Coupang bị điều tra, đối mặt khoản phạt có thể lên tới hàng nghìn tỷ won sau vụ rò rỉ dữ liệu ảnh hưởng 33,7 triệu tài khoản

Diễn biến vụ việc và ý nghĩa

Hàn Quốc chấn động trước vụ rò rỉ dữ liệu nghiêm trọng tại Coupang, nhà bán lẻ trực tuyến lớn nhất nước này, làm lộ thông tin cá nhân liên quan đến khoảng 33,7 triệu tài khoản khách hàng. Quy mô vụ việc đặc biệt lớn, ảnh hưởng đến khoảng hai phần ba dân số cả nước. Vụ việc đã kéo theo phản ứng trên diện rộng từ tổng thống, các cơ quan quản lý và lực lượng thực thi pháp luật, đồng thời làm dấy lên cuộc tranh luận mới về cách doanh nghiệp bảo vệ dữ liệu cá nhân trong nền kinh tế số hóa nhanh chóng.

Coupang cho biết công ty phát hiện truy cập trái phép vào ngày 18 tháng 11 và báo cáo vụ việc với cơ quan chức năng. Các đợt kiểm tra sau đó cho thấy vụ xâm nhập có thể đã bắt đầu từ ngày 24 tháng 6 thông qua các máy chủ đặt ở nước ngoài và kéo dài nhiều tháng mà không bị phát hiện. Công ty đã xin lỗi và đang phối hợp với các điều tra viên. Coupang cho biết thông tin thanh toán và mật khẩu không bị truy cập, nhưng tên, địa chỉ email, số điện thoại, địa chỉ giao hàng và một phần lịch sử đơn hàng đã bị lộ.

Tổng thống Lee Jae Myung gọi vụ rò rỉ là hồi chuông cảnh tỉnh về bảo vệ quyền riêng tư và chỉ đạo các quan chức chuẩn bị những hình phạt nghiêm khắc hơn. Theo Đạo luật Bảo vệ Thông tin Cá nhân, doanh nghiệp không thực hiện các biện pháp an toàn thích đáng có thể bị phạt tới 3% doanh thu hằng năm. Với quy mô của Coupang, mức trần này có thể xấp xỉ hoặc vượt một nghìn tỷ won, tùy thuộc vào cơ sở doanh thu được dùng để tính toán. Cảnh sát, Cơ quan Internet và An ninh Hàn Quốc (KISA) và Ủy ban Bảo vệ Thông tin Cá nhân (PIPC) đều đã mở cuộc điều tra; nhà chức trách cũng cảnh báo công chúng đề phòng các chiêu lừa đảo và giả mạo lợi dụng thông tin liên lạc bị rò rỉ.

Vụ xâm nhập diễn ra như thế nào

Nhà chức trách cho biết vụ xâm nhập bắt đầu thông qua hạ tầng ở nước ngoài vào cuối tháng 6 và tiếp diễn cho đến khi bị phát hiện vào tháng 11. Các điều tra viên đang lần theo hoạt động trên mạng và rà soát cách hệ thống của Coupang xác thực quyền truy cập nội bộ. Những phát hiện ban đầu cho thấy các biện pháp kiểm soát xác thực còn yếu. Theo các quan chức được báo cáo về vụ việc, một khóa xác thực gắn với một cựu nhân viên vẫn còn hiệu lực sau khi người này nghỉ việc, tạo cơ hội truy cập thông tin khách hàng. Cảnh sát đang xem xét liệu một cựu lập trình viên, được cho là công dân Trung Quốc hiện ở nước ngoài, có lợi dụng thông tin xác thực còn hiệu lực hoặc khóa chữ ký vốn lẽ ra phải bị thu hồi hay không.

Coupang cho biết công ty đã chặn đường truy cập này, tăng cường giám sát và mời các chuyên gia an ninh độc lập tham gia. Doanh nghiệp cũng đã thông báo cho KISA, PIPC và Cơ quan Cảnh sát Quốc gia, đồng thời gửi cảnh báo đến những người dùng bị ảnh hưởng. Song song đó, các bộ ngành thành lập nhóm công tác chung để xác lập diễn biến vụ việc và xác định liệu các biện pháp bảo vệ bắt buộc có được triển khai hay không. Cuộc điều tra bao gồm việc rà soát các vi phạm có thể xảy ra đối với quy định bảo vệ thông tin cá nhân.

