Natura - công ty mỹ phẩm lớn nhất Brazil - đã vô tình để lộ hàng trăm Gigabyte thông tin cá nhân liên quan đến thanh toán của khách hàng, khiến bất kỳ ai cũng có thể truy cập công khai trực tuyến mà không cần xác thực.
Mới đây, nhà nghiên cứu của hãng bảo mật Safety Detective Anurag Sen đã phát hiện hai máy chủ lưu trữ không được bảo vệ trên trang web bán hàng trực tuyến của Amazon để lộ một số dữ liệu với kích thước 272GB và 1,3TB, bao gồm hơn 192 triệu bản ghi. Toàn bộ dữ liệu này thuộc về thương hiệu mỹ phẩm Natura nổi tiếng của Brazil.
Trong một phát biểu trên The Hacker News, nhà nghiên cứu bảo mật Anurag cho biết dữ liệu bị lộ là thông tin cá nhân của 250.000 khách hàng của Natura, trong đó khoảng 90% khách hàng người Brazil.
Dữ liệu khách hàng của Natura bị lộ chứa thông tin đăng nhập tài khoản cùng với tài liệu lưu trữ ghi lại nhật ký người dùng trên máy chủ. Đáng lo ngại hơn, thông tin bị rò rỉ có các chi tiết tài khoản thanh toán Moip với mã thông báo truy cập cho gần 40.000 người dùng wirecard.com.br đã tích hợp với tài khoản Natura của họ.
![]()
Chi tiết vụ rò rỉ thông tin khách hàng của Natura - Ảnh: Chụp màn hình
Nếu bị khai thác, coi như tin tặc đã có chìa khóa của máy chủ, qua đó có thể cho phép kẻ tấn công trực tiếp cấy skimmer (thiết bị siêu nhỏ cho phép tin tặc chụp hình và thu lại những thao tác khi người dùng thẻ thực hiện) để đánh cắp chi tiết thẻ thanh toán của người dùng trong thời gian thực.
"Nhóm bảo mật của Safety Detective, do Anurag Sen dẫn đầu, đã phát hiện một vụ rò rỉ dữ liệu quan trọng bao gồm nhiều mục thông tin cá nhân khác nhau trên máy chủ lưu trữ Amazon có dung lượng 272 gigabyte, đặt tại Mỹ.
Thật kỳ lạ, kể từ khi rò rỉ dữ liệu được phát hiện và Natura được thông báo, kích thước của rò rỉ dữ liệu đã giảm từ 272GB xuống còn 27.2GB, theo nhật ký máy chủ - đây là một dấu hiệu về sự không chính đáng nhằm mục đích che giấu mức độ nghiêm trọng của rò rỉ. Ví dụ, một hacker có ý định xóa một số lượng hồ sơ chính xác để che giấu hành động của họ.
Hơn nữa, theo nhật ký máy chủ, kích thước của vi phạm dữ liệu đã thay đổi trong vài ngày với ước tính mới nhất hiển thị 69GB" - trang web chính thức của hãng bảo mật Safety Detective viết.
Trước đó hãng bảo mật Safety Detective đã cố gắng báo cáo trực tiếp kết quả nghiên cứu của mình đến các công ty bị ảnh hưởng nhưng họ không nhận được bất kỳ phản hồi nào. Safety Detective đã liên hệ với các dịch vụ của Amazon, yêu cầu công ty nâng cấp bảo mật cả hai máy chủ ngay lập tức.
Hãng bảo mật Safety Detective khuyến cáo người có tài khoản Natura nên thay đổi mật khẩu và theo dõi chặt chẽ các giao dịch thẻ thanh toán để phát hiện các dấu hiệu của bất kỳ hoạt động đáng ngờ nào.
Tiểu Vũ