Nhà phân phối Shelly tại Anh cảnh báo dữ liệu thanh toán bị đánh cắp sau khi phát hiện mã độc trên website

Một nhà phân phối thiết bị nhà thông minh Shelly tại Anh đã phát đi cảnh báo tới khách hàng rằng dữ liệu thanh toán của họ có thể đã bị xâm phạm, sau khi phát hiện "phần mềm trái phép" trên website của mình.

Phát hiện mã độc từ cảnh báo của Stripe

Theo email mà Shelly Store UK gửi cho khách hàng (được The Register ghi nhận), sự việc bắt đầu khi đơn vị xử lý thanh toán Stripe gửi cảnh báo. Sau khi điều tra, công ty phát hiện mã độc trái phép đã được cài trên website và máy chủ của mình.

"Sau khi nhận được cảnh báo từ nhà cung cấp thanh toán Stripe, chúng tôi đã điều tra và phát hiện phần mềm trái phép trên website và máy chủ của mình."

Công ty cho biết đã gỡ bỏ phần mềm độc hại, tăng cường bảo mật truy cập, cập nhật bản vá bảo mật và triển khai giám sát liên tục. Sự cố cũng đã được báo cáo lên Văn phòng Ủy viên Thông tin (ICO) của Anh.

Shelly Store UK thừa nhận không thể xác định liệu dữ liệu khách hàng có bị truy cập hay sao chép hay không, nhưng đang liên hệ với toàn bộ khách hàng đã đặt hàng trong khoảng thời gian bị ảnh hưởng.

Khách hàng bị trừ tiền gian lận trước khi nhận thông báo

Một khách hàng cho biết chỉ vài giờ trước khi nhận được email từ Shelly Store UK, họ đã bắt đầu khiếu nại với ngân hàng phát hành thẻ sau khi phát hiện giao dịch 221,28 bảng Anh tại Australia vào ngày 26/10 sử dụng thông tin thẻ của mình.

Người này nghi ngờ toàn bộ thông tin thẻ đã bị đánh cắp trong khoảng thời gian từ ngày 12/10 — khi họ đặt đơn hàng đầu tiên và duy nhất với công ty — đến ngày 27/10, thời điểm nhận được thông báo về sự cố.

Ngoài dữ liệu thẻ thanh toán, khách hàng còn có thể bị lộ họ tên, địa chỉ thanh toán và thông tin liên hệ. Shelly Store UK khuyến nghị khách hàng liên hệ với ngân hàng để xác định xem có cần thay thẻ mới hay không, đồng thời rà soát lịch sử giao dịch và báo cáo các khoản đáng ngờ.

Công ty cũng lưu ý người dùng cảnh giác với các liên lạc yêu cầu cung cấp dữ liệu như thông tin thanh toán và mã bảo mật, đồng thời đề nghị đặt lại mật khẩu.

Ranh giới giữa thương hiệu và nhà phân phối

Điều đáng chú ý là Shelly Store UK chỉ là nhà phân phối được ủy quyền các sản phẩm nhà thông minh Shelly, hoàn toàn độc lập với công ty mẹ Shelly Group.

"Shelly Store là nhà phân phối của Shelly và không thuộc sở hữu, không do Shelly Group quản lý hay trực thuộc trực tiếp Shelly Group. Chúng tôi không quản lý website, hoạt động kinh doanh của Shelly Store, và không dẫn hướng khách hàng từ bất kỳ website nào của chúng tôi tới Shelly Store UK."

Phía Shelly Group khẳng định không liên quan đến sự cố này.

Bài học cho người dùng thiết bị nhà thông minh

Sự việc là lời nhắc nhở với người tiêu dùng, đặc biệt là những ai mua thiết bị IoT như Shelly qua các kênh phân phối độc lập:

• Ưu tiên thanh toán qua cổng trung gian có bảo vệ người mua, hạn chế nhập trực tiếp thông tin thẻ vào các website nhỏ lẻ.
• Theo dõi sao kê thường xuyên và bật thông báo giao dịch để phát hiện sớm các khoản bất thường.
• Cảnh giác với email lừa đảo giả danh sau sự cố, vì các vụ rò rỉ dữ liệu thường kéo theo làn sóng tấn công phishing nhắm vào nạn nhân.
• Đặt lại mật khẩu và bật xác thực hai lớp cho tài khoản liên quan.

Với người dùng tại Việt Nam mua thiết bị nhà thông minh qua các nhà phân phối nhỏ hoặc sàn thương mại điện tử, câu chuyện này càng cho thấy tầm quan trọng của việc kiểm tra uy tín đơn vị bán hàng và cảnh giác với rủi ro lộ thông tin thanh toán.