Vì sao khóa không còn sử dụng vẫn nguy hiểm

Các nền tảng hiện đại dựa vào khóa và mã thông báo để cấp cho máy móc và nhân viên quyền hạn giới hạn, phục vụ những nhiệm vụ cụ thể. Nếu khóa vẫn còn hiệu lực sau khi nhân viên đổi vị trí hoặc nghỉ việc, nó có thể trở thành tấm vé sẵn có cho việc truy cập trái phép. Thực tiễn bảo mật yêu cầu áp dụng quyền truy cập tối thiểu cần thiết, nhanh chóng thu hồi quyền khi nhân sự đổi vai trò và thường xuyên thay khóa để chúng không thể sử dụng trong thời gian dài. Khóa có thời hạn dài tiềm ẩn rủi ro vì chỉ một lần sơ suất trong việc thu hồi hoặc giám sát cũng có thể khiến lượng lớn dữ liệu bị lộ. Trong vụ việc này, các điều tra viên đang xem xét liệu thông tin xác thực còn hiệu lực có bị dùng để âm thầm xâm nhập các hệ thống trong nhiều tháng hay không.

Phản ứng của chính phủ và hệ lụy pháp lý

Vụ rò rỉ nhanh chóng chuyển từ sự cố của một doanh nghiệp thành mối quan ngại cấp quốc gia. Phủ tổng thống đã triệu tập các quan chức cấp cao và yêu cầu đề xuất tăng mức phạt cũng như củng cố bảo vệ người tiêu dùng. Bộ Khoa học và Công nghệ Thông tin, PIPC và cảnh sát đang tiến hành cuộc điều tra chung, bao gồm cả giám định kỹ thuật số lẫn việc tuân thủ luật an toàn dữ liệu. KISA đăng khuyến cáo công khai, cảnh báo người dân cảnh giác với các vụ lừa đảo có thể lợi dụng thông tin liên lạc và giao nhận hàng hóa bị rò rỉ.

Tại cuộc họp nội các, Tổng thống Lee chỉ trích khoảng thời gian dài từ khi vụ xâm nhập bắt đầu đến lúc bị phát hiện. Ông kêu gọi nhanh chóng quy trách nhiệm và thay đổi cách các doanh nghiệp lớn ưu tiên bảo vệ dữ liệu người dùng.

Tổng thống Lee nói việc vụ rò rỉ kéo dài nhiều tháng mà không bị phát hiện là không thể chấp nhận được và các chuẩn mực bảo vệ dữ liệu phải thay đổi. Ông kêu gọi chế tài nghiêm khắc hơn và quy trách nhiệm nhanh chóng. Sau đó, ông đưa ra cảnh báo rộng hơn về văn hóa doanh nghiệp trong vấn đề quyền riêng tư.

Thật đáng kinh ngạc khi Coupang thậm chí không tự phát hiện vụ rò rỉ trong suốt năm tháng kể từ khi sự việc bắt đầu. Những thực tiễn sai trái và tư tưởng xem nhẹ việc bảo vệ dữ liệu cá nhân, một tài sản then chốt trong kỷ nguyên trí tuệ nhân tạo và số hóa, phải được thay đổi hoàn toàn.

Rủi ro pháp lý có thể rất đáng kể. Theo luật hiện hành, mức phạt hành chính tối đa là 3% doanh thu nếu cơ quan quản lý xác định doanh nghiệp không thực hiện các biện pháp an toàn thích đáng. Coupang báo cáo doanh thu hằng năm lên tới hàng chục tỷ USD. Mức phạt 3% trên cơ sở đó có thể lên tới hàng trăm tỷ won, thậm chí vượt một nghìn tỷ won khi quy đổi theo tỷ giá gần đây. Cơ quan quản lý cũng đang rà soát các quy định về bồi thường thiệt hại mang tính trừng phạt và khả năng tăng thêm mức phạt đối với những vi phạm tái diễn hoặc trên diện rộng.

Thị trường tài chính đã phản ứng khi quy mô vụ việc dần được làm rõ. Cổ phiếu Coupang giảm sau khi cảnh sát xác nhận quy mô vụ rò rỉ, cho biết họ đang lần theo các địa chỉ IP và rà soát lỗ hổng công nghệ. Các nhà phân tích dự đoán số khách hàng rời bỏ dịch vụ sẽ không lớn nhờ vị thế thị trường của Coupang, nhưng cảnh báo rằng khoản bồi thường cho nạn nhân và các mức phạt tiềm tàng có thể dẫn đến chi phí một lần rất lớn.

