การละเมิดข้อมูลของ Pick n Pay ทำให้ความปลอดภัยทางไซเบอร์ของภาคค้าปลีกในแอฟริกาใต้ถูกตรวจสอบอย่างเข้มงวด

การโจมตีทางไซเบอร์ต่อยักษ์ใหญ่ค้าปลีกแอฟริกาใต้ Pick n Pay ได้เปิดเผยข้อมูลลูกค้าที่เชื่อมโยงกับแพลตฟอร์มจัดส่งสินค้าตามสั่งเวอร์ชันเก่า ก่อให้เกิดความกังวลใหม่เกี่ยวกับการที่บริษัทต่างๆ จัดการระบบเดิมหลังจากปลดระวางไปนานแล้ว

การละเมิดข้อมูลซึ่ง Pick n Pay ได้ยืนยันแล้วนั้น เกี่ยวข้องกับข้อมูลลูกค้าจากแอปจัดส่งสินค้าเดิมของผู้ค้าปลีกรายนี้ ซึ่งเปิดตัวครั้งแรกในชื่อ Bottles และต่อมาเปลี่ยนชื่อเป็น Asap! ข้อมูลที่ถูกโจมตีประกอบด้วยข้อมูลลูกค้าที่ละเอียดอ่อนและรายละเอียดบัตรชำระเงิน

แม้ Pick n Pay จะยอมรับการละเมิดข้อมูลดังกล่าว แต่บริษัทปฏิเสธข้อกล่าวหาว่าข้อมูลบัตรครบถ้วนถูกเปิดเผย เหตุการณ์นี้เน้นย้ำถึงความท้าทายที่เพิ่มขึ้นสำหรับบริษัทที่กำลังเปลี่ยนผ่านสู่ดิจิทัล นั่นคือระบบที่ปลดระวางแล้วอาจยังคงมีช่องโหว่นานหลังจากที่หายไปจากสายตาสาธารณะ 

Pick n Pay เริ่มแจ้งเตือนลูกค้าที่ได้รับผลกระทบในวันที่ 30 พฤษภาคม โดยเตือนว่าผู้ใช้ที่ลงทะเบียนใช้บริการจัดส่งสินค้าในหรือก่อนปี 2022 อาจได้รับผลกระทบ 

"ข้อมูลที่ได้รับผลกระทบมาจากแอปตามสั่งเวอร์ชันก่อนหน้าของเรา ซึ่งเดิมรู้จักกันในชื่อ Bottles และต่อมาเป็น Pick n Pay Asap! ซึ่งได้ถูกแทนที่แล้ว" ผู้ค้าปลีกกล่าวในการแจ้งเตือนลูกค้า

ตามที่ยักษ์ใหญ่ซูเปอร์มาร์เก็ตระบุ ข้อมูลที่ถูกเปิดเผยประกอบด้วยชื่อ ข้อมูลติดต่อ ที่อยู่จัดส่ง และข้อมูลบัตรชำระเงินบางส่วน บริษัทยืนยันว่าหมายเลขบัตรชำระเงินแบบเต็มและรหัสความปลอดภัย CVV ไม่ได้ถูกจัดเก็บในระบบที่ได้รับผลกระทบ  

"ซึ่งหมายความว่าข้อมูลที่รั่วไหลไม่สามารถนำไปใช้ทำธุรกรรมฉ้อโกงบนบัตรของลูกค้าได้" ผู้ค้าปลีกกล่าว 

แม้จะมีการยืนยันดังกล่าว ลูกค้ายังคงกังวลเกี่ยวกับการเปิดเผยข้อมูลส่วนบุคคลที่อาจถูกนำไปใช้ในการโจมตีแบบฟิชชิงและการฉ้อโกงด้านตัวตน 

"เหยื่อรายใหญ่ที่สุดของความปลอดภัยไซเบอร์ที่ย่ำแย่มักเป็นคนทำงานธรรมดาเสมอ" Dzungi Mudzunga นักช้อปของ Pick n Pay กล่าว "ผู้บริหารขอโทษทางอีเมล ในขณะที่ประชาชนต้องรับมือกับการพยายามฉ้อโกงอยู่หลายปี"  

ผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์ ดร. Nishal Khusial กล่าวว่าการละเมิดข้อมูลอาจเกิดจากจุดอ่อนในโครงสร้างพื้นฐานระบบเดิมของผู้ค้าปลีก 

