Tổng thống yêu cầu làm rõ loạt vụ rò rỉ dữ liệu

Ngày 4 tháng 10, Tổng thống Hàn Quốc Lee Jae-myung chỉ đạo tiến hành điều tra toàn diện và xây dựng biện pháp ứng phó sau nhiều vụ rò rỉ thông tin cá nhân tại các tổ chức tài chính và cơ quan công quyền. Ông yêu cầu các cơ quan liên quan nhìn nhận sự việc với thái độ nghiêm túc, xác định nguyên nhân và chuẩn bị biện pháp khắc phục.

Thông tin về chỉ đạo được người phát ngôn cấp cao của Phủ Tổng thống, Kang Yu-jeong, công bố sau khi Tổng thống nhận báo cáo về các sự cố gần đây và tình hình xử lý. Chỉ đạo này được đưa ra trong bối cảnh nhiều tổ chức tài chính báo cáo có hoạt động tấn công từ bên ngoài.

“Cần nhìn nhận sự việc một cách nghiêm trọng, tiến hành điều tra kỹ lưỡng và chuẩn bị đầy đủ các biện pháp đối phó.”

Ngân hàng lớn và các tổ chức tài chính khác bị ảnh hưởng

Các tổ chức được nêu trong những vụ việc gần đây gồm Shinhan Bank, KB Kookmin Bank, Hana Bank và BNK Busan Bank. Ngoài các ngân hàng thương mại lớn, sự cố cũng được ghi nhận tại những đơn vị thuộc lĩnh vực tài chính phi ngân hàng, như ngân hàng tiết kiệm, công ty tài chính tiêu dùng và các tổ chức tài chính tương hỗ.

Thông tin ban đầu cho thấy dữ liệu cá nhân đã bị lấy đi trong một số vụ tấn công. Tuy nhiên, quy mô thiệt hại, loại dữ liệu bị lộ và mức độ ảnh hưởng đối với từng tổ chức có thể khác nhau; những chi tiết này cần được xác định thông qua điều tra.

  • Ngân hàng thương mại: cung cấp các dịch vụ như tài khoản, chuyển tiền và cho vay.
  • Ngân hàng tiết kiệm, công ty tài chính và tổ chức tương hỗ: phục vụ những nhóm khách hàng hoặc nhu cầu vay vốn khác nhau.
  • Cơ quan công quyền: cũng nằm trong nhóm sự cố mà chính phủ đang rà soát.

Việc nhiều loại hình tổ chức cùng xuất hiện trong các báo cáo khiến cuộc điều tra không chỉ tập trung vào một ngân hàng. Cơ quan chức năng cần làm rõ liệu các vụ việc có chung phương thức, có liên quan đến cùng một nhóm tấn công hay chỉ xảy ra gần nhau về thời gian.

Vai trò của AI vẫn cần được xác minh

Các cuộc tấn công được cho là có thể đã tận dụng trí tuệ nhân tạo (AI, công nghệ giúp máy tính thực hiện một số nhiệm vụ vốn cần khả năng xử lý của con người). Dù vậy, thông tin được công bố chưa xác nhận chính xác AI đã được dùng ra sao, hoặc liệu mọi vụ việc có cùng một phương thức hay không.

AI có thể giúp kẻ tấn công tự động hóa một số công việc, chẳng hạn soạn nhiều phiên bản tin nhắn lừa đảo hoặc sắp xếp thông tin đã thu thập để nhắm vào từng người. Ví dụ, thay vì gửi cùng một tin nhắn chung chung cho hàng nghìn người, kẻ gian có thể tạo nội dung trông giống thông báo từ ngân hàng hoặc lời nhắc về khoản vay. Đây là những khả năng có thể có trong các cuộc tấn công hiện đại, không phải bằng chứng rằng chúng đã được sử dụng trong mọi sự cố đang được điều tra.

Vì sao dữ liệu bị lộ có thể làm tăng rủi ro?

Thông tin cá nhân như tên và số liên lạc có thể giúp kẻ gian tạo ra những cuộc gọi hoặc tin nhắn có vẻ đáng tin hơn. Nếu người nhận tin rằng mình đang trao đổi với ngân hàng, họ có thể bị dụ bấm vào đường dẫn giả, tiết lộ mật khẩu hoặc cung cấp mã xác nhận.

Bởi vậy, điều tra cần xem xét không chỉ việc dữ liệu đã rời khỏi hệ thống hay chưa, mà còn cả loại dữ liệu bị ảnh hưởng, cách thức xâm nhập và khả năng dữ liệu bị sử dụng tiếp. Những kết luận này sẽ giúp xác định mức độ nguy hiểm đối với khách hàng và các biện pháp cần thiết để giảm thiểu thiệt hại.

