Mixcloud bị tấn công, hơn 20 triệu hồ sơ người dùng có thể đã rơi vào tay hacker

Mixcloud chính là cái tên mới nhất gia nhập danh sách nạn nhân của các vụ tấn công đánh cắp dữ liệu trực tuyến quy mô lớn trong năm 2019, với ước tính 20 triệu tài khoản người dùng nhiều khả năng đã rơi vào tay kẻ gian và bị rao bán trên dark web.

Vụ vi phạm được xác định xảy ra vào cuối tháng 11 khi một người chuyên buôn bán dữ liệu trên dark web cung cấp một số thông tin nghi là bắt nguồn từ hồ sơ của người dùng Mixcloud cho tạp chí công nghệ TechCrunch. Tại đây, các chuyên gia TechCrunch đã tiến hành kiểm tra và xác minh tính xác thực của dữ liệu và khẳng định đó chính là thông tin trích xuất từ hồ sơ người dùng Mixcloud.

Kho dữ liệu bị rò rỉ chứa tên người dùng, địa chỉ email, mật khẩu (được xáo trộn với thuật toán SHA-2, khiến mật khẩu gần như không thể sắp xếp lại), ngày đăng ký tài khoản và thời điểm đăng nhập cuối cùng. Ngoài ra còn bao gồm quốc gia nơi người dùng đăng ký, địa chỉ internet (IP) của họ và liên kết đến ảnh đại diện.

Các chuyên gia bảo mật đã xác minh nguồn gốc dữ liệu bằng cách xác thực email dựa trên tính năng đăng ký của trang web, mặc dù Mixcloud không yêu cầu người dùng xác minh địa chỉ email của họ. Hiện vẫn chưa rõ số lượng chính xác hồ sơ người dùng bị rò rỉ. Người chuyên buôn bán trên dark web cho biết mình đang nắm trong nay khoảng 20 triệu hồ sơ và một phần đã được rao bán với giá 4.000 đô la, tương đương khoảng 0,5 bitcoin.

Đây là một trong những sự cố an ninh mạng đáng chú ý nhất trong một chuỗi các vụ vi phạm dữ liệu quy mô lớn đã được ghi nhận trong quý 4 năm 2019 tính đến thời điểm hiện tại.

Mixcloud là một dịch vụ phát nhạc trực tuyến của Anh cho phép nghe và phân phối các chương trình radio, các bản mix DJ và podcast, sở hữu số lượng người dùng đông đảo. Là một công ty có trụ sở tại London, Mixcloud buộc phải tuân thủ các quy tắc bảo vệ dữ liệu của Hoa Kỳ và Châu Âu. Với việc để rò rỉ hơn 20 triệu hồ sơ người dùng, Mixcloud đang đứng trước nguy cơ có thể bị phạt tới 4% doanh thu hàng năm nếu được xác định vi phạm các quy tắc GDPR của châu Âu để lại hậu quả nghiêm trọng.