Vụ rò rỉ dữ liệu tại Coupang của Hàn Quốc làm lộ thông tin 33,7 triệu tài khoản khách hàng

Chuyện gì đã xảy ra và vì sao vụ việc đáng chú ý

Coupang, nền tảng thương mại điện tử lớn nhất Hàn Quốc, công bố một vụ rò rỉ dữ liệu trên diện rộng, làm lộ thông tin cá nhân liên quan đến 33,7 triệu tài khoản khách hàng. Các nhà điều tra cho biết việc truy cập trái phép có thể đã bắt đầu từ tháng 6 thông qua các máy chủ đặt ngoài nước và không bị phát hiện trong nhiều tháng. Quy mô vụ việc ảnh hưởng đến hơn một nửa dân số cả nước, khiến người mua sắm thường xuyên, các gia đình và doanh nghiệp nhỏ đứng trước nguy cơ trở thành mục tiêu của những vụ lừa đảo thường xảy ra sau các vụ rò rỉ dữ liệu cá nhân lớn.

Công ty cho biết thông tin bị lộ gồm tên, số điện thoại di động, địa chỉ email, địa chỉ giao hàng và chi tiết một số đơn hàng trước đây. Theo công ty, dữ liệu thẻ thanh toán, thông tin ngân hàng và thông tin đăng nhập không bị truy cập. Ngay cả khi không có dữ liệu tài chính, việc kết hợp thông tin liên hệ với lịch sử đặt hàng vẫn có thể tạo điều kiện cho những vụ lừa đảo tinh vi, giả danh nhân viên hỗ trợ khách hàng hoặc thông báo giao hàng. Khách hàng được khuyến cáo cảnh giác với các cuộc gọi, tin nhắn hoặc email yêu cầu cung cấp mã xác minh, mật khẩu hay thông tin thanh toán.

Coupang đã xin lỗi và báo cáo vụ việc với cơ quan chức năng ngay sau khi phát hiện hoạt động truy cập bất thường ảnh hưởng đến một số ít tài khoản vào giữa tháng 11. Con số ban đầu, khoảng 4.500 tài khoản bị xâm nhập, nhanh chóng tăng lên khi các nhà điều tra mở rộng phạm vi điều tra. Cảnh sát đang xem xét khả năng một cựu nhân viên hiện ở nước ngoài có liên quan. Các cơ quan quản lý đang kiểm tra liệu Coupang có vi phạm quy định bảo vệ dữ liệu hay không và cho biết sẽ áp dụng hình phạt nếu xác nhận có sai phạm trong việc tuân thủ.

Diễn biến vụ rò rỉ

Theo công ty và các quan chức chính phủ, vụ rò rỉ liên quan đến thông tin cá nhân phục vụ giao hàng và dường như bắt nguồn từ việc truy cập thông qua máy chủ ở nước ngoài kể từ cuối tháng 6. Coupang phát hiện hoạt động bất thường vào ngày 18 tháng 11, sau đó thông báo cho cơ quan chức năng trong vòng hai ngày. Sau khi chặn đường truy cập bị nghi ngờ và tăng cường giám sát nội bộ, công ty bắt đầu phối hợp điều tra với các chuyên gia an ninh và lực lượng thực thi pháp luật. Khi công tác giám định kỹ thuật tiến triển, số tài khoản bị ảnh hưởng tăng lên hàng chục triệu.

Nhà chức trách cho biết có thể đã có người khai thác lỗ hổng trong quy trình xác thực một số máy chủ, qua đó cho phép người bên ngoài liên tục trích xuất dữ liệu mà không lập tức kích hoạt cảnh báo. Khả năng này, cùng những dấu hiệu cho thấy kẻ xâm nhập am hiểu nội bộ hệ thống, hiện là trọng tâm của cuộc điều tra. Chính phủ đã triệu tập cuộc họp khẩn cấp và thành lập nhóm công tác công tư để phối hợp phân tích kỹ thuật, hỗ trợ nạn nhân và triển khai biện pháp quản lý.

Thông tin bị lộ và các rủi ro

Bộ dữ liệu được cho là gồm những thông tin cá nhân thường ngày mà người dùng cung cấp để nhận hàng: tên, số điện thoại di động, địa chỉ email, địa chỉ giao hàng và một phần lịch sử đơn hàng. Dữ liệu thẻ thanh toán, thông tin ngân hàng và mật khẩu không bị lộ. Sự khác biệt này có ý nghĩa đối với nguy cơ tài chính trước mắt, nhưng thông tin bị lộ vẫn có thể bị lợi dụng để thao túng, lừa đảo. Kẻ gian có thể giả danh nhà bán lẻ, đối tác vận chuyển hoặc thậm chí ngân hàng, rồi gây áp lực buộc nạn nhân tiết lộ mã dùng một lần hoặc cài phần mềm độc hại.