Thông tin nào bị lộ và cách tự bảo vệ

Coupang cho biết dữ liệu bị lộ bao gồm thông tin liên lạc, giao nhận cơ bản và một phần lịch sử đơn hàng. Công ty nói chưa có bằng chứng cho thấy số thẻ tín dụng, thông tin ngân hàng hoặc mật khẩu bị xâm phạm. Điều này làm giảm nguy cơ tức thời bị chiếm đoạt tiền trực tiếp, nhưng thông tin liên lạc và địa chỉ bị lộ rất có giá trị với những kẻ lừa đảo chuyên giả mạo danh tính.

Thông tin nào đã bị lấy

Theo thông báo của công ty và các cuộc họp báo chính thức, những trường dữ liệu bị lộ gồm:

• Họ tên đầy đủ
• Địa chỉ email
• Số điện thoại di động và các số điện thoại khác
• Địa chỉ giao hàng
• Một phần lịch sử đơn hàng

Tội phạm có thể kết hợp những thông tin này để tạo tin nhắn và cuộc gọi lừa đảo nghe rất thuyết phục. Thông báo giao hàng giả có kèm tên và địa chỉ chính xác của bạn sẽ dễ dụ người nhận nhấp vào liên kết độc hại hoặc chia sẻ thông tin thanh toán hơn. KISA khuyến cáo người tiêu dùng cảnh giác với các cuộc gọi thoại, tin nhắn và email có vẻ như đến từ Coupang hoặc các đơn vị chuyển phát, đồng thời tránh nhấp vào liên kết trong những tin nhắn không được yêu cầu.

Các bước thiết thực dành cho khách hàng

• Thận trọng với email, tin nhắn hoặc cuộc gọi bất ngờ đề cập đến đơn hàng hay vấn đề giao hàng của bạn. Đừng nhấp vào liên kết. Hãy truy cập trực tiếp ứng dụng hoặc trang web chính thức để kiểm tra thông báo.
• Bật xác minh hai bước cho các tài khoản nếu có. Các bước kiểm tra đăng nhập chặt chẽ hơn sẽ hạn chế thiệt hại nếu thông tin khác bị lợi dụng.
• Kiểm tra các đơn hàng gần đây và hoạt động tài khoản để tìm điều gì bất thường. Báo cho bộ phận hỗ trợ khách hàng về mọi hoạt động đáng ngờ.
• Cảnh giác với yêu cầu thanh toán để xử lý vấn đề giao hàng. Các nền tảng uy tín không yêu cầu thông tin thẻ qua tin nhắn hoặc điện thoại.
• Cân nhắc dùng trình quản lý mật khẩu và mật khẩu riêng cho từng dịch vụ. Cách này giảm nguy cơ bị lợi dụng mật khẩu dùng lại trên nhiều trang web.
• Nếu cho rằng danh tính của mình đang bị lợi dụng, hãy gửi khiếu nại đến cơ quan chức năng và yêu cầu công ty cung cấp tài liệu để phục vụ các báo cáo cần thiết.

Coupang cho biết công ty đang thông báo cho những người dùng bị ảnh hưởng và đã chặn đường truy cập dẫn đến vụ xâm nhập. Công ty cũng tăng cường giám sát nội bộ và mời các chuyên gia độc lập hỗ trợ ứng phó, khắc phục sự cố.

Tác động đến Coupang và thị trường mua sắm trực tuyến

Coupang là một ông lớn trong ngành bán lẻ Hàn Quốc, với gần 25 triệu người dùng hoạt động trong các quý gần đây. Công ty đã mở rộng sang giao hàng nhanh hàng tạp hóa, dịch vụ logistics và phát trực tuyến; đồng thời hoạt động tại Nhật Bản và Đài Loan. Coupang cho biết không có bằng chứng dữ liệu từ đơn vị tại Đài Loan hoặc các dịch vụ liên kết khác ngoài Hàn Quốc bị ảnh hưởng. Dù vậy, hậu quả trong nước rất nghiêm trọng vì vụ rò rỉ tác động đến quá nhiều hộ gia đình.

