Rò rỉ dữ liệu 3,2 triệu khách hàng Burger King Nga: HIBP xác nhận vụ tấn công vào nền tảng marketing Mindbox

Have I Been Pwned (HIBP) vừa xác nhận rằng vụ tấn công mạng nhắm vào Mindbox — nền tảng marketing của Burger King Nga — đã làm rò rỉ dữ liệu cá nhân của 3,2 triệu khách hàng. Dữ liệu bị đánh cắp bao gồm tên, ngày sinh, email, số điện thoại, giới tính và khu vực sinh sống, kéo dài suốt hơn sáu năm kể từ tháng 5/2018.

Diễn biến vụ việc

Theo xác nhận từ Troy Hunt, người sáng lập dịch vụ Have I Been Pwned, dữ liệu rò rỉ từ vụ tấn công tháng 8/2024 vào Mindbox đã được thu thập và phân tích đầy đủ. Kẻ tấn công đã khai thác nền tảng này để trích xuất thông tin cá nhân cơ bản của khách hàng — tương tự như việc "hút" dữ liệu từ một bể chứa.

Burger King Nga đã lên tiếng xác nhận sự việc vào tháng 10/2024, khẳng định rằng không có dữ liệu tài chính hay hộ chiếu nào bị ảnh hưởng.

"Dữ liệu của khách hàng chuỗi nhà hàng Burger King có thể nằm trong số những dữ liệu bị ảnh hưởng bởi cuộc tấn công. Burger King xác nhận rằng dữ liệu cá nhân đang được kiểm tra không bao gồm chi tiết thanh toán: thông tin giao dịch công khai không được truyền hoặc lưu trữ bởi bên thứ ba."

Công ty cũng nhấn mạnh rằng nền tảng Mindbox và các bên thứ ba khác không có quyền truy cập vào thông tin hộ chiếu cá nhân hay dữ liệu thanh toán của khách hàng Burger King.

Phạm vi và mức độ nghiêm trọng

Điều đáng chú ý là dữ liệu bị đánh cắp có "tuổi đời" khá lâu — trải dài hơn sáu năm, bắt đầu từ tháng 5/2018. Các báo cáo thời điểm đó cho biết dữ liệu rò rỉ chứa hơn 5,6 triệu dòng thông tin, bao gồm cả món ăn yêu thích và ngày đặt hàng trước đó của khách hàng, dù HIBP không đề cập đến những chi tiết này.

Đáng lo ngại hơn, theo trang tin an ninh mạng Nga Xakep, vụ tấn công vào Mindbox có thể liên quan đến các vụ xâm nhập khác và được cho là do một kẻ tấn công duy nhất thực hiện. Trong số các cửa hàng được cho là bị ảnh hưởng có Detsky Mir — nhà bán lẻ đồ chơi trẻ em lớn nhất nước Nga — với hơn 1 triệu người dùng được báo cáo bị ảnh hưởng.

Bài học cho doanh nghiệp và người dùng

Vụ việc này một lần nữa nhấn mạnh rủi ro từ chuỗi cung ứng bên thứ ba trong lĩnh vực marketing và dữ liệu khách hàng. Khi một nền tảng trung gian như Mindbox bị xâm phạm, hàng loạt thương hiệu lớn có thể bị kéo theo.

Đối với người dùng tại Việt Nam, đây là lời nhắc nhở về tầm quan trọng của việc:

• Hạn chế chia sẻ thông tin cá nhân không cần thiết khi đăng ký các chương trình khuyến mãi, thẻ thành viên
• Sử dụng mật khẩu mạnh và duy nhất cho từng dịch vụ, kết hợp xác thực hai yếu tố
• Kiểm tra định kỳ trên Have I Been Pwned để biết tài khoản của mình có nằm trong các vụ rò rỉ hay không
• Cảnh giác với các cuộc gọi, email lừa đảo có thể phát sinh từ dữ liệu bị lộ

Các doanh nghiệp Việt Nam cũng nên xem đây là bài học về việc đánh giá kỹ lưỡng đối tác công nghệ, đặc biệt là các nền tảng xử lý dữ liệu khách hàng quy mô lớn, đồng thời tuân thủ các quy định về bảo vệ dữ liệu cá nhân theo Nghị định 13/2023/NĐ-CP.