確認有資料遭竊，但規模仍不明
Pathao 證實，10 月 4 日發生的資安事件導致營運中斷，攻擊者取得部分使用者的姓名、電子郵件地址和電話號碼，影響孟加拉與尼泊爾的服務。該公司尚未證實一項規模大得多的說法：犯罪者竊取了涵蓋 19,063,918 個帳戶、共 133 GB 的資料，並要求支付 400,000 USDT，否則就會公開資料。
目錄
這項區別很重要：Pathao 承認部分個人資料遭竊，但身分證明文件、金融交易、密碼和位置資料據稱外洩一事仍未獲證實。該公司尚未公布受影響人數、攻擊者如何入侵系統，或他們取得系統存取權的時間有多長。
Pathao 於 10 月 7 日在經認證的 Facebook 粉絲專頁發布聲明，首次公開證實個人資料已遭取得。該公司說明其所知已落入攻擊者手中的資料：
我們得知，惡意行為者取得了部分個人資料，包括姓名、電子郵件地址和電話號碼。
Pathao 表示，偵測到事件後，曾暫時關閉關鍵系統，並於不久後恢復服務，也聘請外部資安專家協助。平台持續進行穩定化作業期間，部分使用者仍可能遇到間歇性問題。
這起事件影響的不只是一項服務。Pathao 除了提供交通運輸和外送服務，也經營金融產品，包括 Pathao Pay 數位錢包和 Pathao Pay Later 服務。因此，釐清哪些系統和紀錄受到影響至關重要；但光是有金融產品，並不能證明支付資訊遭竊。
截至 10 月 9 日，該公司仍在調查有關大型資料集的指控。Pathao 已證實孟加拉和尼泊爾兩地的營運受到影響，但尚未按國家公布受影響使用者或紀錄的數量。
事件經過
目前公開的資訊涵蓋最初的服務中斷、公司承認發生事件，以及之後對資料集指控所作的回應。這些日期說明事件何時被偵測到、何時開始公開討論，並不代表攻擊者取得存取權的完整期間。
- 10 月 4 日：Pathao 偵測到資安事件，服務受到影響，並基於預防措施暫時關閉關鍵系統。
- 10 月 7 日：Pathao 公開承認部分個人資料已遭取得。一張據稱來自犯罪論壇貼文的截圖也在 X 流傳，內容指稱資料遭大規模竊取並提出勒索要求。
- 10 月 9 日：Pathao 進一步回應，證實孟加拉和尼泊爾的營運都受到影響；據稱的資料量、紀錄數量及敏感資訊類別仍在調查中。
Pathao 表示，系統關閉後不久服務便已恢復。該公司尚未公布服務中斷的確切時間，也未說明復原的技術細節。恢復應用程式的使用權限和完成資安事件調查是兩件不同的事：服務可以先恢復，調查人員仍會繼續釐清哪些資料遭到竊取。
據稱外洩的資料集內容
犯罪者聲稱資料集約有 2.5 億筆資料，分布於 591 個資料表，其中主要帳戶資料集包含 19,063,918 筆紀錄。資料列代表個別資料項目，資料表則依類型彙整資料項目。多筆資料列可能都與同一人有關，因此 2.5 億筆資料列不代表有 2.5 億名使用者受影響。
據稱外洩的帳戶資訊包括姓名、電話號碼、電子郵件地址、密碼資料、GPS 資訊、Facebook 識別碼和存取權杖。存取權杖是一種數位憑證，可讓應用程式存取帳戶或服務，而不必反覆要求輸入密碼。
不同報導對部分指控的描述並不一致。一種說法稱密碼經過雜湊處理，另一種則只提到密碼。雜湊處理會將密碼轉換為儲存用的形式，而非保留可讀取的原文；不過，資料外洩仍可能帶來風險，程度取決於密碼的保護方式。Pathao 尚未證實上述任何一種密碼資料曾遭竊取。
