Rò rỉ dữ liệu 320GB thông tin hệ thống nội bộ của "Người giữ danh tiếng"

Code Nguyen · 13:33

Nếu một công ty chuyên quản lý danh tiếng lại làm lộ dữ liệu của chính khách hàng mình, ai sẽ bảo vệ danh tiếng cho họ?

Khi "người giữ danh tiếng" tự làm lộ bí mật của chính mình

Reputation.com – một trong những nền tảng quản lý danh tiếng trực tuyến lớn nhất thế giới – vừa vô tình để lộ hơn 120 triệu bản ghi dữ liệu, tương đương 320GB thông tin hệ thống nội bộ. Điều đáng lo là trong khối dữ liệu đó có cả cookie phiên làm việc, yếu tố có thể bị lợi dụng để chiếm đoạt tài khoản mạng xã hội của khách hàng.

Vụ việc được nhóm nghiên cứu của Cybernews phát hiện vào ngày 18/8/2025. Họ nhận thấy máy chủ công khai của Reputation.com chứa đầy dữ liệu nhật ký từ các ứng dụng và dịch vụ mà công ty cung cấp cho hàng trăm thương hiệu lớn, trong đó có US Bank, Ford, GM và nhiều đại lý BMW. Bất kỳ ai cũng có thể truy cập vào kho dữ liệu này nếu biết địa chỉ, do không có xác thực hay giới hạn truy cập.

Công cụ bị để lộ vốn được thiết kế để giúp doanh nghiệp xử lý dữ liệu lớn, nhưng phiên bản công khai này đã vô tình mở ra cánh cửa cho những kẻ xấu có thể nhìn thấy gần như toàn bộ hoạt động bên trong hệ thống.

Dữ liệu bị lộ: không chỉ là con số

Các bản ghi cho thấy hệ thống đã lưu lại mọi thao tác của người dùng, từ việc tạo, chỉnh sửa, đến xóa dữ liệu. Nhật ký chứa thông tin nhạy cảm như mã định danh công ty, session ID, cookie người dùng, và dữ liệu liên quan đến việc theo dõi, phân tích hành vi.

Các nhà nghiên cứu cảnh báo, nếu kẻ tấn công khai thác được các cookie này, họ có thể:

Đăng nội dung giả mạo trên Facebook, Instagram, LinkedIn hoặc X (Twitter) của doanh nghiệp
Thay đổi lịch đăng bài, phản hồi khách hàng, hoặc làm rối loạn chiến dịch PR
Thậm chí làm hỏng danh tiếng của thương hiệu chỉ bằng vài cú click

Điều này đặc biệt nghiêm trọng vì Reputation.com là nền tảng mà nhiều công ty lớn sử dụng để quản lý toàn bộ hình ảnh trực tuyến của mình. Một sự cố ở cấp nền tảng có thể ảnh hưởng dây chuyền đến hàng trăm thương hiệu toàn cầu.

Bài học về bảo mật và sự minh bạch

Cybernews cho biết họ đã cố gắng nhiều lần thông báo cho Reputation.com theo cách có trách nhiệm, nhưng chưa nhận được phản hồi chính thức. Theo quy định như GDPR hoặc CCPA, những vụ rò rỉ như vậy cần phải được thông báo công khai cho cơ quan quản lý và người dùng bị ảnh hưởng.

Các chuyên gia khuyến nghị:

Áp dụng ngay xác thực bắt buộc và kiểm soát truy cập chặt chẽ
Giới hạn quyền truy cập chỉ cho mạng nội bộ hoặc IP doanh nghiệp
Luân phiên mã thông báo (token) xác thực để ngăn tái sử dụng
Tạm thời ngắt kết nối các máy chủ có vấn đề để tránh lan rộng rủi ro

Dữ liệu có thể vô tri, nhưng hậu quả của sự lơ là lại rất hữu hình. Với một công ty chuyên giúp doanh nghiệp “bảo vệ danh tiếng”, vụ việc này đặt ra câu hỏi đau lòng: Ai sẽ bảo vệ danh tiếng cho Reputation.com?

Nguồn: CyberNews (https://cybernews.com/security/reputation-com-leak-exposes-sensitive-data/)