Ban đầu, nhà đầu tư đã khiến giá cổ phiếu giảm khi quy mô vụ rò rỉ được công bố và cảnh sát mở cuộc điều tra chính thức. Tác động tức thời đến doanh thu có thể hạn chế nếu phần lớn khách hàng tiếp tục sử dụng dịch vụ, nhưng chi phí xử lý sự cố, bồi thường tiềm tàng và mọi khoản phạt có thể rất lớn. Nếu cơ quan quản lý áp dụng mức tối đa theo tỷ lệ phần trăm, riêng tiền phạt có thể lên tới khoảng một nghìn tỷ won, tùy thuộc vào cơ sở doanh thu được dùng để tính.

Vụ việc xảy ra trong một năm Hàn Quốc chứng kiến nhiều sự cố an ninh mạng nổi bật. Trong một vụ riêng biệt, SK Telecom đối mặt khoản phạt lớn sau khi thông tin của hàng chục triệu thuê bao bị rò rỉ. Một vụ khác tại Lotte Card cho thấy tội phạm nhắm vào các doanh nghiệp nắm giữ nhiều dữ liệu về danh tính và hoạt động mua sắm. Những vụ việc đó xảy ra trước vụ rò rỉ tại Coupang và tạo bối cảnh khiến các cơ quan quản lý có xu hướng hành động cứng rắn hơn.

Vì sao các vụ rò rỉ lớn liên tục tái diễn ở Hàn Quốc

Một mô hình chung đang hình thành, kết hợp kho dữ liệu khổng lồ, hệ thống nội bộ phức tạp và áp lực phải phát triển nhanh trong các thị trường trực tuyến cạnh tranh. Khi doanh nghiệp dựa vào nhiều nhà phát triển nội bộ và bên ngoài, đồng thời sử dụng nhiều dịch vụ kết nối với nhau, công tác giám sát có thể trở nên lỏng lẻo. Khóa và mã thông báo có thể tích tụ mà không tự hết hạn đúng lịch. Quyền truy cập không phải lúc nào cũng bị giới hạn ở mức tối thiểu cần thiết. Trong môi trường đó, chỉ một khóa chưa bị thu hồi hoặc một máy chủ cấu hình sai cũng có thể mở đường cho kẻ tấn công.

Quan chức cho biết các vụ rò rỉ lớn tái diễn từ năm 2021 cho thấy những điểm yếu mang tính cơ cấu trong công tác bảo vệ thông tin cá nhân. Gần đây, PIPC đã áp mức phạt kỷ lục đối với một nhà mạng sau vụ rò rỉ không bị phát hiện trong nhiều năm. Trong vụ Coupang, các điều tra viên đang đánh giá liệu quản trị nội bộ và kiểm soát quyền truy cập có không đạt yêu cầu hay không, dù công ty đã chi đáng kể cho an ninh và công nghệ thông tin. Các tiếng nói trong ngành cho rằng chỉ chi tiền là chưa đủ để bảo đảm an toàn nếu việc thay khóa, kỷ luật kiểm toán và quản lý vòng đời thông tin xác thực không được thực thi hằng ngày.

Chính phủ đã yêu cầu rà soát các quy định về bồi thường thiệt hại mang tính trừng phạt và mức phạt, phát đi tín hiệu rằng sức ép thay đổi sẽ vượt ra ngoài phạm vi một doanh nghiệp. Các nền tảng khác đã bắt đầu kiểm tra và kiểm toán an ninh nội bộ. Cuộc thảo luận hiện mở rộng sang các đội ngũ kỹ thuật xuyên biên giới, việc lưu trữ dữ liệu trong nước và câu hỏi liệu các doanh nghiệp có trung tâm phát triển ở nước ngoài có cần biện pháp kiểm soát chặt chẽ hơn khi xử lý dữ liệu người dùng trong nước hay không.