對資料結構的描述也不盡相同：有些說法稱 591 個單位是資料庫資料表，另有說法則稱它們是資料庫或資料儲存庫。這些術語不能互換。若沒有經驗證的資料集或技術調查結果，就無法確認其確切結構。
據稱外洩的身分資料包括 19,059,387 筆國民身分證號碼和 19,046,583 筆駕照資料。相關說法也提到約 570 萬筆住家地址；部分說法還稱約有 1,900 萬張使用者照片。Pathao 尚未證實其中任何一類資料外洩。
即使帳戶數字精確，也無法據此確認不重複人數。調查人員必須先確認紀錄是否真實、仍有效或重複，才能將該數字視為受影響使用者人數。
據稱員工、商家及交易資料也遭竊
據稱遭竊的資料不僅涉及客戶檔案。相關資料集據稱還包含 549 名員工的紀錄，包括國民身分證資料、薪資、宗教信仰和緊急聯絡電話。其他說法則提到管理員存取紀錄、外送地點和司機行程紀錄。
金融資料外洩的指控包括 17,943 筆商家銀行帳戶及匯款路由資料，以及 845,872 筆直接扣款交易紀錄。銀行匯款路由資料可識別付款所涉及的金融機構或分行。交易紀錄記載付款事件，但僅憑這些紀錄存在，並不能證明攻擊者有能力轉走資金。
這些數字代表不同類型的紀錄，不能直接相加以計算受害者人數。員工資料、商家帳戶和重複交易可能與據稱外洩資料集中的其他項目重疊。
Pathao 合作關係暨公關經理 Md. Foyej 表示，該公司尚未查證涉及敏感資料類別的指控。他在電子郵件回覆中表示：
目前尚未證實有關國民身分證、駕照、位置、地址或金融資料的指控。若有任何進一步經查證的資訊，Pathao 將透過官方管道公布。
勒索要求尚未獲證實
據稱犯罪者的貼文要求支付 400,000 USDT，報導估計約為 40 萬美元。USDT 又稱 Tether，是一種設計上追蹤美元價值的加密貨幣。據報導，該團體給 Pathao 24 小時付款，並威脅分階段公開資料。
據稱威脅公開的資料包括身分證明、銀行、員工和管理資訊。這項指控及其期限都無法獨立查證。現有說法也未確認期限從何時開始計算、Pathao 是否決定付款，或之後是否有資料遭公開。
代表 Pathao 發言的 Foyej 不願證實這項據稱的勒索要求：
Pathao 不希望對未經證實的勒索要求作出評論。
威脅公開竊取的資料屬於資料勒索，不一定代表攻擊者加密了系統，或阻止公司存取自己的檔案。Pathao 尚未公布系統遭加密的證據，也未說明服務中斷背後的技術機制。
Pathao 表示已採取的措施
Pathao 公布的應對措施主要有三項：關閉關鍵系統、聘請外部資安專家，以及通知相關主管機關。該公司表示，已依適用規定通知執法或政府機關，但未說明涉及哪些機關或具體法律條文。
Pathao 在公開聲明中說明即時應對措施及專家的角色：
我們立即採取遏止措施，並聘請外部資安專家強化安全控管，協助確保 Pathao 系統維持安全與穩定。
該公司表示，調查持續進行期間，將配合主管機關。Pathao 也為事件及服務中斷向使用者、司機、商家和合作夥伴致歉，並承認有責任保護受託保管的資訊。
Foyej 另表示，基於預防措施，部分使用者可能已被系統自動登出；這些使用者可重新登入使用服務。自動登出本身並不代表特定使用者的資料遭竊。
為何連聯絡資料都可能帶來風險
已確認外洩的姓名、電子郵件地址和電話號碼，能讓攻擊者掌握資訊，進而讓詐騙聯繫看起來更可信。訊息若能直呼對方姓名，並提及對方使用的服務，可能比匿名訊息更容易取信於人。