Lừa đảo qua tin nhắn, thường gọi là smishing, là mối đe dọa phổ biến sau các vụ rò rỉ dữ liệu lớn. Kẻ tấn công sử dụng thông báo giao hàng hoặc cảnh báo tài khoản trông có vẻ đáng tin để dụ người dùng truy cập trang đăng nhập giả mạo hoặc lấy mã dùng một lần nhằm chiếm quyền tài khoản. Chi tiết đơn hàng khiến những tin nhắn này càng có vẻ thuyết phục. Khách hàng nên thận trọng với các tin nhắn và cuộc gọi bất ngờ, đặc biệt là những nội dung yêu cầu thanh toán, cung cấp mã hoặc cho phép truy cập từ xa vào thiết bị.

Coupang cho biết không có mật khẩu nào bị đánh cắp, nhưng tội phạm thường tìm cách đặt lại mật khẩu bằng thông tin liên hệ bị rò rỉ. Hãy chú ý các yêu cầu đặt lại mật khẩu hoặc xác minh không mong muốn, và chỉ xác nhận thay đổi trong ứng dụng hoặc trang web chính thức, không thông qua liên kết trong tin nhắn. Bật xác thực hai yếu tố nếu có. Kiểm tra các đơn hàng gần đây và địa chỉ giao hàng đã lưu để phát hiện thay đổi mà bạn không thực hiện.

Ai có thể đứng sau vụ việc

Theo các quan chức nắm rõ cuộc điều tra, cảnh sát đã xác định một nghi phạm là cựu nhân viên và mang quốc tịch nước ngoài. Người này được cho là đã rời khỏi Hàn Quốc. Các nhà điều tra đang xem xét liệu người này có khai thác kẽ hở trong quy trình xác thực máy chủ hoặc vẫn giữ quyền truy cập sau khi nghỉ việc hay không. Kiến thức nội bộ có thể giúp tìm ra điểm yếu, nhất là khi nhật ký hệ thống và quyền truy cập không được kiểm soát chặt chẽ.

Rủi ro nội gián không chỉ xuất phát từ ý đồ xấu. Sai sót, mã truy cập hệ thống chưa được thu hồi và quy trình chấm dứt quyền truy cập chậm trễ có thể để lộ các luồng dữ liệu mà kẻ tấn công bên ngoài sau đó khai thác. Kiểm soát truy cập chặt chẽ, luân chuyển và thu hồi thông tin xác thực, ghi nhật ký liên tục và giám sát hành vi là những biện pháp thiết yếu để giảm thiểu rủi ro này. Các cơ quan quản lý nhấn mạnh mức độ nghiêm trọng của vụ rò rỉ và cam kết phản ứng nhanh chóng.

Bộ Khoa học và Công nghệ Thông tin và Truyền thông, trước việc thông tin liên hệ của hàng triệu người dân bị lộ, đã nêu rõ kỳ vọng đối với cuộc điều tra.

Bộ cho biết sẽ tiến hành điều tra nhanh chóng và áp dụng các biện pháp xử phạt nghiêm khắc nếu phát hiện vi phạm.

Phản ứng của nhà chức trách và Coupang

Chính phủ mở cuộc điều tra chính thức trong vòng vài ngày sau báo cáo ban đầu và tổ chức nhóm ứng phó chung gồm lực lượng thực thi pháp luật và các cơ quan kỹ thuật. Ủy ban Bảo vệ Thông tin Cá nhân đang xem xét liệu các quy định bảo vệ dữ liệu có bị vi phạm hay không. Coupang cho biết đã chặn đường truy cập, tăng cường giám sát nội bộ và hợp tác đầy đủ. Công ty khuyến cáo khách hàng cảnh giác với các hành vi giả mạo và chỉ sử dụng những kênh liên lạc chính thức.

Quy mô vụ rò rỉ vượt các sự cố lớn hồi đầu năm tại một nhà mạng di động hàng đầu, vốn ảnh hưởng đến hơn 23 triệu người dùng và dẫn đến mức phạt kỷ lục. Các cơ quan quản lý cho biết sẽ áp dụng hình phạt nghiêm khắc nếu phát hiện các biện pháp kiểm soát không đầy đủ. Nhà chức trách cũng đang xem xét liệu có cần tăng cường hướng dẫn của ngành về bảo mật máy chủ, quy trình thu hồi quyền truy cập khi nhân viên nghỉ việc và xác minh truy cập hay không.

