Toss Payments ngày 9/9 khẳng định hệ thống của công ty không bị tấn công trong vụ lộ dữ liệu liên quan đến thanh toán tại một đại lý. Theo doanh nghiệp, nguyên nhân xuất phát từ việc lộ thông tin xác thực của công cụ liên kết thanh toán trên website của đại lý này, khiến lịch sử 4.131 giao dịch liên quan 2.671 khách hàng bị truy cập.

Trong thông cáo phát đi cùng ngày, Toss Payments cho biết sự cố không bắt nguồn từ hành vi xâm nhập hay khai thác lỗ hổng trong hệ thống của công ty. Thay vào đó, “khóa liên kết” - tức thông tin xác thực dùng cho công cụ liên kết thanh toán - đã bị lộ trên website của một đại lý đang sử dụng dịch vụ PG của Toss Payments.

Theo công ty, thông tin này sau đó bị bên thứ ba lợi dụng để thu thập thêm dữ liệu và truy cập lịch sử thanh toán của đại lý nói trên. Toss Payments nhấn mạnh không ghi nhận bất kỳ dấu hiệu nào cho thấy hệ thống nội bộ của công ty bị xâm nhập.

Phạm vi ảnh hưởng được xác định là 4.131 giao dịch tại một đại lý, liên quan tới 2.671 khách hàng. Doanh nghiệp cho biết đã hoàn tất việc thông báo tới toàn bộ người bị ảnh hưởng.

Trước thông tin “hàng chục nghìn” trường hợp xuất hiện trên một số bài viết, Toss Payments cho rằng con số này không trùng khớp với dữ liệu công ty xác nhận. Doanh nghiệp đồng thời khẳng định sự cố không ảnh hưởng tới dữ liệu thanh toán của các đại lý khác, ứng dụng Toss, các dịch vụ của công ty liên kết hay những thông tin khách hàng không liên quan.

Theo Toss Payments, dữ liệu bị truy cập chỉ ở mức thông tin hiển thị trên biên lai, gồm tên người mua, số thẻ đã được che bớt và mã phê duyệt. Công ty cho biết các dữ liệu cần thiết để thực hiện thanh toán như mật khẩu thẻ, thời hạn hiệu lực hoặc mã CVC không nằm trong phạm vi bị lộ.

Doanh nghiệp cũng nhấn mạnh rằng chỉ với những thông tin đã bị truy cập, không thể phát sinh giao dịch thanh toán mới hoặc hủy giao dịch hiện có. Tới nay, công ty chưa ghi nhận trường hợp thiệt hại nào như gian lận thanh toán.

Toss Payments cho biết ngay sau khi phát hiện sự cố, công ty đã chặn đường truy cập liên quan và phân tích toàn bộ nhật ký truy cập để xác định đối tượng cũng như phạm vi ảnh hưởng. Doanh nghiệp này cũng đã báo cáo vụ việc lên Cơ quan Giám sát Tài chính Hàn Quốc và Ủy ban Dịch vụ Tài chính, đồng thời đang phối hợp trong quá trình kiểm tra của cơ quan chức năng.