Ngày 12/11, Ryohin Keikaku, công ty vận hành chuỗi bán lẻ MUJI tại Nhật Bản, tổ chức họp báo về hàng loạt sự cố rò rỉ thông tin khách hàng do các cuộc tấn công mạng. Mở đầu buổi họp, Chủ tịch kiêm Giám đốc điều hành Satoshi Shimizu cúi đầu khoảng 8 giây, gửi lời xin lỗi tới những người bị ảnh hưởng.
"Chúng tôi đã xảy ra sự cố có khả năng làm rò rỉ thông tin khách hàng do bị truy cập trái phép từ bên ngoài. Thành thật xin lỗi", ông Shimizu nói.
Điều khiến dư luận đặc biệt chú ý là việc công ty thừa nhận vẫn lưu trữ nguyên vẹn các số thẻ tín dụng của khách hàng trong nhiều năm, dù đã đến thời điểm phải xóa bỏ dữ liệu này.
Theo thông tin được công bố, ngày 30/10, Ryohin Keikaku thông báo ứng dụng chính thức MUJI App có thể đã bị truy cập trái phép, khiến thông tin khách hàng như địa chỉ email, ngày sinh và các dữ liệu cá nhân khác có nguy cơ bị lộ, với số lượng tối đa khoảng 27,26 triệu bản ghi. Ở thời điểm đó, công ty khẳng định thông tin thẻ tín dụng không bị ảnh hưởng.
Tuy nhiên, đến ngày 4/11, MUJI tiếp tục công bố một thông tin nghiêm trọng hơn: Khoảng 1,09 triệu số thẻ tín dụng MUJI Card có thể đã bị rò rỉ. Đáng chú ý, dữ liệu bị ảnh hưởng chứa đầy đủ 16 chữ số trên thẻ, thay vì chỉ một phần số được hiển thị như thông lệ bảo mật.
Chưa dừng lại, ngày 9/11, công ty tiếp tục xác nhận một cuộc tấn công theo hình thức "credential stuffing" (tấn công nhồi thông tin xác thực). Tin tặc sử dụng các cặp tên đăng nhập và mật khẩu thu thập trái phép từ những nguồn khác để thử đăng nhập vào hệ thống của MUJI. Nếu người dùng sử dụng chung mật khẩu trên nhiều nền tảng, tài khoản của họ có thể bị chiếm quyền truy cập.
Sự cố này khiến khoảng 270.000 bản ghi thông tin khách hàng khác có nguy cơ bị rò rỉ.
Ảnh: Asahi news
Tại cuộc họp báo ngày 12/11, câu hỏi được đặt ra nhiều nhất là vì sao một doanh nghiệp bán lẻ lớn như MUJI lại lưu trữ hàng triệu số thẻ tín dụng ở dạng đầy đủ, không che các chữ số.
Trước chất vấn về việc liệu công ty có áp dụng phương thức bảo mật đủ an toàn hay không, ông Takahiro Miyazawa, một lãnh đạo của Ryohin Keikaku, thừa nhận: "Vấn đề lớn nhất lần này là dữ liệu được lưu trữ trong tình trạng không được che số".
Khi được hỏi tại sao công ty không thực hiện biện pháp bảo vệ này, ông Miyazawa giải thích rằng từ tháng 7/2021, MUJI đã tiến hành thay đổi hệ thống và đáng lẽ phải xóa những dữ liệu thẻ tín dụng cũ. Tuy nhiên, việc xóa bỏ đã không được thực hiện, khiến các thông tin từ trước thời điểm đó vẫn tồn tại trong hệ thống.
Theo Ryohin Keikaku, từ năm 2021, công ty đã chuyển sang lưu trữ số thẻ tín dụng dưới dạng được che một phần. Trước đó, số thẻ được sử dụng để nhận diện khách hàng và phục vụ việc tích lũy điểm thưởng. Dù phương thức này đã thay đổi, dữ liệu cũ vẫn không được xóa như yêu cầu.
Công ty cho biết thông tin về ngày hết hạn thẻ và mã bảo mật không bị rò rỉ.
Đối với khách hàng bị ảnh hưởng, Ryohin Keikaku quyết định chịu toàn bộ phí phát hành lại thẻ MUJI Card. Đại diện doanh nghiệp cũng cam kết sẽ xem xét và có trách nhiệm bồi thường nếu thiệt hại thực tế của khách hàng được xác định.
Một vấn đề khác cũng được đưa ra tại buổi họp báo là quyết định tiếp tục duy trì hoạt động bán hàng trên cửa hàng trực tuyến sau khi phát hiện sự cố rò rỉ thông tin.
Trước câu hỏi liệu đây có phải quyết định đúng đắn hay không, Chủ tịch Satoshi Shimizu cho biết thời điểm đó, ban lãnh đạo nhận định hệ thống chỉ phải đối mặt với một cuộc tấn công đơn lẻ. Do đó, công ty cho rằng có thể khoanh vùng và xử lý sự cố tại khu vực bị ảnh hưởng mà không cần dừng toàn bộ hoạt động kinh doanh.
"Tuy nhiên, nhìn lại thời điểm đó, chúng tôi thực sự nhận thấy lẽ ra mình nên hành động sớm hơn", ông Shimizu thừa nhận.
Hiện hoạt động bán hàng trên MUJI Online Store đã tạm dừng và chưa có thời điểm mở cửa trở lại. Nếu dịch vụ được khôi phục, công ty sẽ yêu cầu các thành viên thay đổi mật khẩu để tăng cường bảo mật tài khoản.
Nguồn: FNN
Phạm Trang
