自動化投資平臺Betterment遭社交工程攻擊，HIBP指外流140萬個Email地址與個資

美國自動化投資平臺Betterment在1月9日，遭未授權人士透過社交工程入侵取得其部分系統的存取權，並透過該公司用於行銷與營運支援的第三方軟體平臺，向部分客戶發送冒名的加密貨幣相關詐騙訊息。

該公司於2月3日更新調查進度，指出在資安公司CrowdStrike支援下完成的鑑識調查確認，事件未導致客戶帳戶、密碼或登入資訊遭到入侵，也未出現憑證外洩跡象。不過Betterment仍在盤點被存取資料的範圍與隱私風險，並將網路上由宣稱犯案組織張貼的資料一併納入評估。

官方雖未公開受影響人數，不過資料外洩通報服務HaveIBeenPwned（HIBP）則表示，依其對外流資料的分析，此次事件涉及約140萬筆不重複的電子郵件地址，並包含姓名與地理位置等資料，另有部分紀錄包含出生日期、電話與實體地址。

Betterment說明，攻擊者採用的手法是社交工程，也就是以身分冒用與欺騙取得存取權，而非突破其技術基礎設施。被用來濫發訊息的管道，為Betterment用於行銷與營運支援的第三方軟體平臺，該公司在發現異常後已撤銷未授權存取並啟動調查，同時聯繫收到詐騙訊息的客戶，提醒忽略相關內容。

就個資影響範圍，Betterment目前對外的主要結論是，隱私衝擊以客戶聯絡資訊為主，包含姓名與電子郵件，而在部分案例中，聯絡資訊可能會與其他個人資料一同出現，例如實體地址、電話或出生日期。由於Betterment仍委託獨立資料分析公司逐一盤點被存取的資料，並評估潛在隱私風險，最終影響範圍仍須以後續調查結果為準。

Betterment在更新中提醒客戶謹慎辨識突如其來的訊息，並強調不會透過電話、簡訊或電子郵件要求提供密碼或其他敏感個人資訊。

另外，Betterment也在同一頁面通報另一起獨立事件，1月13日其網站與行動應用程式因DDoS攻擊出現間歇性中斷。Betterment表示，該事件主要影響可用性，部分客戶可能一度無法登入，但不影響客戶帳戶或系統安全，已在當天完成復原並持續監控。