Cái giá 179 triệu USD cho siêu thị Mỹ làm lộ thẻ tín dụng khách hàng

Tháng 9/2014, nước Mỹ chấn động khi 56 triệu số thẻ tín dụng đã bị lấy cắp từ hệ thống của chuỗi bán lẻ đồ gia dụng, vật liệu xây dựng Home Depot. Ngoài ra, hơn 53 triệu địa chỉ email của khách hàng cũng bị hacker nắm giữ. Đáng lo ngại là, theo Wall Street Journal, tin tặc nhiều khả năng đã dùng thông tin thẻ đánh cắp được để mua thẻ trả trước, sắm đồ điện tử...

Để thực hiện cuộc tấn công, thủ phạm đã lấy cắp các thông tin đăng nhập từ một nhà cung cấp đối tác của Home Depot, từ đó tìm cách truy cập vào mạng nội bộ của tập đoàn này, cài mã độc BlackPOS vào các hệ thống POS của doanh nghiệp bán lẻ với nhiệm vụ chụp lại chi tiết các thông tin thẻ tín dụng. Phần mềm độc hại này âm thầm hoạt động trên mạng lưới của Home Depot trong suốt 5 tháng, từ tháng 4 đến tháng 9/2014.

Kẻ tấn công có thể tìm cách thâm nhập hệ thống và cài mã độc vào các hệ thống POS. Ảnh: Monitis

Sau khi bị kiện ra tòa, năm 2016, Home Depot đã đồng ý bồi thường 19,5 triệu USD cho những khách hàng bị ảnh hưởng trong scandal rò rỉ dữ liệu. Họ cũng trả ít nhất 134,5 triệu USD cho các công ty thẻ tín dụng và ngân hàng. Đến giữa năm 2017, tập đoàn tiếp tục phải chi thêm 25 triệu USD để khắc phục thiệt hại cho các ngân hàng từ vụ tấn công.

Tổng số tiền bồi thường Home Depot bỏ ra là 179 triệu USD, nhưng chưa tính đến những chi phí phải trả cho việc kiện cáo cũng như việc thương lượng với các bên ngoài toà án.

Theo Webtitan, khoản tiền Home Depot phải trả cao hơn rất nhiều so với việc nếu họ sớm nhận thức được nhu cầu phải triển khai những công nghệ tiên tiến để bảo vệ hệ thống của họ cũng như tại các hệ thống đối tác.

BlackPOS được cho là cũng chính là mã độc tấn công vào chuỗi bán lẻ Target của Mỹ một năm trước đó. Cuối năm 2013, hơn 40 triệu thông tin thẻ tín dụng và thông tin cá nhân của 70 triệu khách hàng mua sắm tại Target bị tin tặc đánh cắp ngay sau ngày Black Friday. Giới bảo mật cho biết hacker đã cài đặt chương trình lấy dữ liệu trên toàn bộ các máy đọc thẻ tại 1.797 cửa hàng trong hệ thống Target, nhưng không rõ chúng đã thực hiện được việc cài đặt bằng cách nào.

Tháng 5/2017, Target chấp thuận trả 18,5 triệu USD để dàn xếp sự việc tại 47 bang của Mỹ. Phát ngôn viên của Target cho biết họ cảm thấy vui mừng vì cuối cùng cũng giải quyết xong sự cố sau gần 4 năm, đồng thời tiết lộ đã phải bỏ ra tổng cộng 202 triệu USD cho án phí và các hoạt động khác kể từ khi vụ tấn công xảy ra.

"Có quá nhiều vụ đánh cắp dữ liệu vẫn đang xảy ra trên toàn cầu nhưng chưa được phát hiện hoặc không công bố rộng rãi, và không ít công ty không hề biết rằng họ đang bị rò rỉ thông tin. Nếu dữ liệu của bạn đang nằm đâu đó trên World Wide Web, bạn có thể là một trong những nạn nhân", John Prisco, CEO của hãng bảo mật Triumfant, chia sẻ với Legere.