Tên, đơn vị công tác, mã số nhân viên, số điện thoại di động, số điện thoại nội bộ, email, chức vụ và 3 mục khác, tổng cộng 7 mục, của hơn 24.000 nhân viên KEPCO đã bị lộ trên một trang web bên ngoài. KEPCO cho biết đã phát hiện sự việc vào khoảng 3 giờ 59 phút chiều ngày 1 tháng 10. Theo các bản tin, thông tin được xóa khỏi trang web vào khoảng nửa đêm chuyển sang ngày 3 tháng 10, tức khoảng 32 giờ sau khi KEPCO phát hiện vụ việc. Nguyên nhân lộ thông tin và việc có xảy ra thiệt hại thứ cấp trên thực tế hay không vẫn chưa được xác minh.

Bối cảnh và diễn biến

Thông tin bị lộ lần này không phải là thông tin định danh cá nhân duy nhất hoặc thông tin nhạy cảm như số đăng ký cư trú, mà là thông tin liên quan đến danh tính, đơn vị công tác và liên lạc trong công việc của nhân viên. KEPCO cũng giải thích rằng thông tin khách hàng được quản lý trong một hệ thống chuyên dụng riêng không bị lộ. Đây là thông tin quan trọng để đánh giá phạm vi lộ dữ liệu, nhưng không làm giảm mức độ nghiêm trọng của chính sự cố thông tin nhân viên bị công khai ra bên ngoài.

KEPCO cho biết sau khi phát hiện vụ lộ thông tin, họ đã chặn quyền truy cập vào các hệ thống nội bộ liên quan đến thông tin cá nhân của nhân viên và yêu cầu đơn vị vận hành trang web bên ngoài xóa dữ liệu. Tuy nhiên, phải mất khoảng 32 giờ mới hoàn tất việc xóa.

KEPCO cho biết đã báo cáo vụ việc với Ủy ban Bảo vệ Thông tin Cá nhân (개인정보보호위원회) vào khoảng 1 giờ 22 phút chiều ngày 4 tháng 10 và thành lập phòng tình huống tổng hợp ứng phó khẩn cấp. KEPCO nói đang điều tra chính xác diễn biến vụ lộ thông tin cùng các cơ quan liên quan, nhưng dựa trên những thông tin hiện được cung cấp thì chưa thể biết dữ liệu đã được đăng lên trang web bên ngoài bằng cách nào. KEPCO cho biết đã thông báo riêng cho nhân viên về sự cố và diễn biến vụ việc qua tin nhắn, email cùng các phương thức khác, đồng thời hướng dẫn những điều cần lưu ý để phòng tránh thiệt hại thứ cấp.

Ý nghĩa của tin này

Những người trực tiếp chịu ảnh hưởng của sự cố này trên thực tế là hơn 24.000 người, tương đương toàn bộ nhân viên KEPCO. Lời giải thích của KEPCO rằng số đăng ký cư trú và thông tin khách hàng không bị lộ là yếu tố cần cân nhắc khi đánh giá phạm vi thiệt hại. Tuy nhiên, khi tên, đơn vị công tác, mã số nhân viên, số điện thoại và email bị lộ cùng lúc, những thông tin này có thể được dùng để xác định và liên hệ với một nhân viên cụ thể. Vì vậy, người liên quan cần cảnh giác trước những liên hệ ngoài dự kiến hoặc hành vi giả mạo. Đây là nhận định về rủi ro có thể xảy ra, không có nghĩa là những thiệt hại như vậy đã thực sự phát sinh.

Chẳng hạn, nếu một nhân viên KEPCO nhận được liên hệ có vẻ liên quan đến công việc nội bộ và bị yêu cầu cung cấp thêm thông tin hoặc xác nhận, họ có thể cảnh giác xem đó có phải là hành vi giả mạo lợi dụng tình hình sau sự cố lộ dữ liệu hay không. Tuy nhiên, chưa có xác nhận rằng vụ việc này đã dẫn đến thiệt hại thực tế do lừa đảo qua mạng hoặc giả mạo. KEPCO cho biết đã gửi riêng hướng dẫn phòng tránh thiệt hại; nhân viên nhận được thông báo nên đọc kỹ hướng dẫn và tránh vội vàng trả lời hoặc cung cấp thông tin nếu nhận được liên hệ đáng ngờ.

Việc đánh giá cách xử lý sự cố không chỉ phụ thuộc vào kết quả dữ liệu đã được xóa, mà còn vào việc diễn biến dẫn đến vụ lộ thông tin có được làm sáng tỏ hay không, thiệt hại thực tế có được xác nhận hay không và người bị thiệt hại có được khắc phục hay không. KEPCO cho biết sẽ xác định nguyên nhân thông qua cuộc điều tra chung với các cơ quan liên quan và cuộc điều tra nội bộ, đồng thời xây dựng biện pháp ngăn ngừa tái diễn. KEPCO cũng cho biết nếu có báo cáo về thiệt hại đã xảy ra hoặc được dự đoán có thể xảy ra, họ dự kiến sẽ tiến hành các thủ tục khắc phục, chẳng hạn như bồi thường thiệt hại, sau khi điều tra cần thiết. Điều này không có nghĩa là việc khắc phục đã được đảm bảo; đó là kế hoạch tiếp nhận báo cáo và tiến hành điều tra.

