Iris Ohyama lộ dữ liệu khoảng 7,7 triệu khách hàng do dịch vụ cloud bên thứ ba bị truy cập trái phép

Tập đoàn sản xuất đồ gia dụng Nhật Bản Iris Ohyama, đơn vị vận hành sàn mua sắm trực tuyến Iris Plaza, cho biết thông tin cá nhân của khoảng 7,7 triệu người có thể đã bị lộ sau khi một dịch vụ cloud bên thứ ba mà công ty sử dụng bị truy cập trái phép. Theo BleepingComputer, phạm vi ảnh hưởng có thể lên tới 5,8 triệu thành viên đang và đã từng đăng ký, cùng 1,9 triệu khách không phải thành viên. Công ty vẫn đang xác định chính xác số bản ghi bị lộ.

Diễn biến sự cố

Iris Plaza phát hiện sự cố vào cuối tháng 10. Ngày 28/10, công ty tạm dừng cửa hàng trực tuyến (SIMPLE STYLE) và các hệ thống liên quan, đồng thời dừng cả các website dịch vụ của Iris Tech Service như thuê bao thiết bị gia dụng, giao và lắp đặt đồ nội thất. Thông báo đầu tiên được đưa ra ngày 29/10, cùng ngày công ty báo cáo Uỷ ban Bảo vệ Thông tin cá nhân Nhật Bản và cảnh sát.

Trong bản cập nhật đầu tháng 11, công ty cho biết đã phát hiện một tệp đáng ngờ trên dịch vụ cloud bên ngoài mà Iris Plaza sử dụng, và xác nhận có truy cập trái phép từ bên thứ ba. Dữ liệu khách hàng lưu trên dịch vụ này có thể đã bị đọc.

Dữ liệu nào bị ảnh hưởng

Theo thông báo, các loại thông tin có thể bị lộ gồm họ tên, địa chỉ, số điện thoại, email, giới tính, ngày sinh và mật khẩu tài khoản. Mức độ khác nhau theo từng người, ví dụ cựu thành viên không còn được lưu mật khẩu. Với thành viên đang hoạt động, Iris Plaza cho biết mật khẩu được lưu ở dạng mã hoá nhưng không nói rõ dùng cơ chế nào. Thông tin thẻ tín dụng không nằm trên dịch vụ cloud bị xâm nhập.

Tính đến ngày 5/11, công ty chưa nhận được báo cáo nào về việc dữ liệu bị lạm dụng hay thiệt hại tài chính. Người phát ngôn cho BleepingComputer biết công ty chưa nhận liên lạc trực tiếp nào từ kẻ tấn công và chưa xác định được thủ phạm.

Rủi ro nằm ở dịch vụ bên ngoài

Điểm đáng chú ý của vụ việc là dữ liệu không bị lấy từ hệ thống lõi của doanh nghiệp mà từ một dịch vụ cloud bên ngoài phục vụ cửa hàng trực tuyến. Đây là kịch bản ngày càng phổ biến: doanh nghiệp đẩy dữ liệu sang nhiều dịch vụ SaaS và kho lưu trữ đám mây để vận hành nhanh hơn, nhưng mỗi dịch vụ lại là một bề mặt tấn công có chính sách truy cập, khoá API và nhật ký riêng. Một cấu hình sai hoặc một thông tin đăng nhập bị lộ ở đó đủ để mở ra kho dữ liệu khách hàng hàng triệu người.

Việc mật khẩu được "mã hoá" mà không nêu rõ cơ chế cũng là điểm cần lưu ý. Thực hành tốt là băm mật khẩu bằng thuật toán chuyên dụng có muối (như bcrypt hoặc Argon2) thay vì mã hoá có thể giải ngược.

Góc nhìn NTEK

Doanh nghiệp bán lẻ và thương mại điện tử ở Việt Nam đang dùng nhiều dịch vụ cloud và SaaS cho website, CRM, email marketing và kho dữ liệu. Trong bối cảnh quy định bảo vệ dữ liệu cá nhân ngày càng chặt, câu hỏi cần trả lời là: dữ liệu khách hàng đang nằm ở những dịch vụ bên ngoài nào, ai có khoá truy cập, có bật nhật ký và cảnh báo truy cập bất thường hay không. Kiểm kê luồng dữ liệu, tối thiểu hoá dữ liệu lưu ở bên thứ ba, mã hoá dữ liệu khi lưu trữ và chuẩn bị sẵn quy trình ứng cứu sự cố là các bước nên làm trước khi có sự cố như Iris Plaza.

Nguồn: BleepingComputer