Kẻ trộm lấy thẻ nhớ SD chứa ảnh học sinh, trường học Anh lo ngại rò rỉ dữ liệu

Một vụ trộm theo kiểu "đập kính, chộp đồ" nhắm vào xe của một nhiếp ảnh gia đang khiến dữ liệu cá nhân của học sinh tại một trường trung học ở Anh đứng trước nguy cơ bị xâm phạm. Đây là lời cảnh tỉnh về những lỗ hổng bảo mật dữ liệu tưởng chừng rất nhỏ trong chuỗi cung ứng dịch vụ.

Sự việc gì đã xảy ra?

Ông Jon Curtis-Brignell, hiệu trưởng Trường Priory ở Lewes (Anh), cho biết trong một email gửi phụ huynh rằng công ty được nhà trường thuê chụp ảnh thường niên cho học sinh đã thông báo về việc dữ liệu bị đánh cắp sau khi một xe của họ bị đột nhập.

Theo nội dung email, công ty Pret-a-Portrait thông báo rằng trong khoảng thời gian ban đêm từ ngày 6 đến ngày 7 tháng 10, một trong những xe của họ đã bị đập kính, và kẻ gian lấy đi một túi máy ảnh bên trong có các thẻ nhớ SD.

"Một số thẻ nhớ này có thể chứa ảnh chụp tại Trường Priory, cùng với hình ảnh của các thẻ mã QR dùng cho ảnh học sinh, trong đó hiển thị tên học sinh và tên lớp", hiệu trưởng viết.

Đáng chú ý, thiết bị dùng để chụp ảnh tại Trường Priory còn được sử dụng cho ba hợp đồng chụp ảnh khác sau khi công ty đến trường vào ngày 1 tháng 10.

Mức độ ảnh hưởng và phản hồi

Pret-a-Portrait — công ty có văn phòng tại Anh, Qatar và UAE — cho biết họ tin rằng "phần lớn, nếu không muốn nói là toàn bộ" các tệp chứa dữ liệu học sinh có thể đã bị ghi đè, nhưng không thể chắc chắn hoàn toàn.

Các thông tin có khả năng bị ảnh hưởng bao gồm ảnh chụp, tên học sinh và thông tin lớp học liên quan đến quá trình chụp ảnh. Tuy nhiên, các loại dữ liệu khác như địa chỉ, thông tin liên hệ, dữ liệu tài chính, thông tin y tế và hồ sơ bảo vệ trẻ em lưu trữ trong hệ thống của nhà trường vẫn an toàn.

Ông Nick Kerr, chủ sở hữu Pret-a-Portrait, cho biết không có ảnh in vật lý nào được lưu trong xe vào thời điểm bị đột nhập, đồng thời việc xác định phạm vi vi phạm bảo vệ dữ liệu là không thể chắc chắn.

"Như email từ Trường Priory giải thích, con số có thể nằm ở đâu đó giữa một tập nhỏ ảnh của trường và không có ảnh nào cả", Kerr nói.

Ông cũng nhấn mạnh chưa có bằng chứng nào cho thấy các tệp bị truy cập trái phép, dựa trên phân tích cho thấy không có sự truy cập bất thường nào giữa thời điểm bị trộm và thời điểm ảnh bị gỡ xuống.

Các biện pháp khắc phục

Theo email của hiệu trưởng, Pret-a-Portrait đã thực hiện nhiều bước để giảm thiểu thiệt hại tiềm tàng:

• Gỡ toàn bộ ảnh học sinh xuống khỏi hệ thống trực tuyến
• Thay đổi mã định danh (ID) dùng để truy cập ảnh
• Thay đổi quy trình để xóa sạch toàn bộ thẻ nhớ SD sau mỗi hợp đồng chụp ảnh
• Xem xét và tăng cường quy trình nội bộ sau sự cố
• Báo cáo vụ việc cho cảnh sát và Cơ quan Bảo vệ Dữ liệu Anh (ICO)

Việc thẻ nhớ chứa dữ liệu học sinh không được mã hóa hoặc xóa ngay sau khi chụp phản ánh một lỗ hổng phổ biến trong quy trình xử lý dữ liệu của các nhà cung cấp dịch vụ bên thứ ba.

Bài học cho doanh nghiệp và nhà trường

Sự cố này là lời nhắc nhở rằng bảo vệ dữ liệu không chỉ nằm ở hệ thống máy chủ hay đám mây, mà còn ở những thiết bị vật lý dễ bị tổn thương nhất — như thẻ nhớ SD trong túi máy ảnh.

Đối với các tổ chức tại Việt Nam, đặc biệt là trường học và đơn vị cung cấp dịch vụ có thu thập dữ liệu cá nhân của trẻ em, bài học này càng trở nên quan trọng trong bối cảnh Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân đang được siết chặt. Các biện pháp cần cân nhắc bao gồm:

• Mã hóa dữ liệu ngay trên thiết bị ghi nhận
• Xóa dữ liệu tự động sau khi hoàn tất xử lý
• Hợp đồng ràng buộc trách nhiệm bảo mật rõ ràng với nhà cung cấp dịch vụ bên thứ ba
• Kiểm tra định kỳ quy trình xử lý dữ liệu của các đối tác

Ông Curtis-Brignell chia sẻ thêm: "Chúng tôi muốn công khai với các gia đình về những gì đã xảy ra, đồng thời trấn an rằng hiện chưa có bằng chứng nào cho thấy thông tin bị truy cập hoặc sử dụng sai mục đích, và nhiều biện pháp đã được thực hiện để ngăn chặn truy cập vào những bức ảnh bị ảnh hưởng, cũng như giảm nguy cơ sự cố tương tự tái diễn".

Vụ việc hiện vẫn đang được cơ quan chức năng và ICO điều tra, trong khi nhà trường khẳng định sẽ tiếp tục phối hợp chặt chẽ với cán bộ bảo vệ dữ liệu để theo dõi tình hình.