Thông tin về các quy định và hỗ trợ liên quan

KEPCO cho biết nếu nhận được báo cáo về thiệt hại đã xảy ra hoặc được dự đoán có thể xảy ra, họ dự kiến sẽ tiến hành các thủ tục khắc phục, chẳng hạn như bồi thường thiệt hại, sau khi điều tra cần thiết. Tuy nhiên, việc thông tin cá nhân bị lộ không tự động quyết định liệu có được bồi thường hay không hoặc mức bồi thường là bao nhiêu. Theo tài liệu dựa trên các trường hợp tư vấn của Cơ quan Trợ giúp pháp lý Hàn Quốc (법률구조공단), mức bồi thường thiệt hại được tính toán dựa trên loại thiệt hại, diễn biến dẫn đến thiệt hại, lỗi của người bị thiệt hại, nội dung thỏa thuận, việc có nhận tiền bảo hiểm hoặc trợ cấp hay không, cùng các yếu tố khác. Tài liệu này giải thích các nguyên tắc bồi thường thiệt hại nói chung, chứ không xác định trách nhiệm bồi thường hoặc số tiền bồi thường cho từng cá nhân trong sự cố lần này.

Vì vậy, nhân viên cho rằng mình đã thực sự bị thiệt hại có thể lưu giữ thông báo về vụ lộ dữ liệu, các liên hệ liên quan và tài liệu chứng minh thiệt hại đã xảy ra, đồng thời hỏi KEPCO cần thực hiện thủ tục báo cáo nào và cần nộp tài liệu gì. Nếu cân nhắc thỏa thuận, họ cũng cần xem xét phạm vi của văn bản thỏa thuận. Tài liệu giải thích rằng nhìn chung, thỏa thuận có thể hạn chế việc yêu cầu bồi thường thêm sau này, nhưng vẫn có thể phát sinh khả năng yêu cầu bổ sung nếu xuất hiện thiệt hại nghiêm trọng về sau mà khó có thể dự đoán vào thời điểm thỏa thuận. Việc áp dụng cụ thể và thời hiệu khởi kiện có thể khác nhau tùy theo nội dung thiệt hại và thời điểm người bị thiệt hại biết được sự việc, nên không thể kết luận chung cho mọi trường hợp.

Những điểm được các bản tin đưa tin khác nhau

Cách diễn đạt về thời điểm xóa thông tin có khác biệt giữa các bản tin. Một bản tin cho biết dữ liệu được xóa vào khoảng nửa đêm chuyển sang ngày 3 tháng 10; một bản tin tiếng Anh khác viết rằng việc xóa hoàn tất vào khoảng nửa đêm thứ Sáu. Chỉ dựa trên những thông tin được cung cấp thì khó xác định hai cách diễn đạt này có chỉ cùng một thời điểm hay thời điểm thực tế có khác nhau. Thông tin mất khoảng 32 giờ được nêu trong bản tin tiếng Hàn.

Những gì đã xác nhận và những gì vẫn chưa rõ

Những sự việc đã xác nhận

  • KEPCO phát hiện vào khoảng 3 giờ 59 phút chiều ngày 1 tháng 10 rằng thông tin cá nhân của nhân viên bị lộ trên một trang web bên ngoài.
  • Có 7 mục thông tin bị lộ: tên, đơn vị công tác, mã số nhân viên, số điện thoại di động, số điện thoại nội bộ, email và chức vụ; số người bị ảnh hưởng là hơn 24.000.
  • KEPCO giải thích rằng thông tin định danh cá nhân duy nhất, thông tin nhạy cảm và thông tin khách hàng trong hệ thống chuyên dụng riêng không bị lộ.
  • KEPCO đã chặn quyền truy cập vào hệ thống nội bộ và yêu cầu xóa dữ liệu; ngày 4 tháng 10, KEPCO báo cáo vụ việc với Ủy ban Bảo vệ Thông tin Cá nhân và thành lập phòng tình huống tổng hợp ứng phó khẩn cấp.
  • KEPCO đã thông báo riêng cho nhân viên và cho biết nếu nhận được báo cáo về thiệt hại, họ sẽ điều tra rồi tiến hành thủ tục khắc phục.

Những điều vẫn chưa rõ

  • Diễn biến cụ thể và nguyên nhân khiến thông tin nhân viên bị lộ trên trang web bên ngoài là gì?
  • Vụ lộ thông tin này có gây ra thiệt hại thứ cấp trên thực tế hay không?
  • Nếu có thiệt hại, đó là loại thiệt hại nào, quy mô ra sao và việc điều tra, khắc phục sẽ được tiến hành như thế nào?

Những điều độc giả cần kiểm tra

  • Nếu là nhân viên KEPCO, bạn có thể kiểm tra thông báo riêng và hướng dẫn phòng tránh thiệt hại thứ cấp nhận được qua tin nhắn hoặc email, đồng thời thận trọng, không cung cấp thông tin cá nhân hay thông tin bổ sung khi nhận được liên hệ đáng ngờ.
  • Nếu thiệt hại đã xảy ra hoặc được dự đoán có thể xảy ra, bạn có thể lưu giữ các liên hệ liên quan và tài liệu giúp xác nhận thiệt hại, sau đó hỏi KEPCO về thủ tục báo cáo và những tài liệu cần thiết. Không thể mặc định rằng thông báo đã nêu một phương thức báo cáo cụ thể.
  • Nếu cân nhắc yêu cầu bồi thường thiệt hại hoặc thỏa thuận, bạn có thể kiểm tra tài liệu về thiệt hại và nội dung văn bản thỏa thuận; với những vấn đề cần xem xét tùy từng trường hợp, bạn có thể tham khảo tư vấn pháp lý.

Tài liệu tham khảo