Asos xác nhận rò rỉ dữ liệu khách hàng sau khi hacker gửi thông báo lừa đảo qua ứng dụng

Gã khổng lồ thời trang trực tuyến Asos (Anh) vừa lên tiếng xác nhận vụ rò rỉ dữ liệu cá nhân của khách hàng, sau khi tin tặc sử dụng chính ứng dụng của hãng để gửi thông báo cho người dùng rằng công ty đã bị xâm phạm.

Theo hồ sơ gửi lên Sở Giao dịch Chứng khoán London, Asos cho biết tin tặc đã đột nhập vào một nền tảng của bên thứ ba — nơi lưu trữ dữ liệu mà công ty dùng để liên lạc với khách hàng. Những thông tin bị đánh cắp bao gồm tên và các dữ liệu liên hệ của khách hàng.

Dữ liệu nào bị đánh cắp?

Theo BBC News, dữ liệu bị rò rỉ bao gồm địa chỉ nhà, số điện thoại và địa chỉ email, cùng các ghi chú liên quan đến hồ sơ khách hàng như lịch sử tìm kiếm trên website. Với 17 triệu khách hàng theo thống kê trên trang chủ Asos, quy mô ảnh hưởng của vụ việc là rất đáng lo ngại.

Đáng chú ý, tin tặc còn gửi một "thông báo khách hàng trái phép" — nhiều người dùng sau đó đã chia sẻ lại lên mạng xã hội. Thông báo này nhắm trực tiếp đến bộ phận bảo vệ dữ liệu và phòng IT của Asos, tuyên bố rằng nhóm này đã "xâm phạm hoàn toàn" dữ liệu của công ty được lưu trữ trên Snowflake — nền tảng cho phép khách hàng doanh nghiệp phân tích khối lượng lớn dữ liệu.

"Hãy hợp tác với chúng tôi, nếu không chúng tôi sẽ rò rỉ dữ liệu" — nội dung thông báo mà tin tặc gửi đến khách hàng Asos.

Chiêu trò gây sức ép của tin tặc

Việc lợi dụng chính hệ thống thông báo đẩy (push notification) của ứng dụng để cảnh báo khách hàng cho thấy tin tặc đang cố gắng gây sức ép buộc Asos phải đàm phán, nếu không muốn dữ liệu bị đánh cắp bị công bố công khai trực tuyến.

Theo Bleeping Computer, nhóm tin tặc này đã đột nhập vào phiên bản Snowflake của Asos bằng cách "mạo danh một liên hệ đáng tin cậy để lấy thông tin đăng nhập". Về phía Snowflake, công ty khẳng định hệ thống của họ không bị xâm phạm.

Hiện vẫn chưa rõ liệu phiên bản Snowflake do Asos vận hành có được bảo vệ bằng xác thực đa yếu tố (MFA) hay không. Cũng chưa xác định được cách tin tặc truy cập vào hệ thống gửi thông báo trong ứng dụng của Asos — vốn thường được xử lý bởi một dịch vụ bên thứ ba.

Ai đứng sau vụ tấn công?

Nhóm tin tặc với tên gọi Xuanye Group chưa tiết lộ khối lượng dữ liệu mà chúng đang nắm giữ. Đây không phải là trường hợp đơn lẻ: hồi đầu năm nay, nền tảng fintech Betterment cũng bị xâm phạm theo cách tương tự khi tin tặc lợi dụng quyền truy cập vào nền tảng marketing của bên thứ ba để mạo danh công ty và gửi tin nhắn lừa đảo tiền mã hóa đến khách hàng. Trong vụ đó, tin tặc cũng lấy đi tên, email và số điện thoại của người dùng.

Bài học cho doanh nghiệp và người dùng Việt Nam

Sự việc của Asos là lời cảnh tỉnh cho các doanh nghiệp, đặc biệt là những đơn vị đang phụ thuộc vào nền tảng đám mây và dịch vụ bên thứ ba để xử lý dữ liệu khách hàng. Một số khuyến nghị quan trọng:

• Bật xác thực đa yếu tố (MFA) cho mọi tài khoản có quyền truy cập dữ liệu nhạy cảm.
• Rà soát quyền truy cập của các dịch vụ bên thứ ba và áp dụng nguyên tắc đặc quyền tối thiểu.
• Giám sát bất thường trong hệ thống thông báo và liên lạc với khách hàng.
• Cảnh giác với thông báo đẩy đáng ngờ từ các ứng dụng mà bạn đang sử dụng.

Với người dùng, nếu từng mua hàng trên Asos hoặc các nền tảng thương mại điện tử quốc tế, nên chủ động thay đổi mật khẩu, cảnh giác với các email hoặc tin nhắn lạ có dấu hiệu lừa đảo, và bật xác thực hai lớp cho tài khoản cá nhân để hạn chế rủi ro.