Ngày 7/11/2018, một thành viên của diễn đàn RaidForums đã đăng tải thông tin được cho là dữ liệu của hơn 5 triệu khách hàng Thế Giới di động. Những thông tin bị rỏ rì bao gồm địa chỉ email, lịch sử giao dịch và thậm chí là cả số thẻ ngân hàng.
Các dữ liệu được chia sẻ
Vào lúc 11:00, ngày 7/11/2018, thành viên erwincho của diễn đàn RaidForums đã đăng tải thông tin chia sẻ dữ liệu được cho là của một trong những công ty bán lẻ thiết bị số lớn nhất Việt Nam – Thế Giới di động (TGDĐ). Erwincho không công bố cách thức khai thác dữ liệu này. Chỉ biết rằng, những thông tin được công khai trên các trang chia sẻ tập tin mọi người dùng đều có thể tải về và sử dụng.
Các thông tin đã được chia sẻ bao gồm:
– Lịch sử giao dịch (khoảng 31.000 bản ghi) của khách hàng TGDĐ và Điện Máy Xanh. Bao gồm: thời gian, số thẻ (đã bị ẩn một vài chữ số), số tiền, phí và nhiều thông tin khác.
– Khoảng 5,4 triệu địa chỉ email của khách hàng và 61.000 địa chỉ email nội bộ của TGDĐ.
14:00 cùng ngày, thành viên này tiếp tục cập nhật phần tiếp theo của dữ liệu được chia sẻ. Đáng lưu ý, toàn bộ thông tin thẻ thanh toán của người dùng, với đầy đủ số thẻ đều được tiết lộ.
Tuy nhiên, chỉ vài giờ sau khi đăng tải, trang chủ của diễn đàn RaidForums đã không thể truy cập. Người dùng nhận được thông báo “The maximum server load limit has been reached. Please check back later once the server is less busy”.
Phản hồi của Thế giới di động
Ngay sau khi thông tin về vụ việc được đăng tải, ông Đặng Thanh Phong, Trưởng phòng truyền thông của TGDĐ đã đưa ra thông báo chính thức, phủ nhận toàn bộ sự việc trên và cho rằng hệ thống của công ty vẫn an toàn, hoạt động bình thường.
Cụ thể, vị đại diện này cho biết, Thế Giới Di Động đã nhận được thông tin phản ánh, nhưng sau quá trình kiểm tra cho thấy, tất cả các thông tin được lan truyền đều là giả. TGDĐ không lưu trữ thông tin thẻ thanh toán của khách hàng nên không có việc những thông tin này bị rò rỉ từ hệ thống của TGDĐ.
Khi khách hàng giao dịch tại các cửa hàng sẽ sử dụng máy POS đọc thẻ của ngân hàng. Về bản chất là các ngân hàng đang truy vấn, thao tác với dữ liệu thẻ của khách hàng. Tương tự với trường hợp khách hàng thanh toán trực tuyến qua trang web của TGDĐ, cổng thanh toán được thực hiện bởi bên thứ ba. Hệ thống của TGDĐ không can thiệp vào quá trình này. Điều này một lần nữa khẳng định, TGDĐ không thể lưu các thông tin thẻ thanh toán của khách, thông báo gửi báo chí của TGDĐ viết.
Ý kiến của các chuyên gia
Ông Trần Minh Quảng, chuyên gia bảo mật của Tập đoàn Công nghiệp – Viễn thông Quân đội Viettel nhận định, Qua thông tin được cung cấp, chưa thể xác định được việc TGDĐ bị tấn công mạng gây rò rỉ dữ liệu người dùng. Tuy nhiên, những thông tin khách hàng bị lộ là thật. Mặc dù, trong các thông tin bị rò rỉ, có một số thông tin cá nhân như email, số thẻ ngân hàng,… Tuy nhiên, kẻ xấu không thể sử dụng được các thông tin này để trục lợi từ khách hàng, bởi còn nhiều bước xác thực khác (như mật khẩu, mã OTP…) trước khi thanh toán. Các thông tin hiện tại có thể sử dụng để giả mạo, lừa đảo… nên các khách hàng cần thận trọng khi thực hiện các giao dịch, đảm bảo không thực hiện giao dịch tại các trang web không chính thức; thận trọng khi nhận các email liên quan đến thông tin tài chính, thẻ ngân hàng.
Mai Trần (Ban Cơ yếu Chính phủ)