Vì sao chứng nhận không ngăn được vụ việc

Coupang có chứng nhận ISMS P, chứng nhận quốc gia về an ninh thông tin và bảo vệ dữ liệu cá nhân. Công ty đạt chứng nhận này vào năm 2021 và gia hạn vào năm 2024. Dù vậy, từ năm 2020 đến nay công ty đã ghi nhận một số sự cố và từng bị phạt vì các vi phạm trước đó. Điều này làm gia tăng cuộc tranh luận rộng hơn về những gì chứng nhận thực sự bảo đảm. Các cuộc đánh giá ISMS P tập trung vào chính sách, quy trình và biện pháp kiểm soát đã được văn bản hóa, nhưng chứng nhận không bảo đảm rằng sẽ không xảy ra sự cố theo thời gian thực, lỗi do con người hoặc hành vi lạm dụng của người nội bộ.

Những người chỉ trích cho rằng các cuộc đánh giá có thể chú trọng việc tuân thủ trên giấy tờ hơn là bằng chứng thực tế cho thấy các biện pháp kiểm soát hoạt động hiệu quả trong tình huống căng thẳng. Các nền tảng phức tạp phụ thuộc vào mạng lưới vi dịch vụ rộng khắp, tích hợp với bên thứ ba và đội ngũ nhân sự đông đảo. Rủi ro có thể thay đổi nhanh chóng. Các chu kỳ chứng nhận định kỳ, dựa trên danh sách kiểm tra, có thể bỏ sót những điểm yếu thực tế chỉ bộc lộ trong hệ thống đang vận hành, chẳng hạn mã truy cập có thời hạn quá dài, lỗ hổng trong xác thực máy chủ hoặc việc đối chiếu nhật ký chưa đầy đủ giữa các môi trường.

Quy định tại các khu vực pháp lý khác giúp làm rõ mối liên hệ giữa hình phạt và phòng ngừa. Quy định chung về bảo vệ dữ liệu (GDPR) của Liên minh châu Âu yêu cầu tích hợp quyền riêng tư ngay từ khâu thiết kế và báo cáo vi phạm trong vòng 72 giờ, đồng thời cho phép áp dụng mức phạt lên đến 4% doanh thu toàn cầu. Tại Mỹ, Ủy ban Thương mại Liên bang đã áp dụng các khoản phạt lớn đối với những công ty xử lý sai dữ liệu người dùng hoặc gây hiểu lầm cho người tiêu dùng. Nhật Bản siết chặt quy định theo Luật Bảo vệ Thông tin Cá nhân sau một số vụ việc gây chú ý, bổ sung các quy định nghiêm ngặt hơn về quyền truy cập nội bộ và hoạt động kiểm toán. Hệ thống của Hàn Quốc được đánh giá là nghiêm khắc, nhưng các vụ việc lớn liên tiếp cho thấy công tác thực thi, giám sát và phòng ngừa vẫn cần theo kịp các phương thức tấn công thay đổi nhanh chóng và rủi ro nội gián.

So sánh với các vụ rò rỉ dữ liệu trước đây tại Hàn Quốc

Trong hai thập niên qua, Hàn Quốc đã đối mặt với một số vụ rò rỉ dữ liệu nghiêm trọng. Năm 2011, tin tặc đánh cắp dữ liệu của khoảng 35 triệu tài khoản tại một mạng xã hội và cổng thông tin lớn. Năm 2014, các công ty thẻ tín dụng làm mất hàng chục triệu hồ sơ, trong đó có số định danh cư trú và thông tin thẻ. Những vụ việc trước đó nhắm vào các sàn thương mại điện tử và doanh nghiệp năng lượng; trong những năm gần đây, các nhà mạng di động cũng báo cáo những vụ rò rỉ. Một sự cố gần đây tại một nhà cung cấp dịch vụ viễn thông hàng đầu ảnh hưởng đến hơn 23 triệu người dùng và dẫn đến mức phạt lớn nhất từ trước đến nay đối với các vi phạm luật bảo vệ thông tin cá nhân.

Vụ việc tại Coupang nổi bật vì quy mô và vai trò bị nghi ngờ của một cựu nhân viên nội bộ. Sự việc cũng xảy ra sau một loạt sự cố nhỏ hơn tại công ty, càng làm gia tăng lo ngại của công chúng về việc những cam kết cải thiện an ninh có thực sự được thực hiện hay không. Sự kết hợp giữa quy mô, thời gian kéo dài và mức độ am hiểu hệ thống của người nội bộ là phép thử nghiêm trọng đối với cả quản trị doanh nghiệp lẫn khuôn khổ bảo vệ dữ liệu quốc gia.

Khách hàng có thể làm gì ngay lúc này

Coupang cho biết chưa có bằng chứng cho thấy dữ liệu thanh toán hoặc mật khẩu bị lộ. Dù vậy, các vụ rò rỉ lớn thường dẫn đến những vụ lừa đảo lợi dụng tên, số điện thoại, địa chỉ và chi tiết đơn hàng. Một số bước đơn giản có thể giúp giảm rủi ro và giúp bạn phản ứng nhanh nếu trở thành mục tiêu.