Tín hiệu cảnh báo về mức phạt và trách nhiệm pháp lý

Trước chỉ đạo mới nhất, ngày 30 tháng 9, ông Lee đã đăng trên mạng xã hội X rằng các doanh nghiệp xử lý dữ liệu cá nhân có thể phải chịu chế tài nghiêm khắc nếu để xảy ra sự cố. Ông đề cập đến các khoản phạt có thể vượt xa số tiền doanh nghiệp tiết kiệm được khi cắt giảm chi phí bảo vệ dữ liệu, cùng hình phạt hình sự nghiêm khắc và khả năng người bị ảnh hưởng dễ yêu cầu bồi thường dân sự thông qua kiện tập thể.

Kiện tập thể là hình thức nhiều người có quyền lợi tương tự cùng theo đuổi yêu cầu bồi thường. Cách tiếp cận này có thể giúp khách hàng không phải tự mình khởi kiện riêng lẻ, tương tự như nhiều người cùng tham gia một vụ kiện khi cùng chịu thiệt hại từ một sản phẩm hoặc dịch vụ.

Thông điệp chính sách của Tổng thống là doanh nghiệp không nên coi việc đầu tư bảo mật như một khoản chi phí có thể tùy tiện cắt giảm; để xảy ra sự cố có thể kéo theo hậu quả tài chính và pháp lý lớn hơn.

Điều tra cần trả lời những câu hỏi nào?

Để xác định trách nhiệm và ngăn sự cố tái diễn, các nhà điều tra cần làm rõ cách kẻ tấn công tiếp cận hệ thống, dữ liệu nào bị ảnh hưởng và thời điểm phát hiện sự cố. Họ cũng cần kiểm tra tổ chức đã phát hiện, báo cáo và thông báo cho người bị ảnh hưởng nhanh chóng đến đâu.

  • Phạm vi rò rỉ: dữ liệu của bao nhiêu người bị ảnh hưởng và thông tin nào đã bị truy cập.
  • Cách thức xâm nhập: lỗ hổng kỹ thuật, thông tin đăng nhập bị đánh cắp hay phương thức khác.
  • Phản ứng của tổ chức: thời gian phát hiện, biện pháp ngăn chặn và cách hỗ trợ khách hàng.
  • Nguy cơ tiếp diễn: dữ liệu bị lộ có thể được dùng cho lừa đảo hoặc chiếm đoạt tài khoản hay không.

Không phải mọi vụ rò rỉ đều dẫn đến việc tài khoản ngân hàng bị chiếm đoạt, nhưng dữ liệu bị lộ có thể tạo điều kiện cho các hành vi lừa đảo sau đó. Vì vậy, việc công bố rõ những gì đã biết, những gì còn đang xác minh và việc khách hàng cần làm là phần quan trọng trong xử lý khủng hoảng.

Khách hàng nên cảnh giác trong thời gian chờ kết quả

Trong khi các tổ chức và cơ quan chức năng điều tra, khách hàng nên thận trọng với những cuộc gọi, tin nhắn hoặc thư điện tử bất ngờ tự nhận là từ ngân hàng. Không nên cung cấp mật khẩu, mã xác nhận dùng một lần hoặc thông tin đăng nhập qua đường dẫn gửi trong tin nhắn; nếu cần kiểm tra, hãy tự mở ứng dụng chính thức hoặc liên hệ ngân hàng qua số điện thoại đã biết.

Những bước này không thay thế trách nhiệm bảo vệ dữ liệu của doanh nghiệp, nhưng có thể giảm nguy cơ kẻ gian lợi dụng thông tin cá nhân để tiếp tục lừa đảo. Nếu nhận được cảnh báo chính thức về sự cố, khách hàng nên làm theo hướng dẫn của tổ chức liên quan và kiểm tra các giao dịch bất thường.

Từ xử lý từng vụ việc đến củng cố an toàn dữ liệu

Chỉ đạo của Tổng thống Lee đặt trọng tâm vào hai việc: xác định chính xác điều gì đã xảy ra và đưa ra biện pháp để hạn chế sự cố tương tự trong tương lai. Cuộc điều tra có thể giúp làm rõ liệu các tổ chức đã có biện pháp bảo vệ phù hợp hay chưa, đồng thời xác định trách nhiệm của những bên liên quan.

Về lâu dài, hiệu quả ứng phó sẽ phụ thuộc vào việc tổ chức tài chính có đầu tư bảo mật thường xuyên, kiểm tra hệ thống và phản ứng kịp thời khi phát hiện dấu hiệu xâm nhập hay không. Khi các dịch vụ ngân hàng ngày càng dựa vào dữ liệu và hoạt động trực tuyến, bảo vệ thông tin khách hàng không chỉ là vấn đề kỹ thuật mà còn liên quan trực tiếp đến niềm tin của công chúng.

Triển vọng

Hiện chưa có đủ thông tin để kết luận AI là công cụ quyết định trong tất cả các vụ tấn công, cũng như chưa thể xác định đầy đủ mức độ thiệt hại chung. Kết quả điều tra và các biện pháp tiếp theo sẽ cho biết chính phủ xử lý trách nhiệm của từng tổ chức ra sao, đồng thời liệu cảnh báo về mức phạt và bồi thường có được chuyển thành thay đổi cụ thể trong quy định và thực tiễn hay không.