Mối quan hệ đối lập giữa quyền riêng tư người dùng và doanh số quảng cáo của công ty tiếp tục làm tiêu đề khi Facebook và các công ty khác bị 끌 ra chịu trách nhiệm về việc sử dụng dữ liệu cá nhân.
Nhưng đây không phải xu hướng gần đây, vì các công ty đã liên tục xâm phạm dữ liệu cá nhân qua nhiều năm trong đà đẩy tăng trưởng và doanh thu. Đây là những dịp đáng chú ý khi thu hoạch dữ liệu đặt thông tin cá nhân của bạn ở rủi ro.
1. LocalBlox Lộ 48 Triệu Tài Khoản Mạng Xã Hội
LocalBlox là trình tổng hợp dữ liệu mạng xã hội gần đây làm tiêu đề vì lý do sai. Sau khi công ty an ninh mạng UpGuard phát hiện LocalBlox để lộ dữ liệu 48 triệu tài khoản.
"Đội Ngũ Rủi Ro Cyber UpGuard bây giờ xác nhận kho lưu trữ đám mây chứa thông tin thuộc về LocalBlox, dịch vụ tìm kiếm dữ liệu cá nhân và doanh nghiệp, bị để truy cập công khai, phơi bày 48 triệu bản ghi thông tin cá nhân chi tiết của hàng chục triệu cá nhân, được thu thập và cào (scraped) từ nhiều nguồn," UpGuard tuyên bố trong báo cáo.
Nhưng dữ liệu rò rỉ không chỉ bao gồm chi tiết mạng xã hội. Nó bao gồm nhiều thông tin cá nhân hơn. Dữ liệu lộ ra bao gồm tên thật, địa chỉ vật lý, sinh nhật và hơn thế nữa. Ngoài ra, dữ liệu người dùng cũng bao gồm chi tiết từ nhiều mạng như LinkedIn, Facebook và Twitter.
Như UpGuard chỉ ra, tội phạm dùng dữ liệu này cho nhiều lừa đảo, từ tấn công phishing xã hội và thao túng xã hội, đến đánh cắp danh tính.
2. Dữ Liệu 198 Triệu Bầu Cử Mỹ Bị Lộ
Năm 2017, một công ty dữ liệu được Ủy ban Quốc gia Cộng hòa (RNC) thuê đã xâm phạm dữ liệu của gần như tất cả 200 triệu cử tri đăng ký Mỹ.
Công ty, Deep Root Analytics, cung cấp hồ sơ bầu cử Mỹ dựa trên thông tin cá nhân. Để thu thập dữ liệu này, nó làm việc với hai công ty khác: Targetpoint Consulting và DataTrust.
Điều này dẫn đến bộ sưu tập thông tin mở rộng. Thông tin rò rỉ bao gồm tên, địa chỉ, và số điện thoại. Dữ liệu cũng có mô hình dự đoán dân tộc và tôn giáo của một người.
Rò rỉ dẫn đến kiện tập thể chống Deep Root Analytics. 毕竟, công ty phơi bày hơn 1,1 terabyte dữ liệu trên máy chủ đám mây không an toàn.
3. Kẻ Gửi Rác Lộ Dữ Liệu 1,4 Tỷ Người Dùng
Trong khi công ty tổng hợp dữ liệu hợp pháp, không phải tất cả kẻ thu hoạch dữ liệu hoạt động trong khung pháp luật. Đây là trường hợp City River Media (CRM), một hoạt động spam khổng lồ bất hợp pháp vô tình lộ dữ liệu hơn 1 tỷ người dùng.
Rò rỉ xâm phạm 1,4 tỷ tài khoản email kết hợp với tên thật, địa chỉ IP người dùng, và đôi khi địa chỉ vật lý.
Làm sao điều này xảy ra? Theo điều tra từ Trung tâm Nghiên cứu An ninh MacKeeper, CSOOnline, và Spamhaus; bản sao lưu Rsync cấu hình không đúng để lộ dữ liệu.
