7-Eleven ngày 26/5 (giờ địa phương) xác nhận một sự cố rò rỉ dữ liệu ảnh hưởng khoảng 185.000 người, trong đó có cả thông tin định danh nhạy cảm.

Theo TechCrunch, dữ liệu bị lộ bao gồm họ tên, ngày sinh, địa chỉ cư trú, số điện thoại và địa chỉ email.

Vụ việc liên quan đến một cuộc xâm nhập đã được báo cáo từ tháng 4. Have I Been Pwned, dịch vụ chuyên theo dõi các vụ vi phạm dữ liệu, cho biết từ bộ dữ liệu mới được tiếp nhận, đơn vị này xác định 7-Eleven là nạn nhân của một vụ tấn công đánh cắp dữ liệu để tống tiền. Theo thống kê của dịch vụ này, quy mô ảnh hưởng vào khoảng 185.000 người.

Nhóm bị nghi đứng sau vụ việc là ShinyHunters. Nhóm này tuyên bố chịu trách nhiệm về cuộc xâm nhập và đe dọa công khai dữ liệu nếu yêu cầu tiền chuộc không được đáp ứng. Đây là hình thức tống tiền bằng dữ liệu bị đánh cắp.

Thông tin ban đầu cho thấy kẻ tấn công đã xâm nhập vào máy chủ nội bộ lưu trữ tài liệu liên quan đến nhượng quyền. Trong hồ sơ gửi Văn phòng Tổng chưởng lý bang Maine, Jim Kastle, Giám đốc an ninh thông tin của 7-Eleven, cho biết hacker đã truy cập hệ thống này. Việc dữ liệu bị lấy từ khu vực lưu trữ tài liệu nội bộ, thay vì hệ thống chăm sóc khách hàng, làm dấy lên lo ngại về lỗ hổng trong quản trị dữ liệu doanh nghiệp.

Phạm vi dữ liệu bị lộ cũng được làm rõ thêm qua các hồ sơ nộp tại cấp bang. Tài liệu gửi Văn phòng Tổng chưởng lý bang Massachusetts cho thấy ngoài thông tin liên hệ, dữ liệu bị lộ còn bao gồm số an sinh xã hội (SSN) và thông tin giấy phép lái xe. Điều này cho thấy không chỉ dữ liệu cơ bản mà cả thông tin định danh nhạy cảm cũng có thể đã bị xâm phạm.

Sự cố làm gia tăng rủi ro mạo danh và các thiệt hại phát sinh, do nhiều trường dữ liệu như họ tên, ngày sinh, địa chỉ, số điện thoại và email bị lộ cùng lúc. Với một số hồ sơ có thêm SSN hoặc thông tin giấy phép lái xe, mức độ rủi ro còn lớn hơn. Hiện chưa rõ phạm vi rò rỉ có tiếp tục mở rộng hay không.

7-Eleven cho biết sự cố bắt nguồn từ máy chủ nội bộ lưu trữ tài liệu liên quan đến nhượng quyền. Tuy vậy, hiện vẫn chưa rõ nhóm bị ảnh hưởng chỉ giới hạn ở các bên liên quan đến hoạt động nhượng quyền hay còn bao gồm phạm vi dữ liệu khách hàng rộng hơn. Thông tin được công bố đến nay cho thấy khoảng 185.000 người đã bị lộ dữ liệu, trong đó một phần hồ sơ chứa cả thông tin định danh nhạy cảm.