Hãng ví lạnh Keystone cho biết một bên thứ ba chưa được xác định đã lấy được thông tin khách hàng từ website bán hàng chạy trên nền tảng Shopify. Thông báo được đăng trên X vào chiều 24/10, sau khi công ty phát hiện truy cập trái phép từ ngày 20/10. Keystone chưa công bố số khách bị ảnh hưởng, và một số khách nói dữ liệu từ đơn hàng đã rất cũ vẫn bị lộ.
Keystone phát hiện truy cập trái phép ngày 20/10 và xác nhận lộ dữ liệu ngày 23/10
Theo Keystone, dữ liệu bị lấy gồm họ tên, thông tin liên lạc, địa chỉ giao hàng và chi tiết đơn hàng, như sản phẩm đã mua và giá tiền. Công ty khẳng định thẻ thanh toán, thông tin ngân hàng, cụm từ khôi phục (seed phrase), khóa riêng tư và mật khẩu ví không bị ảnh hưởng.
Ngày 23/10, sau khi đối chiếu hoạt động API (kênh kết nối giữa các hệ thống phần mềm) với Shopify, Keystone mới xác nhận dữ liệu khách hàng đã bị lấy. Công ty nói đã chặn truy cập, vá lỗ hổng, mở điều tra và đang gửi email cho người bị ảnh hưởng.
Keystone viết: “Quý khách đã tin tưởng giao thông tin cho chúng tôi, và chúng tôi xin lỗi vì đã không bảo vệ được chúng.”
Keystone chưa nói kẻ tấn công vào bằng cách nào, có liên lạc hay xác định được danh tính chúng chưa. Công ty chỉ trả lời người dùng trên X rằng đang “điều tra kỹ lưỡng” và sẽ có báo cáo chi tiết trong vài ngày tới.
| Mốc thời gian | Diễn biến |
|---|---|
| 20/10 | Keystone phát hiện truy cập trái phép vào website chính thức |
| 23/10 | Keystone xác nhận dữ liệu khách bị lấy; một người dùng X nói đã nhận cuộc gọi lừa đảo chứa thông tin đơn hàng |
| 24/10, 1:08 sáng (giờ ET) | Tài khoản X của Keystone cho biết đã mở điều tra khẩn |
| 24/10, 1:59 chiều (giờ ET) | Keystone công bố sự cố và xin lỗi khách hàng |
Cam kết xóa dữ liệu sau 180 ngày bị khách hàng nghi ngờ
Keystone từng quảng bá chính sách lưu trữ dữ liệu như một điểm mạnh. Ngày 5/1, cùng ngày khách của Ledger nhận thông báo về một vụ rò rỉ tại đối tác thương mại điện tử Global-e, Keystone đăng trên X rằng dữ liệu giao hàng bị xóa vĩnh viễn sau 180 ngày. Một bài đăng tháng 3 nhấn mạnh công ty xóa thông tin giao hàng tối đa sau 180 ngày, còn các bài tháng 8 lặp lại thông điệp này.
Các văn bản của hãng không hoàn toàn thống nhất. Trang “Privacy Promise” nói mọi thông tin giao hàng được tự động xóa 180 ngày sau khi đặt đơn. Chính sách quyền riêng tư (cập nhật lần cuối tháng 5/2021) lại nói xóa thông tin của khách “không đặt đơn nào trong 180 ngày gần nhất”. Trang trợ giúp cho biết thành phố và quốc gia vẫn được giữ lại, còn bước xóa cuối cùng do Shopify xử lý.
Trên X, một người dùng cho biết đã mua hàng hơn hai năm trước nhưng vẫn nhận email thông báo bị ảnh hưởng. Người khác nói đã 214 ngày trôi qua giữa đơn hàng cuối và vụ tấn công. Một tài khoản thứ ba kể rằng tối 23/10, trước khi Keystone lên tiếng, họ nhận cuộc gọi giả số cảnh sát Montreal. Người gọi nắm thông tin khớp với đơn hàng năm 2024 của họ. Keystone chưa trả lời công khai về việc có tuân thủ chính sách 180 ngày hay không.
Lộ dữ liệu đơn hàng mở đường cho cuộc gọi và tin nhắn giả mạo
Seed phrase không bị lộ, nhưng danh sách người từng mua ví lạnh kèm địa chỉ và giá trị đơn hàng vẫn có giá trị với kẻ lừa đảo. Chúng biết người nhận từng mua một thiết bị lưu trữ tiền mã hóa, nên dễ dựng kịch bản đáng tin. Keystone cảnh báo kẻ gian có thể giả danh hãng qua điện thoại, tin nhắn, email hoặc thư, mời chào hoàn tiền, đổi thiết bị mới hoặc “sửa lỗi” đơn hàng và địa chỉ.
Nguồn tin không nêu số khách ở Việt Nam bị ảnh hưởng, nên chưa rõ có người dùng trong nước nằm trong danh sách hay không. Nếu bạn từng mua ví Keystone, kể cả qua kênh quốc tế, hãy kiểm tra hộp thư (cả mục spam) xem có email thông báo từ hãng không. Người dùng Việt Nam vốn quen với cuộc gọi giả danh công an hay ngân hàng, và kiểu tấn công này khá giống, chỉ khác là kẻ gian có thêm chi tiết đơn hàng thật.
- Không nhập seed phrase vào bất kỳ thiết bị, website hay biểu mẫu nào. Không đọc nó cho ai qua điện thoại hay tin nhắn, kể cả người xưng là nhân viên hãng. Keystone cũng dặn không nhập cụm từ khôi phục vào thiết bị mà bạn không đặt mua.
- Không bấm liên kết trong tin nhắn hoặc email tự xưng là Keystone. Muốn kiểm tra, hãy tự gõ địa chỉ website chính thức hoặc liên hệ qua kênh bạn đã lưu từ trước.
- Cảnh giác với thiết bị “đổi miễn phí” gửi đến tận nhà mà bạn không yêu cầu. Nếu nhận được, đừng kết nối hay khởi tạo ví trên đó.
- Bật xác thực hai lớp cho email và tài khoản sàn. Khóa bảo mật vật lý như Yubico chống lừa đảo giả mạo trang đăng nhập tốt hơn mã SMS.
- Nếu muốn giữ riêng tư, cân nhắc dùng địa chỉ nhận hàng và số điện thoại riêng cho các đơn mua thiết bị tiền mã hóa.