Điều tốt duy nhất là CRM, vốn giả vờ là công ty marketing hợp pháp, bị bộc lộ là hoạt động spam gửi hơn 1 tỷ email tự động mỗi ngày. Chris Vickery của MacKeeper truy cập nhật ký Hipchat của CRM, bản ghi đăng ký tên miền, chi tiết kế toán, kế hoạch cơ sở hạ tầng, ghi chú sản xuất, script, và mối quan hệ kinh doanh. Ông sau đó chuyển chi tiết này cho cơ quan chức năng.
Tuy nhiên công ty mới như này mọc lên mỗi ngày, nên bạn nên đề phòng bảo vệ địa chỉ email khỏi kẻ gửi rác.
4. Grindr Chia Sẻ Trạng Thái HIV Của Người Dùng
Không phải toàn bộ dữ liệu cá nhân bị lộ là do lỗ hổng bảo mật hoặc sai cấu hình. Như chúng ta thấy với Facebook và Cambridge Analytica, đôi khi dịch vụ và ứng dụng thu hoạch dữ liệu từ người dùng xã hội và đưa cho bên thứ ba.
Việc chuyển giao dữ liệu bởi Aleksandr Kogan cho Cambridge Analytica vi phạm điều khoản dịch vụ Facebook. Nhưng khối lượng khổng lồ dữ liệu thu hoạch được thu thập trong khuôn khổ chính sách và API của Facebook lúc bấy giờ.
Tương tự, khi người dùng phát hiện bên thứ ba có quyền truy cập trạng thái HIV của người dùng Grindr, họ cũng thấy đó là "vận hành bình thường" cho mạng hẹn hò LGBT. Dữ liệu cũng bao gồm vị trí GPS, ID điện thoại, và địa chỉ email.
Người dùng coi đây là vi phạm nghiêm trọng quyền riêng tư. Công ty chia sẻ thông tin y tế đặc biệt nhạy cảm và thường giữ bí mật với hai công ty khác: Apptimize và Localytics.
Grindr khẳng định họ không bán hoặc rò rỉ dữ liệu. Thay vào đó, họ chia sẻ để giúp tối ưu hóa ứng dụng. Dù sao, công ty sau đó tuyên bố sẽ không còn chia sẻ trạng thái HIV người dùng với bên thứ ba.
Chuyên gia bảo mật chỉ ra việc chia sẻ thông tin nhạy cảm như vậy với bên thứ ba tăng khả năng rò rỉ hoặc xâm phạm. May mắn là có công cụ trực tuyến giúp kiểm tra tài khoản online có bị hack hoặc xâm phạm không.
5. Bản Ghi Lộ Vượt Dân Số Quốc Gia
Vụ rò rỉ dữ liệu lớn nhất Nam Phi bao trùm đến mức số bản ghi cá nhân bị lộ vượt quá toàn bộ dân số quốc gia. Không chỉ rò rỉ bao gồm thông tin cá nhân của đại đa số người trong nước, mà cả người đã qua đời. Dữ liệu thậm chí bao gồm số định danh (ID) của hơn 12 triệu vị thành niên.
Tổng cộng, dữ liệu lộ ra 60 triệu số ID duy nhất, cùng thông tin cá nhân như chi tiết liên lạc, tên đầy đủ và hơn thế nữa. Rò rỉ đặc biệt nghiêm trọng vì số ID công dân Nam Phi có thể dùng để lấy thông tin cá nhân như sinh nhật, giới tính, tuổi. Tội phạm thường dùng số này để đánh cắp danh tính hoặc gian lận.
Vậy dữ liệu này 어떻게 bị lộ? Bản sao lưu cơ sở dữ liệu tên masterdeeds.sql được tìm thấy trên máy chủ công khai, không an toàn. Chuyên gia an ninh mạng và người sáng lập HaveIBeenPwned.com Troy Hunt được báo tin về dữ liệu, bị lộ ít nhất bảy tháng.
Công ty tên Dracore tổng hợp dữ liệu và tạo cơ sở dữ liệu. Nhưng một trong khách hàng, Jigsaw Holdings, lộ dữ liệu với máy chủ không an toàn.