• Thận trọng với các cuộc gọi, tin nhắn và email không mong muốn, nhất là khi chúng yêu cầu thanh toán, mã dùng một lần hoặc thông tin tài khoản.
• Không nhấp vào liên kết trong tin nhắn giao hàng hoặc tin nhắn về tài khoản. Hãy mở ứng dụng chính thức hoặc tự nhập địa chỉ trang web.
• Bật xác thực hai yếu tố cho các tài khoản nếu có.
• Theo dõi lịch sử tài khoản và danh bạ địa chỉ giao hàng để phát hiện những thay đổi bạn không thực hiện.
• Dùng trình quản lý mật khẩu và tránh dùng lại mật khẩu cho tài khoản mua sắm, email và ngân hàng.
• Cảnh giác với yêu cầu cài phần mềm hỗ trợ từ xa trên điện thoại hoặc máy tính.
• Liên hệ bộ phận hỗ trợ khách hàng qua ứng dụng hoặc trang web chính thức nếu nhận được tin nhắn đáng ngờ tự nhận là của công ty.

Nếu bạn cho rằng dữ liệu của mình đang bị sử dụng trái phép, hãy báo cho cơ quan chức năng và nhà mạng di động. Lưu ảnh chụp màn hình các tin nhắn đáng ngờ, đồng thời ghi lại thời gian và số điện thoại liên quan. Báo cáo nhanh giúp các nhà điều tra nhận diện những dấu hiệu trên diện rộng và chặn các tên miền, số điện thoại độc hại.

Tác động đến doanh nghiệp và thị trường

Các vụ rò rỉ lớn thường gây ra chi phí vượt xa việc khắc phục kỹ thuật. Công ty phải chi cho giám định kỹ thuật số, dịch vụ bảo vệ danh tính, thiết kế lại hệ thống và hỗ trợ khách hàng, đồng thời xử lý các biện pháp quản lý và khiếu kiện pháp lý. Tác động đến uy tín có thể kéo dài, đặc biệt với các nền tảng phụ thuộc vào khách hàng mua sắm thường xuyên và lòng trung thành với thương hiệu. Những lời kêu gọi yêu cầu trách nhiệm giải trình đang gia tăng, và các cơ quan bảo vệ dữ liệu cho biết sẽ cân nhắc biện pháp xử phạt nếu xác nhận có lỗ hổng trong việc tuân thủ.

Coupang niêm yết tại Mỹ và hoạt động trên quy mô toàn quốc ở Hàn Quốc, vì vậy công ty chịu sự giám sát của nhiều cơ quan quản lý và nhà đầu tư. Các hồ sơ và báo cáo sắp tới nhiều khả năng sẽ tập trung vào những thay đổi trong quản lý quyền truy cập, thu hồi thông tin xác thực, xác minh máy chủ, đối chiếu nhật ký và quản trị hoạt động tích hợp với bên thứ ba. Cần duy trì đầu tư vào con người, quy trình và công nghệ để khôi phục niềm tin, đồng thời giảm nguy cơ một sự cố kéo dài nhiều tháng trước khi được phát hiện.

Điểm cần biết

• Thông tin cá nhân của 33,7 triệu tài khoản khách hàng Coupang đã bị lộ.
• Dữ liệu bị lộ gồm tên, số điện thoại di động, địa chỉ email, địa chỉ giao hàng và một phần lịch sử đơn hàng.
• Không có dữ liệu thẻ thanh toán, thông tin ngân hàng hoặc mật khẩu đăng nhập nào được phát hiện trong bộ dữ liệu bị lộ.
• Việc truy cập trái phép có thể đã bắt đầu từ tháng 6 và không bị phát hiện cho đến giữa tháng 11.
• Nhà chức trách đang điều tra một cựu nhân viên bị nghi liên quan và đã triệu tập nhóm ứng phó khẩn cấp.
• Bộ Khoa học và Công nghệ Thông tin và Truyền thông cảnh báo sẽ áp dụng biện pháp xử phạt nghiêm khắc nếu xác nhận có vi phạm luật bảo vệ dữ liệu.
• Coupang cho biết đã chặn đường truy cập và tăng cường giám sát nội bộ.
• Khách hàng được khuyến cáo cảnh giác với các cuộc gọi, tin nhắn và email giả danh công ty.
• Vụ việc làm gia tăng tranh luận về hiệu quả của các chứng nhận an ninh quốc gia như ISMS P.
• Vụ rò rỉ vượt các sự cố gần đây tại những công ty lớn khác và là một trong những vụ lớn nhất được ghi nhận tại Hàn Quốc.