Lazada Singapore bị hack, hơn 1 triệu tài khoản người dùng bị rao bán trên web đen

Kyr Doo-Hyun

RedMart của Lazada, shop tạp hóa trực tuyến lớn nhất tại Singapore, vừa bị hack dẫn tới việc 1,1 triệu tài khoản của người dùng bị rò rỉ. Số dữ liệu này đang được rao bán trên một diễn đàn hacker với giá 1.500 USD.

Lazada đang được định giá hàng tỷ USD và hoạt động tại các nước Đông Nam Á. Năm 2016, Alibaba đã bỏ ra 1 tỷ USD để thâu tóm Lazada.

Các hacker đứng đằng sau vụ tấn công tiết lộ rằng họ đã lấy được dữ liệu trên MongoDB của Lazada. Trong số dữ liệu này có hơn 1,1 triệu tài khoản người dùng RedMart.

Lazada Singapore bị hack, hơn 1 triệu tài khoản người dùng bị rao bán trên web đen

Mỗi tài khoản rò rỉ bao gồm địa chỉ email, mật khẩu được lưu dưới dạng hàm băm SHA-1, số điện thoại, địa chỉ ship hàng, một phần số thẻ tín dụng và ngày hết hạn. Tuy nhiên, theo hacker, tập dữ liệu không được chuẩn hóa nên một số khách hàng sẽ bị lộ nhiều thông tin hơn người khác.

Ví dụ: một số khách hàng bị lộ tới 6 số đầu và 4 số cuối của thẻ tín dụng.

Ngày 29/10, Lazada đã gửi một email thông báo tới khách hàng bị ảnh hưởng, thông báo cho họ biết rằng thông tin của họ bị rò rỉ. Theo thông báo của Lazada, họ phát hiện ra vụ rò rỉ dữ liệu này qua hệ thống giám sát chủ động trên mạng lưới của mình.

Lazada cho biết số dữ liệu bị rò rỉ là dữ liệu cũ, lần cuối cùng số dữ liệu này được cập nhật đã cách đây 18 tháng. Lazada cũng trấn an khách hàng rằng mật khẩu của họ được bảo vệ bằng các phương thức mã hóa.

Tuy nhiên, theo tìm hiểu, trong số dữ liệu bị rò rỉ có những tài khoản mới đăng ký vào tháng 5 và tháng 7 năm 2020. Bên cạnh đó, hàm băm SHA-1 hoàn toàn có thể bị gỡ bỏ để lộ ra mật khẩu ban đầu của người dùng.

Để đảm bảo an toàn, RedMart đã reset mật khẩu của tất cả các tài khoản bị lộ và yêu cầu người dùng đổi mật khẩu trong lần đăng nhập tiếp theo.

BleepingComputer còn khuyên người dùng nên đổi mật khẩu tất cả các trang web dùng chung mật khẩu với tài khoản RedMart.

Người dùng RedMart cũng nên cẩn trọng với các email lừa đảo dựa vào các thông bị bị rò rỉ. "Lazada không bao giờ yêu cầu khách hàng xác minh thông tin cá nhân của bạn", Lazada viết.

RedMart cũng chia sẻ rằng ngay khi phát hiện ra vụ rò rỉ, họ đã tăng cường các biện pháp bảo mật để kịp thời ngăn chặn hacker truy cập vào dữ liệu. Bên cạnh đó, RedMart cũng hợp tác với các cơ quan thực thi pháp luật để mau tìm ra thủ phạm.