Dữ liệu khách hàng Trump Mobile bị rò rỉ, có người chưa từng nhận được điện thoại vàng

Trump Mobile — thương hiệu di động gắn với tên tuổi Tổng thống Mỹ Donald Trump — vừa trở thành tâm điểm của một vụ rò rỉ dữ liệu nghiêm trọng. Nhóm ransomware BYOD tuyên bố đã xâm nhập hệ thống của nhà mạng này và công bố dữ liệu cá nhân của 3.615 khách hàng. Đáng chú ý, một số người dùng cho biết họ đã đặt cọc tiền mua điện thoại nhưng chưa từng nhận được sản phẩm.

Vụ rò rỉ dữ liệu quy mô lớn

Theo tuyên bố đăng trên trang web rò rỉ của BYOD, nhóm tội phạm mạng này đã đánh cắp tên, địa chỉ email, số điện thoại, địa chỉ nhà riêng và thông tin đơn hàng của hàng nghìn khách hàng Trump Mobile.

BYOD là một chiến dịch ransomware-as-a-service (RaaS) mới nổi, và Trump Mobile chỉ là tổ chức thứ ba bị nhóm này đưa lên trang rò rỉ dữ liệu. Theo nội dung mà nhóm này công bố, sau khi thông báo cho Trump Mobile về việc bị xâm nhập, phía nhà mạng được cho là đã trả lời:

"Chúng tôi không có đội ngũ nào để xử lý việc này" và "Bất kỳ ai hack họ đều là khủng bố."

Trang rò rỉ của BYOD sau đó viết: "Thật không may cho họ, toàn bộ 3.615 khách hàng cùng thông tin cá nhân và chi tiết viễn thông giờ đây đều có thể bị truy cập. Cứ tự nhiên mà xem, đừng ngại — chúng tôi (và cả họ) chắc chắn không ngăn cản bạn đâu."

Lỗ hổng từ chuỗi cung ứng và thiếu xác thực đa yếu tố

Theo thông tin mà nhóm tấn công chia sẻ với International Cyber Digest, chúng đã lây nhiễm infostealer vào máy tính của một nhân viên Liberty Mobile, sau đó truy cập Trump Mobile thông qua nhà mạng ảo (MVNO) này.

BYOD khẳng định vẫn còn quyền truy cập vào hệ thống của Trump Mobile và cho biết cả hai nhà mạng đều không sử dụng bất kỳ hình thức xác thực đa yếu tố (MFA) nào. Đây là một lỗ hổng bảo mật nghiêm trọng, đặc biệt với một dịch vụ viễn thông xử lý dữ liệu cá nhân của hàng nghìn người dùng.

Cả Trump Organization lẫn Liberty Mobile đều không phản hồi yêu cầu bình luận của The Register về vụ việc này.

Dữ liệu rò rỉ không bao gồm gia đình Trump

Theo Straight Arrow News — đơn vị đầu tiên đưa tin và đã xác minh một số thông tin khách hàng — dữ liệu bị phát tán không chứa thông tin chi tiết về Tổng thống Donald Trump hay các thành viên gia đình ông. Điều này phần nào cho thấy gia đình Trump có thể không sử dụng chính sản phẩm do mình quảng bá.

Tuy nhiên, dữ liệu rò rỉ lại bao gồm thông tin cá nhân của Eric Brunnett, phó chủ tịch kiêm giám đốc thông tin (CIO) của Trump Organization. Theo hồ sơ LinkedIn của Brunnett, ông phụ trách "toàn bộ công nghệ thông tin và an ninh thông tin cho mọi hoạt động của Trump Organization."

Khách hàng đặt cọc nhưng chưa nhận được điện thoại

Một khách hàng được Straight Arrow liên hệ cho biết anh đã đặt cọc 100 USD từ năm ngoái để đặt trước chiếc smartphone chủ lực của Trump Mobile — mẫu T1 — nhưng chưa bao giờ nhận được chiếc điện thoại màu vàng mà mình đã trả tiền.

Đây không phải lần đầu tiên Trump Mobile gặp vấn đề về bảo mật. Trước hai vụ xâm nhập này, vào tháng 5, một nhà nghiên cứu bảo mật tự nhận là "Louis" đã tuyên bố phát hiện một lỗ hổng trên website khiến thông tin khách hàng Trump Mobile bị rò rỉ. Lỗ hổng này sau đó đã được vá. Người này mô tả mình là "một kẻ mọt công nghệ đang thất nghiệp với quá nhiều thời gian rảnh", và cho biết dữ liệu trên website có thể bị thu thập chỉ bằng một yêu cầu POST đơn giản.

Một nhóm tội phạm khác cũng nhận trách nhiệm

Đáng chú ý, một nhóm tội phạm mạng khác có tên EndZone cũng tuyên bố đã xâm nhập Trump Mobile và phát tán một tập dữ liệu bị đánh cắp một tuần trước khi BYOD đăng tải thông tin. Theo chuyên gia bảo mật Dominic Alvieri, đây "có vẻ là cùng một vụ xâm nhập ban đầu."

Sự việc cho thấy các nhà mạng ảo (MVNO) như Trump Mobile thường đối mặt với rủi ro bảo mật cao, đặc biệt khi phụ thuộc vào hạ tầng của đối tác mà không có các biện pháp bảo vệ độc lập. Với người dùng tại Việt Nam, đây cũng là lời nhắc nhở về tầm quan trọng của xác thực đa yếu tố và việc cân nhắc kỹ trước khi cung cấp thông tin cá nhân cho các dịch vụ mới nổi chưa có uy tín về bảo mật.