AXA โดนโจมตี ส่งผลให้ข้อมูลลูกค้ารั่วไหลกว่า 5,400 ราย
บริษัทประกันชีวิต AXA ในสิงคโปร์ ได้ส่งอีเมล์แจ้งเตือนไปยังลูกค้าที่ได้รับผลกระทบจากการโจมตีทางไซเบอร์ จนทำให้ข้อมูลส่วนตัวรั่วไหลกว่า 5,400 ราย เมื่อวันพฤหัสบดีและวันศุกร์ที่ผ่านมา ซึ่งเป็นข้อมูลในส่วนของ Health Portal ที่ประกอบด้วยที่อยู่อีเมล์, เบอร์โทรศัพท์, และวันเดือนปีเกิด
ทาง AXA ยืนยันว่า ไม่มีข้อมูลส่วนตัวอื่นๆ ไม่ว่าจะเป็นชื่อนามสกุล, เลข NRIC, ที่อยู่, หรือแม้แต่ข้อมูลบัตรเครดิตและบัญชีธนาคาร, ข้อมูลสุขภาพ, ประวัติการเคลม, หรือแม้แต่สถานการณ์สมรสหลุดออกไปด้วย โดยทางซีอีโอยืนยันว่าบริษัทรักษาความเป็นส่วนตัวของลูกค้าอย่างดีที่สุด และเสียใจกับเหตุการณ์ที่เกิดขึ้น พร้อมย้ำว่าปัจจุบัน Health Portal กลับมาสู่สถานการณ์ปกติที่มีความปลอดภัยดีแล้ว
ทั้งนี้ AXA ได้แจ้งตำรวจให้เร่งสืบสวน พร้อมทั้งแนะนำให้ลูกค้าของตัวเองแจ้งความด้วยเช่นกัน หากเคยเปิดเผยข้อมูลส่วนตัวจากการโจมตีแบบหลอกลวงในช่วงไม่กี่เดือนที่ผ่านมา เนื่องจากอาจมีความเชื่อมโยงกับกรณีแฮ็ก AXA ครั้งนี้ได้
ทั้งนี้ ทางคณะกรรมการดูแลการเงินของสิงคโปร์หรือ MAS แจ้ง AXA ให้เร่งทบทวนมาตรการความปลอดภัยทางไอที และอุดช่องโหว่ที่เกิดขึ้นโดยเร็ว รวมทั้งหน่วยงานรักษาความปลอดภัยทางไซเบอร์ของสิงคโปร์หรือ CSA ก็ใช้โอกาสนี้แจ้งเตือนทุกบริษัทว่า การเก็บรวบรวมข้อมูลของลูกค้าไว้ปริมาณมหาศาลนั้นย่อมทำให้ตกเป็นเหยื่อของอาชญากรไซเบอร์ได้ง่าย
SINGAPORE – The personal data of 5,400 customers of AXA Insurance in Singapore has been stolen due to a cyber attack.
The life insurance firm sent out an e-mail to most affected customers on Thursday (Sept 7), notifying them of the data breach. The remaining affected customers will be notified by Friday (Sept 8).
In the e-mail, AXA’s data protection officer Eric Lelyon said: “We wish to inform you that because of a recent cyber attack, personal data belonging to about 5,400 of our customers, past and present, on our Health Portal was compromised.”
In particular, their e-mail address, mobile number and date of birth were exposed.
The firm said that no other personal data – including name, NRIC number, address, credit card or bank details, health status, claims history or marital status – was leaked.
When contacted, AXA Singapore chief executive officer Jean Drouffe said the firm takes customer privacy very seriously and apologised for the breach. He also assured customers that the firm’s Health Portal “is now secure”.
He skirted questions on when the cyber attack took place and when the breach was discovered, but said: “A thorough review of our IT systems is underway. No financial or health data was compromised.”
Mr Drouffe also said that the compromised data, by themselves, will not result in identity theft.
Customers are, however, advised to be vigilant against phishing, most commonly via e-mail, to trick victims into disclosing their credentials.
AXA made a police report, and advised customers to do the same if they had inadvertently disclosed personal data as a result of phishing attempts in the last few months as it could be connected to the AXA hacking incident.
The Monetary Authority of Singapore (MAS) has asked AXA to initiate a thorough review of its IT security and to remediate control gaps.
“We understand that AXA has taken steps to address the vulnerability in its Health Portal. MAS takes a serious view of this incident and is investigating the matter,” a MAS spokesman said in a statement on Thursday.
Singapore Cyber Security Agency (CSA) said the incident is a reminder that companies that collect and hold customer data are an attractive target for cyber criminals.
“Hence, companies need to make the appropriate risk assessment, prioritise cybersecurity and adopt proactive measures to better protect themselves against cyber attacks,” a spokesman said on Thursday.
Mr Gavin Chow, network and security strategist at cyber security solutions firm Fortinet, said hackers could masquerade as AXA or any commercial entity to to trick victims to reveal their e-banking username and passwords, for instance.
This method, known as phishing, can be executed via e-mail, SMS and WhatsApp – now that hackers have users’ e-mail address and mobile number.
Hackers could also trick victims into installing malware into their computers or mobile phones. When phones are infected by malware, hackers can steal one-time passwords sent via SMS for making fraudulent transactions.
“If anyone is using their birth dates as passwords, change it now,” said Mr Chow.
Singapore’s privacy commission, the Personal Data Protection Commission, said it is investigating the breach. “We understand that AXA has addressed the vulnerability in their system,” a Commission spokesman said.
