Đài Loan: Lộ dữ liệu 91APP ảnh hưởng gần 4,8 triệu người tiêu dùng

Vụ lộ dữ liệu tại 91APP, công ty dịch vụ thương mại điện tử Đài Loan, có thể ảnh hưởng gần 4,8 triệu người tiêu dùng của 1.329 thương hiệu. FamilyMart, Muji và KNH Enterprise xác nhận bị liên lụy.

Công ty 91APP, đơn vị cung cấp dịch vụ thương mại điện tử trên nền tảng đám mây, mới đây xảy ra vụ lộ dữ liệu cá nhân. FamilyMart, Muji và KNH Enterprise lần lượt xác nhận một phần dữ liệu đơn hàng của họ nằm trong cơ sở dữ liệu bị truy cập trái phép. FamilyMart và KNH Enterprise đều cho biết nếu người tiêu dùng đòi bồi thường, họ sẽ yêu cầu 91APP bồi hoàn.

Hôm thứ Năm (29/10), FamilyMart công bố thông tin trọng yếu, cho biết cơ sở dữ liệu của 91APP, đơn vị cung cấp dịch vụ mà hãng thuê ngoài, bị tấn công tự động. Vụ tấn công khiến một phần dữ liệu hội viên dùng dịch vụ “mua sắm di động” của FamilyMart bị lấy trái phép. Hãng đã báo cáo cơ quan quản lý và thông báo cho người tiêu dùng.

Đến nay, FamilyMart chưa nhận được yêu cầu bồi thường thiệt hại nào từ hội viên. Đánh giá ban đầu cho thấy sự việc không ảnh hưởng lớn đến tài chính, kinh doanh và hoạt động của hãng. Tuy nhiên, nếu về sau có người đòi bồi thường, FamilyMart sẽ yêu cầu 91APP bồi hoàn.

Hôm thứ Sáu (30/10) Muji xác nhận một phần đơn hàng mua sắm trên trang web chính thức của hãng nằm trong cơ sở dữ liệu bị tin tặc xâm nhập. Dữ liệu có thể liên quan đến các đơn hàng đặt từ ngày 4/4/2025 đến ngày 14/10/2026, gồm họ tên, số điện thoại, địa chỉ giao hàng, email và lịch sử mua hàng.

Thông tin thẻ tín dụng, mật khẩu đăng nhập tài khoản hội viên và dữ liệu mua sắm tại cửa hàng của Muji không bị ảnh hưởng. Muji dự kiến ủy quyền cho 91APP thông báo cho những khách hàng có thể bị ảnh hưởng, bắt đầu từ ngày 2/11.

KNH Enterprise cũng xác nhận dữ liệu đơn hàng trên trang thương mại điện tử của công ty nằm trong cơ sở dữ liệu bị truy cập trái phép, nhưng chưa xác định được thực tế có bao nhiêu người bị ảnh hưởng và bị ảnh hưởng ra sao.

Công ty đã thông báo cho người tiêu dùng và yêu cầu 91APP rà soát rủi ro an ninh thông tin, tăng cường các biện pháp bảo vệ. Nếu người tiêu dùng đòi bồi thường, KNH Enterprise cũng sẽ yêu cầu 91APP bồi hoàn.

Kết quả điều tra của 91APP cho thấy vụ việc có thể ảnh hưởng tối đa đến 1.329 thương hiệu và 4.798.255 người tiêu dùng. Cơ sở dữ liệu bị truy cập trái phép là kho đơn hàng ngắn hạn, lưu dữ liệu giao dịch trong 18 tháng. Dữ liệu có thể bị lộ gồm họ tên, số điện thoại, địa chỉ, email và lịch sử đơn hàng, không có mật khẩu, thông tin thẻ tín dụng và các dữ liệu thanh toán khác.

Không phải mọi người tiêu dùng nằm trong phạm vi này đều đã bị lộ dữ liệu cá nhân.

 Ngày 30/10, Chủ tịch 91APP Hà Anh Kì cùng ban điều hành đứng ra xin lỗi. Ông cam kết mọi người tiêu dùng, dù mua hàng qua thương hiệu nào và có thiệt hại tài sản hay không, đều có thể nộp đơn đề nghị 91APP bồi thường. Công ty chịu mọi chi phí liên quan và nhận đơn đến ngày 1/2/2027.

Theo 91APP, tin tặc đã dùng công cụ tấn công tự động ARTEX, khai thác lỗ hổng của một công cụ bên thứ ba mà công ty sử dụng nội bộ để xâm nhập mạng và cơ sở dữ liệu đơn hàng. Công ty thừa nhận khâu bảo vệ an ninh thông tin và quản lý vá lỗ hổng chưa theo kịp các kiểu tấn công mới.

Thời gian tới, 91APP sẽ xây dựng kiến trúc “không tin cậy mặc định” (zero trust), dùng AI để phát hiện bất thường và hợp tác với các chuyên gia an ninh thông tin bên ngoài để tăng cường bảo vệ. Số tiền bồi thường và tác động tài chính của vụ việc vẫn đang được đánh giá.