Section 1: Real Case Study – What Happened at Concordia

Incident Overview

In October 2025, Concordia experienced a Visa card misuse incident linked to a Facebook Ads Account hack.

Unauthorized charges totaling USD 1,936.75 appeared on the company’s prepaid Visa card, which was used for online advertising.

Root Cause

• During August 2025, the paid VPN subscription expired.
• A free VPN was used temporarily, which exposed login credentials.
• 
  The company’s Facebook Ads Account (ID: 108191870017818) was later linked to another Business Manager outside Concordia.
• This resulted in unauthorized ad transactions made through our Visa card.
• 
  
• 
  
• 
  
• 
  

How It Was Detected

• The 10 BD team discovered a failed payment of USD 12.46 on 12 Oct 2025 & informed to 6 Acc.
• Upon inquiry, 6 Acc found the card balance had been depleted by unknown Facebook charges on 27 Oct 2025.
• The bank statement (Sept 26 – Oct 24) confirmed multiple unauthorized deductions.
• Meta Support verified that the account had been compromised.

Immediate Response

• Incident was reported to Internal Audit and Risk Committee.
• Meta Support case opened.
• Remaining two company Visa cards were stopped by 6 Acc.
• Manual entry policy for ad payments was introduced.
• Risk Committee approved new Cybersecurity & Marketing Payment Controls.
  
  

ဖြစ်စဉ် အခြေနေ အပေါ်စစ်တမ်း

ဖြစ်ရပ်အကျဉ်း

၂၀၂၅ ခုနှစ်၊ အောက်တိုဘာလတွင် Concordia သည် Facebook Ads အကောင့် ဟက်ခံရမှုတစ်ခုနှင့် ဆက်စပ်နေသော Visa ကဒ် အလွဲသုံးစားလုပ်မှု ဖြစ်စဉ်ကို ကြုံတွေ့ခဲ့ရသည်။

ကုမ္ပဏီ၏ ကြိုတင်ငွေဖြည့် Visa ကဒ်ပေါ်တွင် အွန်လိုင်းကြော်ငြာများအတွက် အသုံးပြုခဲ့သည့် USD 1,936.75 ၏ ခွင့်ပြုချက်မရှိသော ငွေထုတ်ယူမှုများ ပေါ်ပေါက်ခဲ့သည်။

အရင်းခံ အကြောင်းရင်း

• ၂၀၂၅ ခုနှစ်၊ ဩဂုတ်လအတွင်း ငွေဖြင့်ဝယ်ယူအသုံးပြုရသော VPN ၏ မှာယူမှုကာလ ကုန်ဆုံးသွားခဲ့သည်။
• အခမဲ့ VPN ကို ယာယီအသုံးပြုခဲ့ရာမှ လော့ဂ်အင် စက်ဝန်းများ (လျှို့ဝှက်နံပါတ်များ) ပေါက်ကြားခဲ့သည်။
• ကုမ္ပဏီ၏ Facebook Ads အကောင့် (ID: 108191870017818) ကို Concordia မှ မဟုတ်သော အခြားစီးပွားရေးစီမံခန့်ခွဲမှုတစ်ခုသို့ ပြောင်းရွှေ့ချိတ်ဆက်ခံရသည်။
• ဤသို့ဖြင့် ကျွန်ုပ်တို့၏ Visa ကဒ်ဖြင့် ခွင့်ပြုချက်မရှိသော ကြော်ငြာလွှင့်မှုများ ပြုလုပ်ခံရခြင်း ဆိုက်ရောက်ခဲ့သည်။

ဖော်ထုတ်သိရှိခဲ့ပုံ

• ၂၀၂၅ ခုနှစ်၊ အောက်တိုဘာလ ၁၂ ရက်နေ့တွင် ၁၀ BD အဖွဲ့ မှ USD 12.46 ၏ ငွေပေးချေမှု မအောင်မြင်သည့် အခြေအနေ တစ်ခုကို တွေ့ရှိပြီး ၆ Acc အဖွဲ့သို့ အသိပေးခဲ့သည်။
• စုံစမ်းစစ်ဆေးရာတွင် ၆ Acc အဖွဲ့ မှ အောက်တိုဘာလ ၂၇ ရက်နေ့က မသိရှိရသော Facebook ငွေထုတ်ယူမှုများကြောင့် ကဒ်လက်ကျန်ငွေ ကုန်ခမ်းသွားကြောင်း တွေ့ရှိခဲ့သည်။
• ဘဏ်ငွေစာရင်း (စက်တင်ဘာ ၂၆ - အောက်တိုဘာ ၂၄) သည် ခွင့်ပြုချက်မရှိသော ငွေထုတ်ယူမှုပေါင်းများစွာ ရှိကြောင်း အတည်ပြုခဲ့သည်။
• Meta Support မှ အကောင့် ချိုးဖောက်ခံရကြောင်း အတည်ပြုခဲ့သည်။

ချက်ချင်း တုံ့ပြန်ဆောင်ရွက်ချက်များ

• ဖြစ်စဉ်ကို အတွင်းရှိ စာရင်းစစ်အဖွဲ့ နှင့် ဘဏ္ဍာရေးဆိုင်ရာ စီမံခန့်ခွဲမှုအဖွဲ့ သို့ တိုင်ကြားခဲ့သည်။
• Meta Support တွင် အကြောင်းကြားစာ ဖွင့်လှစ်ခဲ့သည်။
• ၆ Acc အဖွဲ့ မှ ကျန်ရှိနေသော ကုမ္ပဏီ Visa ကဒ် နှစ်ခုကို ရပ်ဆိုင်းခဲ့သည်။
• ကြော်ငြာများအတွက် ငွေပေးချေမှုဆိုင်ရာ လက်ဖြင့်ရိုက်ထည့်သော မူဝါဒ ကို စတင်ကျင့်သုံးခဲ့သည်။
• ဘဏ္ဍာရေးဆိုင်ရာ စီမံခန့်ခွဲမှုအဖွဲ့ မှ ဆိုက်ဘာလုံခြုံရေးနှင့် စျေးကွက်ရှာဖွေရေး ငွေပေးချေမှု ထိန်းချုပ်မှုအသစ်များ ကို အတည်ပြုခဲ့သည်။