Thời trang Mango bị bên thứ ba xâm phạm, dữ liệu khách hàng bị ảnh hưởng

[Code Nguyen]

Dữ liệu cá nhân bị lộ từ bên thứ ba thì gây hại đến mức nào, nếu kẻ tấn công không chạm tới tài khoản hay thẻ ngân hàng của bạn?

Mango – chuỗi thời trang toàn cầu đặt trụ sở ở Barcelona – vừa thông báo họ bị lộ dữ liệu từ một dịch vụ marketing bên ngoài. Toàn bộ sự cố xuất phát từ hệ thống của nhà cung cấp thứ ba, không phải do máy chủ nội bộ hay hạ tầng chính của Mango.

Sự cố diễn ra thế nào?​

Ngay khi phát hiện, Mango kích hoạt quy trình ứng phó sự cố, báo với Cơ quan Bảo vệ Dữ liệu Tây Ban Nha và cơ quan chức năng. Hoạt động kinh doanh không bị gián đoạn, hệ thống công ty không bị xâm nhập, nhưng dữ liệu marketing đã bị truy cập trái phép.

Thông báo vi phạm Mango.​

Phần dữ liệu bị lộ chỉ giới hạn ở thông tin liên lạc dùng cho các chiến dịch tiếp thị:
• Tên (chỉ tên riêng, không có họ)
• Quốc gia
• Mã bưu điện
• Email
• Số điện thoại

Mango khẳng định không có số thẻ ngân hàng, tài khoản thanh toán, giấy tờ tùy thân hay mật khẩu bị ảnh hưởng.

Dù vậy, họ vẫn khuyến cáo khách hàng để ý các email, tin nhắn hoặc cuộc gọi bất thường.

Vì sao chuyện này vẫn đáng lo?​

Chuyên gia an ninh mạng Pete Luban đánh giá Mango xử lý nhanh và minh bạch. Ông ghi nhận hệ thống đã tách biệt đủ tốt nên dữ liệu tài chính không bị chạm tới.

Nhưng một khi kẻ tấn công có được tên, email và số điện thoại, vẫn còn đất để khai thác. Đây là nền tảng cho các đợt tấn công tiếp theo – đặc biệt là phishing, smishing hoặc vishing.

Luban cảnh báo xu hướng “second-wave phishing”: sau khi lấy được dữ liệu cơ bản, kẻ xấu sẽ tiếp tục giả mạo thương hiệu hoặc nhà cung cấp để moi thêm thông tin, thậm chí tống tiền. Ông dẫn ví dụ từ chiến dịch tấn công Salesforce do nhóm ShinyHunters và Scattered Spider gây ra, ảnh hưởng tới nhiều hãng bán lẻ lớn như Harrods, Marks & Spencer, Co-op, Kering…

Vụ Harrods dịp lễ Phục sinh khiến 430.000 khách hàng bị lộ dữ liệu – cũng từ bên thứ ba. Mango nhiều khả năng đã học được cách siết hệ thống từ các sự cố trước đó, nhưng người dùng không thể chủ quan.

Người dùng nên phản ứng ra sao?​

Thông tin tiếp thị tưởng như vô hại, nhưng nếu kết hợp với các cơ sở dữ liệu khác, kẻ tấn công có thể tạo ra nội dung lừa đảo rất thuyết phục.

Điểm cốt lõi vẫn là cảnh giác:
• Không bấm vào link từ email hoặc tin nhắn lạ
• Kiểm tra kỹ địa chỉ người gửi trước khi phản hồi
• Cảnh giác cuộc gọi yêu cầu cung cấp mã, OTP hoặc thông tin cá nhân
• Báo ngay nếu phát hiện nội dung nghi ngờ

Mango đã cung cấp email và số điện thoại để khách hàng cần hỗ trợ, đồng thời gửi lời cảm ơn vì sự tin tưởng – nhưng ai từng xuất hiện trong danh sách marketing của họ vẫn nên chủ động bảo vệ mình.

Nguồn bài viết: https://cybernews.com/news/mango-third-party-breach-customer-data-impacted-fashion-retailer/

 

Được phối hợp thực hiện bởi các chuyên gia của Bkav, cộng đồng An ninh mạng Việt Nam WhiteHat và cộng đồng Khoa học công nghệ VnReview