MobiKwik 面對據稱 1.1 億用戶資料外洩，以否認與法律威脅回應

MobiKwik 是印度最大的行動支付錢包之一，持有印度法規要求客戶提交的身分文件——KYC 詳細資料、Aadhaar 身分號碼、卡片與電話資料。2021 年 3 月初，一名安全研究人員通報，一份據稱屬於 MobiKwik、涵蓋約 1.1 億名用戶的資料集，已出現在暗網論壇上供人出售。

MobiKwik 的回應是立即否認。3 月 4 日，該公司表示未發現任何安全漏洞，其法務團隊表示將對該研究人員採取嚴厲行動。當用戶開始查核並回報部分外洩資料看似真實時，事件只愈演愈烈。印度電腦緊急應變小組 CERT-In 與 MobiKwik 分享了一份資料樣本；該公司稱該樣本並非其資料。

否認並未遏止危機。在指控已公開且存在爭議的情況下，印度儲備銀行下令 MobiKwik 須由 CERT-In 認證的稽核人員對其系統進行鑑識稽核。一家處理身分資料的支付公司，把一項安全指控變成了監管審查。

此案如今被引述的重點在於其危機應對，而非外洩事件本身——MobiKwik 持續對後者提出異議。當一家持有敏感資料的公司被告知資料已外洩時，否認並威脅舉報者，只會促使使用者、研究人員與監管機關去查證——而監管機關的稽核，而非公司的否認，成了事件焦點。

否認與法律威脅引來了查證，因此印度儲備銀行下令進行鑑識稽核，使稽核而非否認成為事件焦點。

MobiKwik 持有印度法規要求的身分文件——KYC 與 Aadhaar 資料——因此任何據稱的外洩都自動成為高風險、高度受關注的事件。

其第一反應是在任何透明調查之前就否認並對研究人員發出法律威脅，這使事件擴大而非縮小。

一旦使用者與 CERT-In 檢驗該說法，否認就顯得迴避；該公司將敘事主導權拱手讓給任何能查證資料的人。

把一項安全指控變成與舉報者的對抗，引來了印度儲備銀行，該行下令進行鑑識稽核，而公司如今必須通過該稽核。

當你持有敏感資料並被告知資料已外洩時，否認與法律威脅會適得其反。使用者、研究人員與監管機關會去查證——而稽核，而非否認，會成為事件焦點。

MobiKwik 堅稱其系統未被入侵，並配合印度儲備銀行下令的稽核。此事件在印度成為廣為講授的反面教材，說明不該如何處理資料安全指控：對一家受託保管身分資料的公司而言，對外洩指控的回應本身就是一場信任考驗，而防禦性的否認可能比最初的指控代價更高。