Pada 12 September 2026 syarikat teknologi kewangan Revolut mengesahkan apa yang disifatkannya sebagai penipuan penyamaran luaran yang canggih: pihak yang tidak dibenarkan menggunakan e-mel pada domain sah milik sebuah agensi kerajaan untuk menghantar permintaan palsu bagi mendapatkan maklumat pelanggan. Permintaan tersebut telah dipenuhi sebelum skim itu dikesan.

Insiden ini wajar mendapat perhatian anda kerana ia tidak melibatkan pencerobohan dalam erti kata biasa. Tiada kelemahan perisian, tiada kata laluan yang bocor, tiada perisian hasad. Revolut sendiri menyatakan bahawa sistem dan dana pelanggannya tidak terjejas. Seseorang meminta data dengan cara yang betul melalui saluran yang betul, dan menerimanya. Itulah sebabnya perkara ini penting bagi setiap perniagaan yang menyimpan rekod pelanggan, bukan hanya bank.

Apa yang benar-benar disahkan

Kami menghadkan diri kepada apa yang diumumkan oleh syarikat dan apa yang dilaporkan oleh media pakar, kerana siasatan masih berjalan dan banyak perkara belum didedahkan:

  • Kaedah: e-mel yang dihantar daripada akaun yang tidak dibenarkan di dalam domain milik agensi kerajaan sebenar, membawa kedudukan sebagai permintaan maklumat rasmi.
  • Data: butiran identiti dan hubungan termasuk tarikh lahir, alamat pos, alamat e-mel dan nombor telefon, serta salinan dokumen identiti seperti pasport dan lesen memandu, bersama imej pengesahan wajah yang dikumpul semasa pemeriksaan kenali pelanggan anda (KYC).
  • Skala: syarikat menyebut bilangan pelanggan yang terhad, dan tidak mendedahkan sebarang angka.
  • Agensi: Revolut enggan menamakan badan kerajaan yang domainnya digunakan, dengan alasan siasatan yang sedang berjalan.
  • Tindak balas: alamat itu disekat, pelanggan yang terjejas dimaklumkan secara terus, dan syarikat memaklumkan agensi kerajaan berkenaan, pihak penguat kuasa undang-undang, pengawal selia kewangan dan pihak berkuasa perlindungan data.

Seorang penyelidik keselamatan kripto yang dikenali sebagai ZachXBT menilai bahawa sasaran itu kelihatan ditujukan kepada pelanggan berpendapatan tinggi, yang menunjukkan pembinaan profil terperinci dan bukannya pengumpulan secara rawak. Itu penilaian seorang penyelidik, bukan kenyataan syarikat, dan kami memetiknya sedemikian.

Mengapa permintaan itu berjaya: pengesahan identiti bukan kebenaran

Kebanyakan sistem e-mel korporat bergantung pada pemeriksaan teknikal yang mengesahkan bahawa sesuatu mesej benar-benar berasal dari domain yang didakwanya. Pemeriksaan ini berkesan terhadap pemalsuan biasa: sesiapa yang menyamar sebagai domain yang tidak dikawalnya akan ditolak. Tetapi ia dibina untuk menjawab tepat satu soalan sahaja — adakah mesej ini keluar dari domain itu?

Itu bukan soalan yang perlu anda jawab. Soalan anda ialah sama ada orang yang menulis mesej itu dibenarkan meminta apa yang dimintanya. Tiada pemeriksaan e-mel yang menjawabnya. Jarak antara kedua-dua soalan itu ialah jarak antara pengesahan identiti dan kebenaran, dan jurang itulah yang dilalui oleh keseluruhan operasi ini. Apabila akaun penghantar berada di dalam domain yang sebenar — sama ada telah dikompromi atau diwujudkan secara salah — setiap penunjuk kepercayaan yang dapat dilihat oleh pasukan anda akan berwarna hijau.

Akibat praktikalnya: tugas get laluan e-mel anda berakhir dengan menghantar permintaan dalam keadaan utuh. Menilai permintaan ialah kerja manusia, dan ia memerlukan prosedur bertulis, bukan naluri individu.

Perniagaan anda menerima permintaan yang sama dalam bentuk yang lebih ringkas

Mudah untuk menolak perkara ini sebagai kisah fintech Eropah yang jauh. Tetapi permintaan yang sampai kepada perniagaan di Arab Saudi setiap hari ialah perkara yang sama dalam pakaian yang lebih sederhana: e-mel yang meminta penyata pelanggan, mesej yang meminta butiran pekerja untuk tujuan kawal selia, panggilan yang meminta anda mengesahkan butiran kontrak, surat-menyurat daripada alamat yang membawa nama rasmi yang biasa didengar dan meminta dokumen untuk melengkapkan sesuatu prosedur.

Di kebanyakan syarikat kecil dan sederhana, permintaan sebegitu dikendalikan begini: ia sampai kepada seorang pekerja, penghantarnya kelihatan rasmi, menolak badan rasmi terasa lebih berisiko daripada mematuhinya, dan fail pun dihantar. Tiada rekod tentang siapa yang meminta, apa yang keluar, atau bila. Tiada langkah pengesahan bebas. Apabila masalah timbul kemudian, syarikat tidak mempunyai apa-apa untuk membina semula kejadian.

Perhatikan juga tekanan yang dikenakan. Gabungan desakan masa dan kedudukan rasmi itulah yang melumpuhkan pengesahan. Pekerja yang takut dipersalahkan kerana menghalang prosedur kerajaan akan melangkau panggilan pengesahan, dan itu ialah kesan yang dirancang oleh pendekatan ini, bukan kesan sampingan.