Quy định áp dụng với doanh nghiệp và những thay đổi sắp tới

Theo Đạo luật Bảo vệ Thông tin Cá nhân, doanh nghiệp phải bảo vệ dữ liệu cá nhân bằng các biện pháp kỹ thuật và hành chính phù hợp. Những thiếu sót dẫn đến rò rỉ dữ liệu có thể khiến doanh nghiệp nhận lệnh khắc phục, bị phạt hành chính và phải đối mặt với yêu cầu bồi thường thiệt hại. Mức trần tiền phạt hiện là 3% doanh thu; các đề xuất mới có thể tăng trách nhiệm pháp lý khi gây thiệt hại nghiêm trọng hoặc sơ suất tái diễn. Nhà chức trách cũng đang đánh giá khả năng rút ngắn thời hạn báo cáo, tăng cường kiểm tra bắt buộc đối với các biện pháp kiểm soát quyền truy cập và yêu cầu bằng chứng rõ ràng hơn về việc quản lý khóa cũng như thu hồi quyền truy cập khi nhân viên nghỉ việc hoặc đổi vị trí.

Đối với các nền tảng lớn, bài học rất rõ ràng dù việc thực hiện không dễ. Khóa và mã thông báo cần có thời hạn hiệu lực ngắn. Quyền truy cập phải được giới hạn ở mức tối thiểu cần thiết. Việc thu hồi quyền cần diễn ra tự động và ngay lập tức khi vai trò thay đổi. Hệ thống cảnh báo và phát hiện phải nhận diện các truy vấn bất thường vào cơ sở dữ liệu người dùng. Các đợt kiểm tra đội đỏ nội bộ định kỳ và đánh giá độc lập có thể giúp tìm ra điểm mù. Cơ quan quản lý nhiều khả năng sẽ kỳ vọng doanh nghiệp cho thấy tiến triển rõ rệt về những biện pháp cơ bản này trong mọi kế hoạch khắc phục.

Theo những phát hiện hiện nay, rủi ro tức thời đối với người dùng chủ yếu là các vụ lừa đảo có mục tiêu, chứ không phải việc trực tiếp đánh cắp dữ liệu thanh toán. Dù vậy, những vụ lừa đảo này vẫn có thể gây thiệt hại thực sự, đặc biệt với những người thường dựa vào tin nhắn giao hàng và thông báo trên điện thoại trong sinh hoạt hằng ngày. Kết hợp tên, địa chỉ chính xác và chi tiết đơn hàng gần đây có thể tạo thành mồi nhử rất thuyết phục. Việc hướng dẫn người tiêu dùng và bổ sung các bước xác minh đơn giản trong ứng dụng có thể hạn chế những vụ tấn công này nếu người dùng biết cần cảnh giác với điều gì.

Tóm tắt nhanh

• Khoảng 33,7 triệu tài khoản khách hàng Coupang bị lộ, là vụ rò rỉ lớn nhất tại Hàn Quốc trong hơn một thập kỷ.
• Dữ liệu bị lộ gồm tên, địa chỉ email, số điện thoại, địa chỉ giao hàng và một phần lịch sử đơn hàng. Theo công ty, thông tin thanh toán và mật khẩu không bị lộ.
• Truy cập trái phép được cho là bắt đầu từ ngày 24 tháng 6 và bị phát hiện vào ngày 18 tháng 11.
• Nhà chức trách đang điều tra các điểm yếu trong xác thực và khả năng một cựu nhân viên đã sử dụng các khóa truy cập còn hiệu lực.
• Tổng thống Lee Jae Myung yêu cầu tăng mức phạt và quy trách nhiệm nhanh chóng, đồng thời gọi khoảng thời gian kéo dài nhiều tháng mới phát hiện là đáng kinh ngạc.
• Theo luật hiện hành, cơ quan quản lý có thể phạt tới 3% doanh thu, mức có thể lên tới hàng trăm tỷ won hoặc hơn.
• KISA đã ban hành khuyến cáo công khai, cảnh báo về các nỗ lực lừa đảo và giả mạo có thể lợi dụng dữ liệu liên lạc bị rò rỉ.
• Cảnh sát, KISA và PIPC đã mở cuộc điều tra chung; Coupang cho biết công ty đã chặn đường truy cập và mời chuyên gia bên ngoài tham gia.
• Các hãng luật đang chuẩn bị các vụ kiện tập thể; giới phân tích dự đoán chi phí một lần đáng kể từ tiền bồi thường và các khoản phạt nếu có.
• Vụ việc nối dài một năm có nhiều vụ rò rỉ dữ liệu lớn tại Hàn Quốc và có thể thúc đẩy thay đổi quy định về bảo vệ dữ liệu cũng như kiểm soát quyền truy cập nội bộ.