網路釣魚是冒充可信任的組織或個人，誘使他人透露資訊、點擊惡意連結或授權某項操作。Pathao 已提醒使用者留意這類可能性，但未表示與此次資料外洩有關的網路釣魚或冒名攻擊已經發生。
資訊科技專家 Suman Ahmed Sabir 指出，若更廣泛的外洩指控屬實，可能引發身分遭冒用、銀行詐欺、網路釣魚、勒索和社群媒體帳戶遭入侵等風險。他評估的是可能的後果，並非已確認 Pathao 使用者遭遇這些犯罪。
外洩資料的類型會改變風險。聯絡資料可能助長精準詐騙；身分文件可能被用於冒名；位置和行程紀錄可能揭露個人行蹤。存取權杖則可能帶來帳戶安全風險，視其權限及是否仍有效而定。Pathao 尚未證實這些較敏感的資料類別遭到外洩。
Pathao 對使用者的提醒
Pathao 的主要提醒是，對於任何自稱代表該公司的陌生訊息、來電和連結，都應保持警覺。該公司告訴使用者，不要因應這類聯繫而提供密碼、PIN 碼或一次性密碼。
OTP 是用於核准登入或交易的臨時驗證碼。即使對方不知道帳戶的一般密碼，分享 OTP 仍可能讓對方完成該驗證碼所保護的操作。
Pathao 建議使用者以官方管道發布的資訊為準。與事件相關的資安建議也包括避免點擊陌生連結，並在 Facebook 和其他帳戶啟用雙重驗證。這會在密碼之外增加第二道驗證程序。
這些預防措施旨在因應資訊遭不當利用的可能性，並不代表所有指控都屬實。目前沒有已確認的統計顯示，此事件造成多少 Facebook 帳戶遭入侵、詐欺交易或身分遭冒用案件。
調查仍須釐清的事項
資安專家 Tanvir Hassan Zoha 建議進行獨立數位鑑識調查、保存相關伺服器和存取紀錄，並依適用法律通知監管機關和執法單位。數位鑑識會利用技術證據重建事件經過，包括哪些系統遭存取、攻擊者採取了哪些行動。
保存紀錄很重要，因為這些資料可能有助於確認入侵方式、未經授權的存取期間，以及攻擊者接觸到哪些紀錄。Pathao 已宣布聘請外部專家，但尚未說明其工作是否屬於獨立的數位鑑識調查，也未公布調查結果。
Sabir 也認為，孟加拉的資安監督工作面臨人力和資源不足，包括負責應變的機構。他呼籲建立法律架構，補償蒙受損失的客戶。這些是他的評估和建議，並非調查 Pathao 的主管機關所作的認定。
目前尚待釐清的問題更為具體：有多少使用者受影響、哪些類別的資料遭竊、兩國的資料是否都外洩，以及據稱遭竊的金融或帳戶憑證是否真實。Pathao 尚未公布完成調查、發布調查結果或發布下一次更新的日期。
Pathao 承諾將公布經查證的資訊，使用者應留意其中的區別：部分個人資料遭竊已獲確認；據稱有一份 133 GB 的資料集，包含逾 1,900 萬個帳戶、大量身分資料和金融資訊，這項說法則尚未獲得證實。
重點整理
- Pathao 證實，攻擊者在 10 月 4 日的事件中取得部分姓名、電子郵件地址和電話號碼。
- 孟加拉和尼泊爾的營運受到干擾，穩定化作業期間，部分使用者可能遇到間歇性問題。
- 涉及 133 GB 資料、19,063,918 個帳戶和約 2.5 億筆資料庫紀錄的說法仍未獲證實。
- Pathao 尚未證實密碼、身分資料、位置資料或金融資訊據稱外洩一事。
- 據稱有人要求支付 400,000 USDT，並設定 24 小時期限；該公司尚未證實此事。
- 外部資安專家已介入，相關主管機關已獲通知，但調查完成日期尚未公布。
- Pathao 已提醒使用者提防陌生聯繫，並告知切勿分享密碼、PIN 碼或 OTP。