6. Tệp Công Ty Dữ Liệu Được Chia Sẻ Trên Twitter
Modern Business Solutions, công ty quản lý dữ liệu tại Mỹ, thấy mình ở phía sai dư luận năm 2016. An ninh lỏng lẻo khiến 58 triệu hồ sơ tiêu dùng bị lộ.
Một hacker truy cập và chia sẻ thông tin hàng triệu người nhờ cơ sở dữ liệu MongoDB không an toàn. Hacker tải xuống cơ sở dữ liệu, tải lên trang công khai và chia sẻ link trên Twitter. Cơ sở dữ liệu MongoDB sai cấu hình là một trong nhiều cách hacker đánh cắp thông tin từ người không ngờ.
Trong trường hợp này, dữ liệu lộ bao gồm tên, ngày sinh, email và địa chỉ bưu chính, chức danh, số điện thoại, dữ liệu xe cộ, và địa chỉ IP.
7. Hàng Triệu Danh Tính Bị Đánh Cắp Từ Người Môi Giới Dữ Liệu
Lo ngại quyền riêng tư do công ty thu hoạch dữ liệu đặt ra đã tồn tại một thời gian. Ngay cả năm 2013, nguy hiểm của thu hoạch dữ liệu nổi lên khi phát hiện hacker đã truy cập máy chủ của một số người môi giới dữ liệu lớn. Truy cập này cho phép họ đánh cắp thông tin hàng triệu người Mỹ.
Hacker truy cập nhiều dữ liệu này qua máy chủ sai cấu hình, lỗ hổng bảo mật, và cơ sở dữ liệu không an toàn và tải lên trang tên SSNDOB. SSNDOB chính nó cũng là trình tổng hợp dữ liệu bán thông tin bị đánh cắp.
Dữ liệu bị đánh cắp bao gồm số an sinh xã hội, hồ sơ tín dụng, kiểm tra tiền án, sinh nhật, địa chỉ và dữ liệu cá nhân khác. Khi hacktivist thanh niên xâm nhập SSNDOB, họ khám phá ra hồ sơ rộng lớn đến đâu. Thậm chí địa chỉ và thông tin cá nhân của người nổi tiếng như Kanye West, Jay Z, Beyonce; cũng như nhân vật nổi bật như cựu Nhất phụ nhân Michelle Obama đều có thể truy cập.
Botnet của SSNDOB truy cập máy chủ của các người môi giới dữ liệu lớn như LexisNexis Inc, Dun & Bradstreet, và Kroll Background America Inc. FBI sau đó khởi động điều tra.
8. Alteryx Lộ Dữ Liệu 123 Triệu Hộ Gia Đình Mỹ
Năm 2017, UpGuard phát hiện công ty phân tích dữ liệu Alteryx đã lộ dữ liệu 123 triệu hộ gia đình Mỹ qua kho dữ liệu không an toàn.
Thông tin công khai truy cập đặc biệt nhạy cảm, vì một trong những đối tác của Alteryx là cơ quan báo cáo tín dụng tiêu dùng Experian. Kho bao gồm địa chỉ nhà, chi tiết liên lạc, chi tiết thế chấp, lịch sử tài chính, và lịch sử mua hàng. Bất kỳ ai có tài khoản Amazon Web Services đều có thể truy cập thông tin này.
UpGuard mô tả dữ liệu là "một cái nhìn xâm lấn đáng kinh ngạc vào cuộc sống người tiêu dùng Mỹ". May mắn dữ liệu không còn công khai truy cập, nhưng như hầu hết các rò rỉ này, không chắc có bao nhiêu người đã lách mình qua và tải xuống thông tin nhạy cảm.
Vụ rò rỉ cũng nhắc nhở người tiêu dùng về lượng dữ liệu cá nhân công ty thu thập. Ngay cả lướt web đơn giản cũng khiến trang web thu hoạch thông tin cá nhân về bạn.
9. Một Trắc Nghiệm Facebook Khác Dẫn Đến Lộ Dữ Liệu Người Dùng
Người dùng Facebook vẫn đang hồi hộp từ bê bối Cambridge Analytica. Nhưng dường như Cambridge Analytica không đơn độc dùng trắc nghiệm Facebook để thu hoạch dữ liệu.
