เมื่อเดือนสิงหาคมที่ผ่านมา T-Mobile ยืนยันว่าตกเป็นเหยื่อของการแฮ็กซึ่งเห็นข้อมูลส่วนบุคคลของลูกค้ามากกว่า 54 ล้าน รายที่ถูกบุกรุก ภายหลังเหตุการณ์ดังกล่าว สายการบิน ได้ประกาศ ความร่วมมือหลายปีกับบริษัทรักษาความปลอดภัยทางไซเบอร์ Mandiant ในขณะนั้น Mike Sievert ซีอีโอของ T-Mobile กล่าวว่า บริษัท ควบคู่ไปกับหน่วยงานด้านบัญชี KPMG จะช่วยผู้ให้บริการตรวจสอบแนวปฏิบัติด้านความปลอดภัยและดำเนินการตามนโยบายที่จะช่วยป้องกันเหตุการณ์ความปลอดภัยทางไซเบอร์ในอนาคต
เอกสารศาลที่เพิ่งเปิดใหม่ ( ลิงก์ PDF ) ที่ยื่นโดย กระทรวงยุติธรรม แนะนำว่าผู้ให้บริการอาจจ้างบริษัทบุคคลที่สามเพื่อป้องกันไม่ให้ข้อมูลรั่วไหลในการแฮ็กจากการแพร่ระบาดในวงกว้างมากขึ้น ค้นพบครั้งแรกโดยมาเธอร์ บอร์ด เอกสารดังกล่าวมีรายละเอียดข้อกล่าวหาทางอาญาต่อ Diogo Santos Coelho ผู้ก่อตั้งและผู้ดูแลระบบ RaidForums ที่ถูกกล่าวหา ก่อนที่กระทรวงยุติธรรมจะถอดถอน เว็บไซต์ดังกล่าวเคยเป็นที่ที่แฮ็กเกอร์เข้ามาซื้อและขายข้อมูลที่ถูกขโมย ซึ่งรวมถึงข้อมูลส่วนบุคคลของลูกค้าของ T-Mobile ด้วย
เอกสารดังกล่าวมีรายละเอียดเกี่ยวกับเหตุการณ์ที่เกี่ยวข้องกับบุคคลที่ใช้นามแฝง “SubVirt” เมื่อถึงจุดหนึ่งในหรือประมาณวันที่ 11 สิงหาคม 2021 พวกเขาโพสต์ไปที่ RaidForums เพื่อลองขายข้อมูลที่ถูกแฮ็กล่าสุดจำนวนมหาศาล กระทรวงยุติธรรมไม่ได้ระบุชื่อเหยื่ออย่างชัดเจน แทนที่จะเรียกพวกเขาง่ายๆ ว่า “บริษัท 3” แต่ข้อความในโพสต์ต่อมาระบุว่า “ยืนยันว่าข้อมูลนั้นเป็นของบริษัทโทรคมนาคมรายใหญ่และผู้ให้บริการระบบไร้สายที่ให้บริการในสหรัฐอเมริกา”
ตามที่หน่วยงานระบุ บริษัท 3 “จ้างบุคคลที่สามเพื่อซื้อการเข้าถึงฐานข้อมูลโดยเฉพาะเพื่อป้องกันไม่ให้ขายให้กับอาชญากร” พนักงานคนหนึ่งถูกกล่าวหาว่าเป็นผู้ซื้อที่มีศักยภาพและจ่ายเงินประมาณ 50,000 ดอลลาร์ใน Bitcoin เพื่อรับตัวอย่างข้อมูล จากนั้นพวกเขาก็จ่ายเงินเพิ่มอีก $150,000 สำหรับฐานข้อมูลทั้งหมดด้วยความเข้าใจว่า SubVirt จะลบสำเนาของพวกเขา น่าเสียดายสำหรับบริษัท 3 SubVirt และผู้ทำงานร่วมกันไม่ปฏิบัติตามข้อตกลง กระทรวงยุติธรรมตั้งข้อสังเกตว่า “ดูเหมือนว่าผู้สมรู้ร่วมคิดยังคงพยายามขายฐานข้อมูลหลังจากการซื้อของบุคคลที่สาม”
จากข้อมูลในเอกสารของศาลและไทม์ไลน์ของเหตุการณ์ มาเธอร์ บอร์ด ซึ่ง รายงานข่าวการละเมิดข้อมูลครั้งแรก ในปี 2564 ชี้ให้เห็นว่า T-Mobile เป็นผู้ให้บริการที่ไม่ระบุชื่อที่กระทรวงยุติธรรมกล่าวถึง เราได้ติดต่อบริษัทและ Mandiant เพื่อขอความคิดเห็นแล้ว