"สิ่งที่เกิดขึ้นในกรณีนี้คือมีระบบเก่าที่เชื่อมต่อกับแอปเก่า ซึ่งไม่จำเป็นต้องมีกลไกการป้องกันในปัจจุบันเพื่อต้านการโจมตีเจาะระบบสมัยใหม่" Khusial กล่าวกับ TechCabal

การละเมิดข้อมูลยังทำให้เกิดการตรวจสอบใหม่อีกครั้งว่าองค์กรต่างๆ จัดการข้อมูลลูกค้าอย่างไรเมื่อแพลตฟอร์มถูกปลดระวาง Samantha Hanreck ผู้ก่อตั้งและผู้อำนวยการของผู้ให้บริการโซลูชัน IT Data Sync Global โต้แย้งว่าเหตุการณ์นี้ชี้ให้เห็นถึงปัญหาการกำกับดูแลที่กว้างขึ้น มากกว่าความล้มเหลวทางเทคนิคเพียงอย่างเดียว

 "เหตุการณ์ Pick n Pay ไม่ได้เป็นเรื่องของแฮกเกอร์จริงๆ" เธอกล่าว "มันเป็นเรื่องของข้อมูลที่ไม่จำเป็นต้องมีอีกต่อไป แพลตฟอร์มถูกปลดระวางในปี 2022 แต่บันทึกลูกค้ายังคงเข้าถึงได้ นั่นคือความล้มเหลวด้านการกำกับดูแล ไม่ใช่ความล้มเหลวทางเทคโนโลยี" 

สำหรับลูกค้าบางราย การตอบสนองของผู้ค้าปลีกยังไม่เพียงพอ

"นี่คือการละเมิดความเป็นส่วนตัวอย่างร้ายแรง" Trevor Dube เจ้าของบริษัทรักษาความปลอดภัยในโจฮันเนสเบิร์กและนักช้อปประจำของ Pick n Pay กล่าว "ในฐานะลูกค้า เราคาดหวังให้บริษัทใหญ่เหล่านี้รักษาข้อมูลส่วนตัวของเราให้ปลอดภัย ควรมีผลกระทบร้ายแรงเมื่อพวกเขาล้มเหลวในการปกป้องเรา" 

Phetho Ntaba โฆษกของคณะกรรมการคุ้มครองผู้บริโภคแห่งชาติแอฟริกาใต้ แนะนำให้ผู้บริโภคที่ได้รับผลกระทบยื่นเรื่องร้องเรียนต่อ Information Regulator ซึ่งเป็นหน่วยงานตามกฎหมายที่รับผิดชอบในการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (POPIA) "นั่นคือหน่วยงานที่ได้รับอำนาจในการจัดการกับการเข้าถึงข้อมูลส่วนบุคคลของประชาชนโดยผิดกฎหมาย" เธอกล่าว

Nomzamo Zondi ผู้จัดการฝ่ายสื่อสารของ Information Regulator กล่าวว่าหน่วยงานกำกับดูแลพร้อมให้ความช่วยเหลือผู้บริโภคที่ได้รับผลกระทบ "หากคุณรู้สึกว่าข้อมูลส่วนบุคคลของคุณถูกละเมิด โปรดเยี่ยมชมหน้าบริการจัดการออนไลน์ของเรา หรือมาที่สำนักงานของเราเพื่อลงทะเบียนข้อร้องเรียนของคุณ" เธอกล่าว 

Zondi ยัง촉เร่ง Pick n Pay ให้มั่นใจว่าเหตุการณ์ดังกล่าวได้รับการรายงานอย่างเป็นทางการต่อหน่วยงานกำกับดูแล บริษัทกล่าวว่าได้เริ่มกระบวนการดังกล่าวแล้ว ขณะที่กำลังพยายามระบุขอบเขตทั้งหมดของการละเมิดข้อมูล

"กระบวนการที่เหมาะสมทั้งหมดได้รับการปฏิบัติตามและกำลังดำเนินการอยู่ รวมถึงการแจ้ง Information Regulator" Enrico Ferigolli ผู้บริหารฝ่ายออนไลน์ของ Pick n Pay กล่าว "เรากำลังทำงานอย่างใกล้ชิดกับผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์ และดำเนินการทบทวนการจัดการข้อมูลในอดีตและแนวปฏิบัติการเก็บรักษาข้อมูลในวงกว้างขึ้น ซึ่งเป็นส่วนหนึ่งของการลงทุนอย่างต่อเนื่องของเราในด้านความปลอดภัยของข้อมูลลูกค้า"