Theo New Scientist, nhà nghiên cứu Đại học Cambridge tạo ra trắc nghiệm tên myPersonality. Trắc nghiệm thu hoạch dữ liệu người tham gia, nhà nghiên cứu tải lên cơ sở dữ liệu trực tuyến. Hàng trăm nhà nghiên cứu từ tổ chức khác có thể truy cập dữ liệu cho mục đích nghiên cứu.
Tuy nhiên, biện pháp bảo mật không đủ đã lộ dữ liệu trong bốn năm. Mặc dù chỉ đăng nhập cộng tác viên đã đăng ký mới truy cập được, một bộ thông tin đăng nhập làm việc bị lộ đã xâm phạm bất kỳ an ninh nào.
"Trong bốn năm qua, tên người dùng và mật khẩu làm việc đã có sẵn trực tuyến, có thể tìm thấy từ một tìm kiếm web đơn lẻ. Bất kỳ ai muốn truy cập tập dữ liệu có thể tìm thấy chìa khóa tải xuống trong chưa đầy một phút," New Scientist nói.
Dữ liệu bao gồm thông tin cá nhân của khoảng 3 triệu người dùng Facebook và kết quả test tâm lý của họ.
10. Cơ Sở Dữ Liệu Lộ 33 Triệu Nhân Viên
Năm 2017, công chúng phát hiện cơ sở dữ liệu Dun & Bradstreet về nhân viên chính phủ và doanh nghiệp Mỹ đã bị rò rỉ. Điều này lộ hơn 33 triệu bản ghi, bao gồm chi tiết như tên, chức vụ và chức năng, lương, chi tiết liên lạc, và địa chỉ email.
Nếu Dun & Bradstreet nghe quen thuộc, đó là vì cơ sở dữ liệu của họ nằm trong bộ sưu tập SSNDOB (đề cập trước). Công ty, tổng hợp dữ liệu nhân viên và bán bản ghi cho nhà tiếp thị, từ chối trách nhiệm rò rỉ. Họ tạo cơ sở dữ liệu, nhưng nguồn rò rỉ có thể là một trong hàng nghìn khách hàng.
Troy Hunt phát hiện rò rỉ sau khi nguồn gửi cho ông cơ sở dữ liệu. Hunt ghi nhận bản ghi nhân viên Bộ Quốc phòng chiếm phần lớn dữ liệu. Điều này đặt họ ở rủi ro đặc biệt vì chức danh như nhà phân tích tình báo, kỹ sư hóa học, binh sĩ, và trung sĩ tiểu đội được xác định — làm cho dữ liệu hữu ích cho cơ quan nước ngoài muốn xâm nhập hoặc tấn công vai trò chính phủ cụ thể.
"Chúng ta đã mất kiểm soát dữ liệu cá nhân và như [Tim] Berners-Lee nói chỉ vài ngày trước, chúng ta thường không có cách nào phản hồi cho công ty dữ liệu nào chúng ta không muốn chia sẻ," Hunt nói trong báo cáo về rò rỉ Dun & Bradstreet.
Đa số người bị ảnh hưởng bởi rò rỉ có thể không hề biết công ty thu thập dữ liệu họ và bán nó trong danh sách tổng hợp cẩn thận.
Công Ty Biết Về Bạn Nhiều Hơn Bạn Nghĩ
Trong nhiều sự cố này, bạn không thể đổ lỗi cho nạn nhân rò rỉ dữ liệu vì thông tin của họ đến miền công cộng. Thay vào đó, công ty thu hoạch dữ liệu từ nhiều dịch vụ và bản ghi. Người tiêu dùng thường không biết công ty chia sẻ dữ liệu với bên thứ ba.
Đó là lý do quan trọng để kiểm tra chính sách quyền riêng tư của dịch vụ bạn dùng. Bạn cũng nên cập nhật các xâm phạm và rò rỉ có thể ảnh hưởng bạn.
Cuối cùng, công ty biết về bạn nhiều hơn bạn mong đợi. Nhưng bạn có thể đóng vai trò chủ động hơn bảo vệ dữ liệu. Hãy xem hướng dẫn của chúng tôi về cách bảo vệ quyền riêng tư trực tuyến.