Upaya phishing terhadap dompet Passport melampaui 23.000 setelah para penyerang membobol kredensial infrastruktur di Foundation, produsen dompet perangkat keras. Perusahaan menyatakan perangkatnya dan kunci privat yang tersimpan di dalamnya tidak diretas, tetapi belum menentukan berapa banyak orang yang informasi pribadinya terekspos.

Poin Utama

  • Foundation mengidentifikasi 19.057 pesan phishing yang dikirim melalui Mailgun dan 1.503 melalui Google Workspace; sejumlah upaya lainnya diblokir atau gagal.
  • Kampanye tersebut berupaya memperoleh frasa pemulihan dompet, dan beberapa pesan menyertakan detail pelanggan yang akurat.
  • Foundation sedang menyelidiki cakupan paparan data dan belum memastikan apakah penerima kehilangan dana.

Cara kerja kampanye phishing dompet Passport

Dalam pembaruan investigasi pada 26 Oktober 2026, Foundation menyatakan bahwa lebih dari 23.000 upaya tersebut bukan berarti ada jumlah korban individu yang sama: sebagian penerima mendapat beberapa pesan.

Email penipuan tersebut menyamar sebagai komunikasi keamanan dari Foundation. Beberapa di antaranya memperingatkan tentang penarikan perangkat keras yang mendesak dan mengarahkan penerima ke situs web yang dirancang untuk memperoleh frasa pemulihan dompet. Frasa pemulihan memberikan akses ke kunci privat yang mengendalikan dompet, sehingga siapa pun yang mendapatkannya dapat mentransfer dana tanpa perangkat fisik.

Foundation menyatakan tidak menemukan bukti bahwa perangkat Passport atau kunci privat telah diretas. Perusahaan belum memastikan apakah penerima mengungkapkan frasa pemulihan atau mengalami kerugian finansial.

Catatan pelanggan lama masih dapat diakses

Foundation pertama kali mengungkap insiden tersebut pada 25 Oktober dan menyebut email penipuan itu berasal dari kunci antarmuka pemrograman aplikasi Cloudflare yang telah diretas. CEO Zach Herbert kemudian mengatakan bahwa para penyerang mengeksploitasi kerentanan pada aplikasi yang dihosting sendiri dan membobol sebagian infrastruktur backend Foundation. Para penyerang mungkin juga mengakses kotak masuk dukungan pelanggan.

Investigasi menemukan bahwa catatan lama yang berisi nama, informasi kontak, dan alamat pengiriman masih tersimpan dalam tabel basis data lama, meskipun ada proses yang dimaksudkan untuk menghapus informasi pelanggan 60 hari setelah pesanan dikirim. Informasi juga masih tersimpan dalam catatan pengembalian dana dan keranjang belanja yang ditinggalkan, termasuk detail orang-orang yang tidak menyelesaikan pembelian.

Foundation menyatakan bahwa migrasi basis data sebelumnya meninggalkan catatan pesanan duplikat di tabel lama, sementara proses penghapusan data memperbarui catatan yang lebih baru dan terlihat di dasbor administrasi toko. Perusahaan juga sedang menyelidiki apakah pesanan yang dilakukan melalui toko Shopify-nya sejak Mei 2026 terekspos.

Tanggapan Foundation dan pertanyaan yang belum terjawab

Foundation mencabut kredensial yang terdampak, menghapus situs web berbahaya, membersihkan pesan penipuan yang mengantre, dan menonaktifkan layanan lama yang telah diretas sembari menjaga bukti. Perusahaan sedang meninjau catatan dukungan terdahulu dan laporan bahwa beberapa email phishing menyertakan detail pribadi yang menurut penerima tidak pernah mereka bagikan kepada perusahaan.

Perusahaan belum memastikan apakah informasi dari pelanggaran data lain yang tidak terkait digunakan dalam kampanye tersebut. Cakupan penuh paparan data pelanggan, akses penyerang, dan kerugian finansial apa pun masih belum diketahui.

Tahap Selanjutnya

Foundation telah berjanji akan menerbitkan laporan insiden komprehensif setelah investigasinya selesai.

Baca Berita Lainnya

Berita FinanceVelix lainnya

Penafian

Artikel FinanceVelix ini menyediakan informasi umum, bukan saran keuangan, investasi, hukum, atau pajak yang dipersonalisasi. Harga pasar, suku bunga, dan kondisi ekonomi dapat berubah; investasi memiliki risiko kerugian. Fakta mencerminkan materi yang tersedia saat diterbitkan dan dapat berubah. Periksa informasi penting secara mandiri dan konsultasikan dengan profesional berkualifikasi bila diperlukan. Penyebutan aset, perusahaan, atau layanan bukan merupakan dukungan.