasyon sa contact ng customer. Ayon sa kumpanya, ang exposure ng data ay pangunahing kabilang ang mga pangalan at address ng email, bagaman sa ilang mga kaso ay kabilang din ang mga pisikal na address, numero ng telepono, at petsa ng kapanganakan. Ang kabuuang bilang ng mga apektadong customer ay hindi pa inilabas.

Gamit ang kompromiso ng access, ipinamahagi ng manlulupig isang mapanlinlang na mensahe na tila nagsimula mula sa Betterment. Ang abiso ay nagpopromote ng isang fake na oportunidad na may kaugnayan sa crypto, sinasabing ang mga user ay maaaring tripulin ang halaga ng kanilang mga holdings sa pamamagitan ng pagpapadala ng $10,000 sa isang wallet na kontrolado ng manlulupig. Ipinadala ang mensahe sa isang limitadong grupo ng mga customer na kung saan ang mga detalye ng kontak ay ma-access sa pamamagitan ng mga nasagadang sistema.

Naniniwala ang Betterment na nakilala nito ang hindi awtorisadong aktibidad sa araw ding ito at agad inalis ang pahintulot upang ma-access ang mga naapektadong platform. Inilunsad ang isang pananaliksik sa loob ng kumpanya, na sinuportahan ng kumpanya sa seguridad ng impormasyon na si CrowdStrike, upang matukoy ang sakop ng pag-atake at suriin kung ang mga account ng customer o kredensyal ay nasa panganib.

Ang sumusunod na forensic analysis ay wala nangibibigay ng ebidensya na ang manlulupig ay nakapag-access ng mga account ng customer ng Betterment, mga password, o mga kredensyal ng login. Iminpluwensya ng kumpaniya na ang maraming antas ng seguridad ay nagprotekta sa mga sistema ng account at ang paglabas ay limitado sa contact data at tooling ng komunikasyon.

Sa mga araw pagkatapos ng insidente, tinulungan ng Betterment ang mga customer na tumanggap ng mapanlinlang na mensahe at inalay na ituring ito bilang hindi importanteng basahin. Iminpluwensya ng kumpaniya na hindi nila hingin ang mga password o sensitibong impormasyon sa pamamagitan ng email, mensahe, o mga tawag sa telepono.

Ang insidente sa seguridad ay sumama sa karagdagang mga paghihigpit noong nangungunang bahagi ng Enero. Noong Enero 13, ang Betterment ay karanasan sa mga pagsusuli ng website at mobile app dahil sa isang distributed denial-of-service attack. Ang kumpanya ay inilipat ang bahagyang serbisyo sa loob ng isang oras at buong access noong hapon na iyon, sinabi na ang DDoS na pangyayari ay hindi nagawa ang seguridad ng account.

Noong unang bahagi ng Pebrero, inilabas ng Betterment ang karagdagang mga update tungkol sa pagsusuri nito. Tiniyak ng kumpanya na habang ang ilang impormasyon ng customer ay na-access, ang epekto sa privacy ay tila limitado sa impormasyon ng contact. Isinagawa ng isang independiyenteng kumpanya ng data analytics ang pagsusuri sa lahat ng na-access na data, kabilang ang mga impormasyon na isang grupo na nangangasiwa ng responsibilidad para sa paglabas ayon sa sinabi nito ay inilathala online.

Nanatiling naitala ng Betterment na plano nitong mag-post ng isang komprehensibong pagsusuri pagkatapos ng insidente sa loob ng 60 araw. Samantala, sinabi ng kumpanya na pinagpapalakas nito ang mga kontrol at mga programa ng pagsasanay upang mas maprotektahan laban sa mga pagtatangka ng social engineering, na umaasa sa panghuhula kaysa sa teknikal na pag-usbong.

Ang isang aspeto ng pagtanghal ay nagdulot ng pagmamasid mula sa mga tagapansin sa seguridad. Noong petsa ng paglathala, ang pahinang pang-incidente sa seguridad ng Betterment ay kasama ang direktiba na "noindex" sa kanyang source code, na nagsasabi sa mga engine ng paghahanap na huwag i-index ang pahina. Habang ang mga ganitong tag ay minsang ginagamit habang ang mga imbestigasyon ay aktibo, maaari silang gawing mas mahirap para sa mga customer at ang publiko na mahanap ang impormasyon tungkol sa mga paglabag sa pamamagitan ng mga web search.

Ang insidente ay nagpapakita ng isang mas malawak na pattern sa buong fintech at crypto-adjacent na mga sektor, kung saan ang mga manlulupig ay mas lumalakad na tumututok sa mga napatnubayang channel ng komunikasyon kaysa sa mga pangunahing sistema. Habang ang mga kumpanya ay nag-iintegrate ng mas maraming mga tool ng ikatlong partido upang pamahalaan ang mga relasyon sa customer, mga kampanya sa marketing, at mga workflow sa operasyon, ang atake surface ay lumalawig sa labas ng mga tradisyonal na de-fensa ng network.

Para sa pagpapabuti, ang kaso ay hindi pa nagresulta sa mga patunay na pinsala sa pananalapi o pag-angkat ng account. Gayunpaman, ito ay nagpapakita kung paano mabilis na nasusubok ang tiwala kapag ang mga manlulupig ay matagumpay na nagpapalit ng isang kilalang platform sa pananalapi. Ang sasabihin ng kumpaniya pagkatapos ng insidente ay malamang na magbibigay ng karagdagang impormasyon kung paano naganap ang paglusob at ano ang mga seguridad na gagawin upang bawasan ang panganib ng mga katulad na atake sa hinaharap.

Ang artikulong ito ay una nang nailathala bilang Nagpatunay ang Betterment ng Paglabag sa Data Matapos ang Pangingisda sa Cryptocurrency sa Mga Balitang Pambreak ng Crypto – ang iyong mapagkakatiwalaang mapagkukunan ng mga balita tungkol sa crypto, mga balita tungkol sa Bitcoin, at mga update sa blockchain.