Revolve bị rò rỉ dữ liệu: Ít nhất 180.000 khách hàng bị lộ thông tin thẻ thanh toán

Revolve – thương hiệu bán lẻ thời trang trực tuyến nổi tiếng của Mỹ – đang gửi thông báo tới ít nhất 180.000 khách hàng rằng thông tin cá nhân và dữ liệu thẻ thanh toán của họ đã bị đánh cắp trong một vụ xâm nhập hệ thống.

Minh họa vụ rò rỉ dữ liệu

Diễn biến vụ việc

Theo hồ sơ gửi lên Ủy ban Chứng khoán và Giao dịch Hoa Kỳ (SEC), sự cố xảy ra vào ngày 11/9, liên quan đến việc tin tặc truy cập trái phép vào một số hệ thống nhất định, trong đó có nền tảng mua sắm trực tuyến của công ty.

Ngay sau khi phát hiện cuộc tấn công, Revolve đã kích hoạt quy trình ứng phó sự cố, đồng thời ngăn chặn và khắc phục các hoạt động truy cập bất hợp pháp. Quá trình điều tra cho thấy những kẻ tấn công có thể đã truy cập và lấy đi họ tên, địa chỉ, số thẻ thanh toán và ngày hết hạn thẻ của những khách hàng từng lưu các dữ liệu này trong tài khoản trên nền tảng thương mại điện tử của hãng.

"Sự cố này không gây gián đoạn vận hành hay làm ngắt dịch vụ đối với bất kỳ khách hàng nào, và tính đến thời điểm báo cáo này, công ty không cho rằng sự việc sẽ tác động trọng yếu đến hoạt động kinh doanh", Revolve cho biết trong hồ sơ gửi SEC.

Phạm vi ảnh hưởng

Nhà bán lẻ thời trang này cho biết đã thông báo cho cơ quan thực thi pháp luật và thuê một công ty an ninh mạng bên ngoài hỗ trợ khắc phục hậu quả.

Tuần trước, công ty bắt đầu gửi thông báo đến những cá nhân có khả năng bị ảnh hưởng. Dựa trên các hồ sơ nộp lên văn phòng Tổng chưởng lý tại các bang Iowa, Massachusetts, Texas và Vermont, Revolve đã gửi thư thông báo tới ít nhất 179.259 người.

Đáng chú ý, công ty không cung cấp miễn phí dịch vụ giám sát danh tính hay tín dụng cho những người bị ảnh hưởng, mà chỉ nhắc nhở họ kiểm tra kỹ sao kê tài khoản và cảnh giác với các dấu hiệu gian lận hoặc đánh cắp danh tính.

An ninh mạng và bảo vệ dữ liệu cá nhân

Những điểm còn bỏ ngỏ

Revolve hiện chưa công bố con số chính xác số người bị ảnh hưởng, cũng như không tiết lộ danh tính của nhóm tin tặc hay phương thức chúng xâm nhập hệ thống. SecurityWeek đã liên hệ với công ty để đề nghị cung cấp thêm thông tin và sẽ cập nhật bài viết nếu nhận được phản hồi.

Vụ việc của Revolve nằm trong chuỗi sự cố an ninh mạng liên tiếp nhắm vào các doanh nghiệp thương mại điện tử gần đây. Trước đó, hàng loạt tổ chức như Chainalysis, Genesys hay một số đơn vị y tế tại Mỹ cũng đã công bố các vụ rò rỉ dữ liệu với quy mô lớn.

Bài học cho người dùng và doanh nghiệp

Với người tiêu dùng, vụ việc là lời nhắc nhở về rủi ro khi lưu thông tin thẻ thanh toán trên các nền tảng mua sắm trực tuyến. Người dùng nên:

• Hạn chế lưu số thẻ và ngày hết hạn trong tài khoản mua sắm, trừ khi thực sự cần thiết
• Thường xuyên kiểm tra sao kê và bật thông báo giao dịch theo thời gian thực
• Ưu tiên các phương thức thanh toán trung gian có lớp bảo vệ bổ sung thay vì nhập trực tiếp số thẻ
• Cảnh giác với các email, tin nhắn giả mạo yêu cầu cung cấp lại thông tin cá nhân sau sự cố

SecurityWeek - Tin tức an ninh mạng

Với doanh nghiệp, câu chuyện của Revolve cho thấy tầm quan trọng của việc mã hóa dữ liệu thanh toán, giới hạn quyền truy cập vào hệ thống chứa thông tin nhạy cảm và xây dựng quy trình ứng phó sự cố sẵn sàng trước khi bị tấn công. Việc không triển khai dịch vụ giám sát danh tính miễn phí cho khách hàng bị ảnh hưởng cũng có thể ảnh hưởng đến uy tín thương hiệu trong mắt người tiêu dùng.