Lãnh đạo Muji cúi đầu xin lỗi vì để lộ dữ liệu hàng triệu thẻ tín dụng

Công ty Ryohin Keikaku, đơn vị vận hành chuỗi bán lẻ Muji (Nhật Bản), thừa nhận việc không xóa những thông tin thẻ tín dụng khách hàng không còn cần thiết là một trong những nguyên nhân dẫn đến vụ rò rỉ dữ liệu quy mô lớn, với khoảng 1,09 triệu số thẻ có nguy cơ bị lộ do truy cập trái phép.

Tại cuộc họp báo ngày 12/11, ông Satoshi Shimizu, Chủ tịch Ryohin Keikaku, đã lên tiếng xin lỗi khách hàng và thừa nhận những thiếu sót trong công tác quản lý dữ liệu.

“Chúng tôi nhận thức sâu sắc về trách nhiệm của mình. Công tác quản lý dữ liệu của công ty vẫn còn những thiếu sót”, ông Shimizu nói.

Theo Ryohin Keikaku, trước tháng 7/2021, công ty sử dụng toàn bộ số thẻ tín dụng MUJI Card để xác định khách hàng khi thực hiện các chương trình tích điểm, đổi thưởng. Sau đó, doanh nghiệp chuyển sang sử dụng những thông tin khác để nhận diện khách hàng và đưa ra chính sách xóa toàn bộ số thẻ tín dụng không còn cần thiết.

Tuy nhiên, dù đã có chủ trương xóa dữ liệu, công ty vẫn lưu giữ những số thẻ tín dụng cũ. Đây là một trong những vấn đề nghiêm trọng được xác định sau sự cố. Ông Ryohin Keikaku cho biết, công ty vẫn đang tiếp tục điều tra để làm rõ liệu việc lưu trữ dữ liệu này có phải hành động cố ý hay không.

Trước đó, ngày 29/10, công ty phát hiện hệ thống bị truy cập trái phép. Ryohin Keikaku nhận định khoảng 27,26 triệu bản ghi thông tin khách hàng, bao gồm địa chỉ email của người dùng đã đăng ký, có thể đã bị xâm phạm.

Đến ngày 4/11, doanh nghiệp tiếp tục thông báo khoảng 1,09 triệu số thẻ tín dụng MUJI Card, bao gồm đầy đủ 16 chữ số, có nguy cơ bị rò rỉ. Trước đó, công ty từng cho biết thông tin thẻ tín dụng không nằm trong số dữ liệu bị ảnh hưởng.

Tại cuộc họp báo, đại diện Ryohin Keikaku cho biết vấn đề lớn nhất nằm ở việc các số thẻ tín dụng trước tháng 7/2021 được lưu trữ mà không có biện pháp che giấu (masking). Từ sau thời điểm này, công ty đã áp dụng biện pháp che một phần số thẻ khi lưu trữ dữ liệu.

Doanh nghiệp khẳng định ngày hết hạn và mã bảo mật của thẻ tín dụng không bị lộ.

Không chỉ đối mặt với nguy cơ rò rỉ dữ liệu, hệ thống tài khoản thành viên của Muji còn trở thành mục tiêu của các cuộc tấn công dò mật khẩu (credential stuffing). Đây là hình thức tấn công trong đó tin tặc sử dụng các cặp tên đăng nhập và mật khẩu bị đánh cắp từ những vụ rò rỉ dữ liệu trước đó để thử đăng nhập vào tài khoản trên các nền tảng khác.

Theo công ty, khoảng 270.000 tài khoản thành viên đã trở thành mục tiêu của hình thức tấn công này, làm gia tăng nguy cơ thông tin cá nhân bị truy cập trái phép, đặc biệt với những người sử dụng chung mật khẩu trên nhiều website.

Để hạn chế rủi ro, Ryohin Keikaku đã tạm dừng hoạt động cửa hàng trực tuyến từ ngày 7/11. Thời điểm mở cửa trở lại hiện chưa được xác định. Khi dịch vụ hoạt động trở lại, công ty dự kiến yêu cầu các thành viên thay đổi mật khẩu tài khoản.

Liên quan đến việc hỗ trợ khách hàng bị ảnh hưởng, Ryohin Keikaku cho biết sẽ chịu toàn bộ chi phí phát hành lại thẻ đối với những khách hàng sử dụng MUJI Card thuộc diện bị ảnh hưởng. Doanh nghiệp cũng cam kết xem xét trách nhiệm bồi thường nếu xác định được thiệt hại thực tế.

Tại cuộc họp báo, lãnh đạo công ty còn nhận được câu hỏi về việc vì sao cửa hàng trực tuyến vẫn tiếp tục hoạt động sau khi phát hiện dấu hiệu rò rỉ dữ liệu.

Giải thích về quyết định này, Chủ tịch Satoshi Shimizu cho biết thời điểm đó, công ty cho rằng sự cố xuất phát từ một cuộc tấn công đơn lẻ. Doanh nghiệp nhận định có thể xử lý điểm xâm nhập và duy trì hoạt động kinh doanh. Tuy nhiên, nhìn lại sự việc, ông thừa nhận công ty đáng lẽ phải có biện pháp ứng phó sớm hơn.