Apa yang dikehendaki undang-undang Arab Saudi daripada anda

Undang-undang Perlindungan Data Peribadi (PDPL) tidak membiarkan perkara ini terbuka. Ia meletakkan kewajipan berganda ke atas perniagaan anda: dedahkan hanya apabila dibenarkan, dan laporkan apabila anda tersilap.

  • Perkara 15 menetapkan kes-kes di mana data peribadi boleh didedahkan, termasuk apabila pihak yang meminta ialah entiti awam dan permintaan itu bagi tujuan keselamatan, melaksanakan undang-undang lain, atau memenuhi keperluan kehakiman, sebagaimana yang ditetapkan oleh peraturan pelaksanaan.
  • Perkara 16 mengawal kes-kes di mana pendedahan mesti ditahan, termasuk apabila ia akan menjejaskan keselamatan negara, membahayakan keselamatan individu, atau mengganggu siasatan yang sedang berjalan.
  • Perkara 20 mewajibkan pengawal memaklumkan pihak berkuasa yang berwibawa dan subjek data tentang pelanggaran atau pendedahan yang menyalahi undang-undang. Peraturan pelaksanaan menetapkan tempoh 72 jam untuk memaklumkan pihak berkuasa yang berwibawa melalui Platform Tadbir Urus Data Nasional.

Baca ketiga-tiganya bersama dan perkara penentu akan muncul: undang-undang memberikan hak kepada entiti awam, bukan kepada e-mel. Permintaan yang tiba dari domain entiti awam tidak menjadikannya permintaan entiti itu. Kewajipan undang-undang untuk mengesahkan kekal pada anda sebagai pengawal data, dan ia tidak berpindah kepada penghantar semata-mata kerana dia kelihatan rasmi.

Pandangan Origami

Origami ialah syarikat teknologi yang membina sistem untuk perniagaan di Arab Saudi, dan corak yang kami lihat berulang kali ialah hampir semua pelaburan keselamatan disalurkan untuk menghalang kemasukan tanpa kebenaran: kata laluan, pengesahan dua faktor, tembok api. Semua itu perlu, tetapi ia hanya mengawal satu pintu. Insiden yang kita bincangkan tidak pernah masuk melalui pintu. Ia mengetuk, meminta data, dan data itu diserahkan. Tiada tetapan teknikal yang dapat menghalang pekerja yang diberi kuasa daripada menghantar fail kepada seseorang yang memintanya dengan cara yang kelihatan betul.

Oleh itu kami menganggap data yang keluar dari perniagaan sebagai prosedur yang dibina di dalam sistem, bukan panduan yang ditulis dalam manual: siapa yang memegang kebenaran untuk mengeksport data pelanggan, sama ada setiap eksport direkodkan bersama siapa yang melakukannya, bila dan mengapa, dan sama ada permintaan pihak ketiga melalui laluan kelulusan. Syarikat yang boleh menjawab dalam masa satu minit data apa yang keluar dari sini bulan lalu dan mengapa mempunyai sesuatu untuk mempertahankan dirinya. Syarikat yang tidak boleh akan menemui jurang itu pada hari ia memerlukan jawapan.

Prosedur satu halaman untuk diterima pakai minggu ini

Ini tidak memerlukan projek dan tidak memerlukan bajet. Ia memerlukan peraturan bertulis yang diumumkan, yang melindungi pekerja anda daripada terpaksa membuat keputusan seorang diri di bawah tekanan:

  • Tiada data pelanggan atau pekerja keluar semata-mata berdasarkan mesej yang diterima. Mesej membuka permintaan; ia tidak melaksanakannya, walau serasmi mana pun penghantar kelihatan dan walau semendesak mana pun nadanya.
  • Sahkan melalui saluran bebas. Jangan balas mesej itu dan jangan telefon nombor yang ditulis di dalamnya. Telefon nombor yang diterbitkan di laman web rasmi entiti tersebut. Langkah tunggal itu sudah cukup untuk menghentikan keseluruhan operasi ini.
  • Seorang pelulus yang dinamakan. Seorang individu yang diberi kuasa untuk menyerahkan data kepada pihak luar, dengan timbalan yang dinamakan semasa ketiadaannya. Menyebarkan kebenaran kepada semua orang bermakna tiada siapa yang bertanggungjawab.
  • Log bertulis untuk setiap permintaan. Siapa yang meminta, atas kapasiti apa, data apa, siapa yang meluluskan, bagaimana ia disahkan, dan tarikhnya. Satu baris dalam hamparan sudah memadai, dan nilainya akan terserlah setahun kemudian, bukan hari ini.
  • Hantar yang minimum. Jika permintaan itu sah, hantar tepat apa yang diminta, bukan keseluruhan fail atau keseluruhan jadual. Jumlah yang anda hantar ialah saiz kerosakan jika permintaan itu ternyata palsu.
  • Ketahui laluan pelaporan sebelum anda memerlukannya. Siapa yang memaklumkan Pihak Berkuasa Data dan Kecerdasan Buatan Saudi (SDAIA) dalam tempoh 72 jam, melalui platform mana, dengan butiran apa. Masa yang dihabiskan untuk mencari prosedur ditolak terus daripada tarikh akhir.

Prinsip yang mendasari semua ini ialah pengesahan bukan halangan. Badan rasmi yang tulen tidak akan membantah panggilan pengesahan yang dibuat ke nombornya sendiri yang diterbitkan, dan sesiapa yang membantah untuk disahkan ialah orang yang sepatutnya disahkan. Tuliskan perkara ini untuk pasukan anda supaya menolak sesuatu permintaan tidak pernah menjadi risiko peribadi yang perlu ditanggung seorang pekerja seorang diri.

Sumber